Uma campanha contra equipamentos Fortinet compromete dezenas de milhares de sistemas

O que aconteceu

Investigadores citados pela Reuters descreveram uma campanha em grande escala dirigida a dispositivos de firewall e VPN da Fortinet, que terá comprometido dezenas de milhares de sistemas e facilitado o roubo de credenciais. O ataque explorou equipamentos de perímetro expostos à internet, um ponto de entrada habitual na rede empresarial.

Ao contrário dos casos de engenharia social, aqui o alvo foi o próprio equipamento de rede, tirando partido da sua exposição e, presumivelmente, de versões ou configurações desatualizadas.

O que este caso ensina sobre equipamentos de rede expostos

As firewalls e as VPN são a porta de entrada na rede e, precisamente por isso, um alvo prioritário. Uma campanha desta dimensão demonstra que deixar um dispositivo de perímetro desatualizado ou mal configurado equivale a deixar a porta principal aberta.

As credenciais roubadas neste tipo de campanha são depois utilizadas para aceder a outros sistemas, pelo que o impacto pode prolongar-se muito para além do ataque inicial se as credenciais não forem alteradas e os acessos não forem revistos.

O que convém rever

Prioridades para qualquer organização com equipamentos de perímetro Fortinet ou semelhantes:

• Inventário atualizado de firewalls e VPN, com a respetiva versão de firmware e o estado de aplicação de correções.
• Aplicação prioritária das atualizações de segurança disponibilizadas pelo fabricante.
• Alertas sobre acessos administrativos invulgares a estes dispositivos.
• Rotação de credenciais e revisão das sessões ativas após qualquer aviso de vulnerabilidade.

Perguntas frequentes

Que tipo de dispositivos foram afetados?

Equipamentos de firewall e VPN da Fortinet expostos à internet, segundo a investigação citada pela Reuters.

Quantos sistemas se estima terem sido comprometidos?

Dezenas de milhares, segundo os investigadores citados na notícia.

O que deve fazer uma empresa com este tipo de equipamentos?

Dar prioridade à sua atualização e rever os respetivos acessos administrativos com a mesma atenção dedicada à restante infraestrutura crítica.