FortiBleed expõe credenciais VPN de quase 74 mil firewalls Fortinet

Chama-se FortiBleed e é, basicamente, uma lista telefónica de horror para equipas de segurança: mais de 73 mil URLs de firewalls Fortinet/FortiGate com credenciais VPN associadas, espalhadas por 194 países. A fuga foi descoberta pelo investigador Bob Diachenko, que encontrou um servidor exposto com utilizadores, emails e palavras-passe em texto simples para appliances FortiGate SSL VPN.

O dataset inclui entradas para gigantes como Chevron, Samsung, Foxconn, AT&T, Toyota, Siemens, Lenovo, Oracle, PwC, Accenture e até organismos governamentais e operadores de infraestruturas críticas. Segundo a empresa de threat intelligence Hudson Rock, que analisou o conjunto de dados, estão em causa 73.932 URLs únicos de firewall e 21.632 domínios distintos. Não é um leak qualquer, é uma base de dados operacional montada por atacantes, com notas sobre sector, receita e número de funcionários de cada alvo, para planear ataques com método.

A operação terá sido conduzida por um grupo russo, multi-operador, focado em FortiGate e também em Microsoft SQL Server. De acordo com Diachenko, os atacantes lançaram cerca de 1,16 mil milhões de tentativas de credenciais contra 320.777 alvos FortiGate e mais 2,1 mil milhões de tentativas contra 163.650 servidores SQL. Pior, não ficaram pelo brute force cego: interceptaram hashes de autenticação das VPN SSL, crackaram-nos com um cluster de 45 GPUs gerido por Hashtopolis e usaram as credenciais recuperadas para entrar em ambientes Active Directory internos e movimentar-se lateralmente.

O nível de detalhe conhecido sobre a operação não é por mérito dos atacantes, é por incompetência. Diachenko explica que o grupo deixou exposto um directório com artefactos, strings de ligação, ferramentas, scripts, logs e até históricos de bash e cron. Foi a partir daí que se concluiu que organizações no Japão, Taiwan, Vietname, Iraque e Turquia terão sido totalmente comprometidas, incluindo um contractor de defesa turco ligado à NATO, de onde terão sido roubados documentos classificados. O padrão é dolorosamente familiar para quem segue notícias de fugas de dados, como no caso em que um software mal mantido expôs quase 1 milhão de passaportes.

O investigador Kevin Beaumont analisou independentemente partes do dataset e confirma que pelo menos algumas credenciais de administradores são autênticas. Nas suas contas, há dados para cerca de 75 mil dispositivos Fortinet, a maioria ainda online, e tudo indica que a origem são configurações exportadas de Fortinet. As configs incluiriam emails e outro tipo de informação que normalmente só se vê nesse contexto, o que afasta a ideia de simples logs de login. Importante: os IPs afectados não coincidem com o leak do grupo Belsen em 2025, ou seja, é mais um incidente, não um desdobramento do anterior.

Há um detalhe especialmente incómodo: muitas das palavras-passe expostas são longas e complexas, do tipo que os guias de boas práticas mandam usar. Ou seja, mesmo com políticas de password decentes, um atacante com capacidade para capturar hashes em massa e um cluster de GPUs a trabalhar em contínuo continua a ganhar. Para quem administra FortiGate, o recado é claro: auditar configs exportadas, rodar credenciais, rever acessos VPN e monitorizar actividade anómala deixou de ser prudência, passou a ser danos mínimos. Quando o mercado insiste em caixas pretas “appliance” para proteger tudo o resto, cada falha como a FortiBleed deixa mais óbvio o custo real dessa confiança.

Fonte: BleepingComputer