Em meados de junho de 2026, uma fuga de credenciais apelidada de FortiBleed tornou públicos, em texto simples, cerca de 73.932 acessos VPN da Fortinet FortiGate em 194 países. À superfície é uma história de infraestrutura empresarial, mas a forma como foi montada é uma lição direta sobre as palavras-passe de toda a gente. Eis o que aconteceu e o que fazer na prática.
O que aconteceu
Os investigadores de segurança (a descoberta é atribuída a Bob Diachenko) encontraram um conjunto de dados com nomes de utilizador, e-mails e palavras-passe em texto simples para cerca de 73.932 dispositivos firewall e SSL-VPN Fortinet FortiGate únicos, abrangendo 194 países e mais de 21.000 domínios - segundo algumas estimativas, cerca de metade das firewalls Fortinet atualmente expostas à internet. As organizações afetadas, segundo se relata, pareciam uma chamada de presença empresarial nos principais setores. A CISA instou os clientes Fortinet afetados a terminar imediatamente as sessões VPN ativas e repor as credenciais.
Como foi construído - reciclado, não pirateado
Esta é a parte importante: os operadores não quebraram a encriptação da Fortinet. Segundo as fontes, montaram a lista a partir de:
- Fugas anteriores da Fortinet - credenciais expostas em incidentes anteriores.
- Registos de malware infostealer - software que recolhe silenciosamente as palavras-passe guardadas nos navegadores e clientes VPN das máquinas infetadas.
Depois testaram automaticamente essas credenciais contra todos os dispositivos FortiGate acessíveis e registaram cada sucesso. Em termos simples: palavras-passe roubadas e reutilizadas, recicladas à escala industrial. Nenhum exploit exótico - apenas o resultado previsível da reutilização de credenciais e dos acessos recolhidos por malware.
Por que isto importa mesmo que nunca tenha tocado num equipamento Fortinet
Porque o FortiBleed não foi realmente sobre a Fortinet - foi sobre palavras-passe reutilizadas e roubadas. Os mesmos registos de infostealers que alimentaram esta lista contêm rotineiramente acessos a e-mail pessoal, banca, jogos e contas sociais. O ataque resultou porque as credenciais são reutilizadas entre sistemas e recolhidas discretamente por malware. Esse risco é universal.
O que fazer
A defesa é a mesma a qualquer escala:
- Pare de reutilizar palavras-passe. Cada conta deve ter uma palavra-passe longa e única, para que uma fuga não abra as outras. Um gestor de palavras-passe torna isto realista em vez de impossível de memorizar.
- Ative a autenticação de dois fatores. Com 2FA (idealmente uma aplicação de autenticação ou uma chave de hardware - não SMS), uma palavra-passe roubada por si só não deixa um atacante entrar.
- Corte o alimento aos infostealers. Mantenha o sistema operativo e o navegador atualizados, evite software pirata e descarregamentos duvidosos e não guarde palavras-passe sensíveis em ficheiros de texto ou em ficheiros do navegador desprotegidos.
- Se opera um FortiGate, siga agora o conselho da CISA: termine as sessões ativas, reponha as credenciais do dispositivo e altere qualquer dessas palavras-passe reutilizada noutros sítios.
A conclusão
O FortiBleed é uma das maiores e mais públicas demonstrações de uma verdade aborrecida: a maioria dos „hacks" são apenas palavras-passe reutilizadas e roubadas a serem experimentadas num sítio novo. Não consegue controlar a fuga de um fornecedor, mas pode tornar as suas próprias credenciais inúteis para reciclar - palavras-passe únicas, 2FA e uma configuração resistente a infostealers. É esse o jogo todo.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Proteja as suas contas → NordPassPalavras-passe fortes e únicas · scanner de fugas · plano gratuito→Perguntas frequentes
O que é o FortiBleed?
FortiBleed é o nome dado a uma vasta campanha de exposição de credenciais divulgada em meados de junho de 2026, que afeta as firewalls Fortinet FortiGate e os seus gateways SSL-VPN. Os investigadores (a descoberta é atribuída a Bob Diachenko) encontraram um conjunto de dados com nomes de utilizador, e-mails e palavras-passe em texto simples para cerca de 73.932 dispositivos Fortinet únicos em 194 países e mais de 21.000 domínios - segundo algumas estimativas, cerca de metade das firewalls Fortinet atualmente expostas à internet. É um incidente de infraestrutura empresarial, mas a forma como foi construído encerra lições para as palavras-passe de toda a gente.
Como é que os atacantes obtiveram as credenciais?
Segundo as fontes, os operadores não quebraram a encriptação da Fortinet. Montaram a lista a partir de fugas anteriores da Fortinet e de registos de malware infostealer - software que recolhe silenciosamente as credenciais guardadas nos navegadores e clientes VPN das máquinas infetadas - e depois testaram automaticamente essas credenciais contra todos os dispositivos FortiGate acessíveis, registando cada início de sessão bem-sucedido. Por outras palavras, é reutilização de credenciais e reciclagem de palavras-passe roubadas à escala industrial, não um novo exploit sofisticado.
A minha palavra-passe estava na fuga do FortiBleed?
O FortiBleed diz respeito especificamente às credenciais dos dispositivos Fortinet FortiGate/SSL-VPN, pelo que afeta sobretudo as organizações que operam esses equipamentos. Se a sua empresa usa FortiGate, a equipa de TI/segurança deve seguir as orientações da CISA: terminar imediatamente as sessões VPN ativas e repor as credenciais. Como particular, não pode verificar este conjunto de dados diretamente, mas a causa subjacente - palavras-passe roubadas por infostealers e reutilizadas - significa que a resposta correta é a mesma higiene que aplicaria após qualquer fuga.
O que devo fazer para me proteger?
Três coisas. Primeiro, pare de reutilizar palavras-passe - dê a cada conta uma palavra-passe longa e única, para que uma fuga não consiga desbloquear as outras (um gestor de palavras-passe torna isto prático). Segundo, ative a autenticação de dois fatores, idealmente uma aplicação ou chave de hardware, para que uma palavra-passe roubada por si só não chegue. Terceiro, proteja-se contra os infostealers: mantenha o dispositivo e o navegador atualizados, evite software pirata e descarregamentos suspeitos e não guarde palavras-passe sensíveis em texto simples. Se usa uma FortiGate afetada, reponha agora e altere quaisquer credenciais reutilizadas noutros sítios.
Porque é que uma fuga de firewall importa para palavras-passe comuns?
Porque o FortiBleed não foi realmente sobre a Fortinet - foi sobre palavras-passe reutilizadas e roubadas. Os mesmos registos de infostealers que alimentaram esta lista também contêm acessos a e-mail pessoal, banca e contas sociais. A defesa é idêntica a qualquer escala: palavras-passe únicas por site, autenticação de dois fatores e não deixar que o malware recolha credenciais do seu navegador. O FortiBleed é um lembrete enorme e muito público de por que estes hábitos importam.
