Pesquisadores das empresas de segurança Group-IB e NyxLab divulgaram em outubro de 2026 uma investigação sobre uma campanha em larga escala que invadiu firewalls e VPNs corporativas expostas na internet, principalmente equipamentos Fortinet FortiGate e Palo Alto Networks GlobalProtect. A partir desse primeiro acesso, os criminosos conseguiram entrar na rede interna das empresas, manter acesso remoto e roubar dados.
Quem está por trás
A campanha é atribuída a um grupo identificado como k0t (também chamado de CryptoFeel, Member19 e QazWsxShop), ativo desde outubro de 2025. Segundo os pesquisadores, o grupo tem ligação com as quadrilhas de ransomware Qilin e The Gentlemen, provavelmente vendendo ou repassando os acessos invadidos. Muitas das empresas atingidas apareceram depois nos sites de vazamento dessas quadrilhas.
O tamanho do problema
- Mais de 70 mil credenciais ligadas a equipamentos de rede e a diretórios de usuários (LDAP) foram identificadas.
- As vítimas estão em vários países e setores. A América Latina concentra cerca de 32% dos casos, atrás apenas da região Ásia-Pacífico.
- A maior parte das invasões aconteceu entre fevereiro e junho de 2026.
Como o ataque funciona
- Busca de alvos: os criminosos usam buscadores de dispositivos conectados para listar firewalls e VPNs acessíveis pela internet.
- Invasão: exploram falhas conhecidas que não foram corrigidas ou testam combinações comuns de usuário e senha. Entre as falhas citadas estão a CVE-2026-0257 (desvio de autenticação no PAN-OS e Prisma Access, da Palo Alto) e a CVE-2025-64446 (falha no FortiWeb, da Fortinet).
- Entrada na rede: com o acesso à VPN, mapeiam o Active Directory, as pastas compartilhadas e o antivírus instalado, e roubam mais senhas.
- Permanência: instalam ferramentas legítimas de acesso remoto (como MeshCentral e Atera) para continuar dentro do ambiente sem chamar atenção.
- Roubo de dados: copiam informações para serviços de armazenamento em nuvem antes de um possível ataque de ransomware.
O ponto mais importante: a porta de entrada não foi uma técnica sofisticada, e sim equipamentos desatualizados e senhas fracas em dispositivos que ficam de frente para a internet.
Como proteger o firewall e a VPN da sua empresa
- Atualize o firmware do firewall e da VPN e confirme com o fabricante se as falhas citadas já estão corrigidas no seu equipamento.
- Ative autenticação em dois fatores (MFA) na VPN e no acesso administrativo.
- Não deixe o painel de administração aberto para a internet; restrinja o acesso a endereços autorizados.
- Troque senhas padrão ou fracas e revise as contas de VPN, removendo usuários que não são mais usados.
- Monitore os registros de login da VPN e procure ferramentas de acesso remoto instaladas sem autorização nos servidores e computadores.
- Mantenha backups protegidos e testados, para conseguir se recuperar caso o ataque chegue ao ransomware.
Como a Microtech pode ajudar
A Microtech implanta e administra firewalls para empresas e pode revisar o seu ambiente: versão de firmware, regras de acesso, configuração da VPN, autenticação em dois fatores e monitoramento. Se você quer saber se o firewall da sua empresa está exposto, fale com a gente ou conheça nossos serviços de cibersegurança e redes.
