FortiBleed: invasores bloqueiam administradores e mantêm acesso a firewalls Fortinet
Empresas afetadas pela campanha FortiBleed relatam que perderam o controle administrativo de seus próprios firewalls. Após acessar equipamentos Fortinet FortiGate, criminosos alteraram senhas e, em alguns casos, apagaram contas legítimas. O dispositivo pode continuar encaminhando o tráfego da rede, mas a equipe responsável deixa de conseguir entrar no painel de gerenciamento e modificar suas configurações.
Essa combinação torna a resposta ao incidente mais difícil. Sem acesso ao firewall, os profissionais de segurança podem ficar impedidos de revisar regras, interromper conexões suspeitas ou restringir a comunicação entre partes da rede. Enquanto a organização busca recuperar o controle, o invasor pode conservar uma porta de entrada e ter tempo para preparar novas ações.
Em um alerta conjunto divulgado em 6 de outubro de 2026, o FBI e o Serviço Secreto dos Estados Unidos descreveram a FortiBleed como uma operação internacional de obtenção e comercialização de credenciais e acessos iniciais. A campanha tem como alvos principalmente firewalls FortiGate e gateways de VPN SSL expostos à internet e foi observada desde junho, com atividade nos meses seguintes.
Segundo uma estimativa da empresa de inteligência SOCRadar mencionada pelas autoridades, mais de 86.644 dispositivos em 194 países teriam sido comprometidos. O número indica a dimensão atribuída à campanha, mas não permite concluir que todos esses equipamentos tenham sofrido os mesmos danos ou que tenham sido usados em ataques posteriores.
Um aspecto importante é que os casos descritos não dependem necessariamente da exploração de uma nova falha de software identificada por um código CVE. Os invasores podem recorrer a credenciais expostas em incidentes anteriores e a tentativas automatizadas de autenticação. Por isso, atualizar o FortiOS é indispensável, mas não resolve o problema se uma senha válida já estiver nas mãos de terceiros.
Depois de obter acesso, os criminosos podem criar contas administrativas ocultas, trocar senhas e excluir usuários legítimos. A equipe pode notar a invasão apenas quando suas credenciais habituais deixam de funcionar. Contas com privilégios elevados também podem permitir alterações em políticas de segurança, rotas e acessos remotos, além de oferecer visibilidade sobre as conexões internas. A movimentação para outros sistemas, porém, depende da configuração da rede e não é consequência automática de toda invasão ao firewall.
As autoridades relacionaram credenciais associadas à operação a intermediários que negociam acessos iniciais com grupos de ransomware, incluindo afiliados ligados a INC, Lynx e Payload. Essa conexão aumenta o risco de que uma invasão seja aproveitada em uma etapa posterior, mas não significa que todos os dispositivos identificados tenham sido usados para criptografar dados. A extensão de cada comprometimento precisa ser determinada a partir das evidências disponíveis.
Como investigar e recuperar o controle
Se a equipe perder acesso ao FortiGate ou encontrar usuários desconhecidos, deve tratar o caso como um possível incidente de segurança, e não apenas como um problema de senha. É importante registrar quando a falha começou, quais contas deixaram de funcionar e que alterações foram observadas. Esses dados ajudam a estabelecer uma linha do tempo e a separar uma falha operacional de uma ação maliciosa.
A organização deve verificar a lista completa de usuários administrativos, os métodos de autenticação configurados e os registros de login. Contas novas ou modificadas, acessos em horários incomuns e autenticações vindas de endereços inesperados podem ser sinais de comprometimento. Sempre que possível, preserve os registros antes de fazer alterações: restaurar o acesso sem guardar evidências pode dificultar a investigação.
A troca de credenciais precisa ser feita com cautela. Senhas administrativas devem ser redefinidas a partir de um ambiente confiável, e não de um dispositivo que também possa estar comprometido. Senhas repetidas em outros serviços devem ser substituídas, pois uma credencial reutilizada pode abrir caminho para novos acessos. A autenticação multifator também deve ser habilitada quando disponível e compatível com a infraestrutura.
Caso os administradores não consigam recuperar o console, o acesso por um canal alternativo autorizado pode ser necessário. A equipe deve seguir os procedimentos internos do fabricante e da organização, evitando mudanças improvisadas que apaguem registros ou interrompam serviços essenciais. Se houver indícios de que o equipamento foi alterado, avalie a possibilidade de reconstruir sua configuração a partir de uma cópia conhecida como íntegra, em vez de confiar cegamente no estado atual.
A investigação não deve ficar limitada ao firewall. Revise conexões de VPN, acessos remotos e sistemas que se comunicaram com o equipamento, procurando autenticações incomuns e alterações em contas ou permissões. Essa análise ajuda a identificar se o invasor permaneceu restrito ao dispositivo ou se tentou alcançar outros ativos. O resultado deve orientar as medidas de contenção, sem presumir que houve movimentação lateral apenas porque o firewall foi acessado.
Também é recomendável restringir a interface de administração à internet. Sempre que possível, permita o gerenciamento somente por redes controladas, VPNs autorizadas ou endereços previamente aprovados. Desative serviços de acesso remoto que não sejam necessários e acompanhe os registros de autenticação para detectar novas tentativas suspeitas.
Por fim, confirme se os equipamentos executam uma versão de software suportada e aplique as atualizações recomendadas. A atualização reduz riscos ligados a vulnerabilidades conhecidas, mas precisa fazer parte de uma estratégia mais ampla: credenciais exclusivas e fortes, autenticação multifator, menor privilégio, cópias de segurança protegidas e monitoramento contínuo. Na FortiBleed, recuperar o acesso é apenas uma etapa; também é necessário descobrir como a entrada ocorreu e impedir que as mesmas credenciais ou configurações sejam usadas novamente.