FortiBleed: 73.932 credenciais VPN da Fortinet expostas — o que isto significa para si (2026)

Em meados de junho de 2026, uma fuga de credenciais apelidada de FortiBleed tornou públicos, em texto simples, cerca de 73.932 acessos VPN da Fortinet FortiGate em 194 países. À superfície é uma história de infraestrutura empresarial, mas a forma como foi montada é uma lição direta sobre as palavras-passe de toda a gente. Eis o que aconteceu e o que fazer na prática.

O que aconteceu

Os investigadores de segurança (a descoberta é atribuída a Bob Diachenko) encontraram um conjunto de dados com nomes de utilizador, e-mails e palavras-passe em texto simples para cerca de 73.932 dispositivos firewall e SSL-VPN Fortinet FortiGate únicos, abrangendo 194 países e mais de 21.000 domínios — segundo algumas estimativas, cerca de metade das firewalls Fortinet atualmente expostas à internet. As organizações afetadas, segundo se relata, pareciam uma chamada de presença empresarial nos principais setores. A CISA instou os clientes Fortinet afetados a terminar imediatamente as sessões VPN ativas e repor as credenciais.

Como foi construído — reciclado, não pirateado

Esta é a parte importante: os operadores não quebraram a encriptação da Fortinet. Segundo as fontes, montaram a lista a partir de:

• Fugas anteriores da Fortinet — credenciais expostas em incidentes anteriores.
• Registos de malware infostealer — software que recolhe silenciosamente as palavras-passe guardadas nos navegadores e clientes VPN das máquinas infetadas.

Depois testaram automaticamente essas credenciais contra todos os dispositivos FortiGate acessíveis e registaram cada sucesso. Em termos simples: palavras-passe roubadas e reutilizadas, recicladas à escala industrial. Nenhum exploit exótico — apenas o resultado previsível da reutilização de credenciais e dos acessos recolhidos por malware.

Por que isto importa mesmo que nunca tenha tocado num equipamento Fortinet

Porque o FortiBleed não foi realmente sobre a Fortinet — foi sobre palavras-passe reutilizadas e roubadas. Os mesmos registos de infostealers que alimentaram esta lista contêm rotineiramente acessos a e-mail pessoal, banca, jogos e contas sociais. O ataque resultou porque as credenciais são reutilizadas entre sistemas e recolhidas discretamente por malware. Esse risco é universal.

O que fazer

A defesa é a mesma a qualquer escala:

• Pare de reutilizar palavras-passe. Cada conta deve ter uma palavra-passe longa e única, para que uma fuga não abra as outras. Um gestor de palavras-passe torna isto realista em vez de impossível de memorizar.
• Ative a autenticação de dois fatores. Com 2FA (idealmente uma aplicação de autenticação ou uma chave de hardware — não SMS), uma palavra-passe roubada por si só não deixa um atacante entrar.
• Corte o alimento aos infostealers. Mantenha o sistema operativo e o navegador atualizados, evite software pirata e descarregamentos duvidosos e não guarde palavras-passe sensíveis em ficheiros de texto ou em arquivos do navegador desprotegidos.
• Se opera um FortiGate, siga agora o conselho da CISA: termine as sessões ativas, reponha as credenciais do dispositivo e altere qualquer dessas palavras-passe reutilizada noutros sítios.

A conclusão

O FortiBleed é uma das maiores e mais públicas demonstrações de uma verdade aborrecida: a maioria dos „hacks" são apenas palavras-passe reutilizadas e roubadas a serem experimentadas num sítio novo. Não consegue controlar a fuga de um fornecedor, mas pode tornar as suas próprias credenciais inúteis para reciclar — palavras-passe únicas, 2FA e uma configuração resistente a infostealers. É esse o jogo todo.