HD Doctor Logo

FortiBleed: como proteger o FortiGate, a VPN e os backups da empresa

Por Equipe Técnica HD Doctor

Resposta direta

Se a empresa tem FortiGate com VPN SSL ou administração acessível pela internet, trate o alerta como urgente mesmo sem sinal de invasão: encerre as sessões de administração e de VPN, troque as senhas, exija MFA e tire a interface de gestão da internet. Depois procure contas de administrador que ninguém criou. Se vocês já perderam o acesso de admin, não faça reset de fábrica por conta própria: preserve logs e configuração e acione quem administra o firewall, porque esse mesmo acesso tem sido usado como porta de entrada para ransomware.

O que o FBI descreveu e por que isso chega aos seus dados

Em 6/10/2026, o FBI e o Serviço Secreto dos EUA (USSS) publicaram o alerta conjunto JCSA-20261006-01, "FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts". O documento descreve o FortiBleed como uma campanha ativa e global de comprometimento de credenciais contra firewalls FortiGate e gateways de VPN SSL expostos à internet e, citando a SOCRadar, fala em mais de 86.644 equipamentos comprometidos em 194 países. Fonte: https://www.ic3.gov/CSA/2026/261006.pdf. Não se trata de uma falha nova esperando correção. Em 19/06/2026, a Fortinet afirmou que a atividade não decorre de vulnerabilidade nova e que os invasores reutilizam credenciais de incidentes anteriores e usam força bruta contra equipamentos com senhas fracas e sem MFA. Fonte: https://www.fortinet.com/blog/psirt-blogs/analysis-of-reported-credential-compromise-of-fortigate-devices. O alerta do FBI detalha o método: vazamentos antigos da Fortinet, logs de infostealer, credential stuffing e password spraying para entrar; extração da base de usuários e de tokens de sessão dos equipamentos invadidos; e quebra offline dos hashes em um cluster de GPUs com Hashcat e Hashtopolis. O armazenamento legado de senhas em SHA-256 é apontado como parte do problema, e a Fortinet recomenda as versões mais recentes das linhas 7.4, 7.6 ou 8.0 do FortiOS, que suportam PBKDF2 para as senhas de administrador. O bloqueio é o que dá nome ao alerta. Ao entrar, os invasores criam contas de administrador novas, com nomes que imitam suporte, como forticloud-sync, support_fortinet e fortiAdmin, e em alguns casos apagam as contas originais ou trocam suas senhas. A empresa perde o controle do próprio firewall enquanto o invasor tenta avançar pela rede; o FBI relata enumeração do Active Directory e novas rodadas de password spraying a partir do acesso obtido, além de possível uso de SSH quando a porta estava aberta no firewall. O próprio alerta avisa que, nesses casos, a remediação pode exigir mais do que atualizar e trocar senhas. O FBI descreve a operação como um broker de acesso inicial, que empacota e vende acessos de VPN, e afirma que relatos indicam repasse desses acessos a afiliados de ransomware, hoje incluindo INC/Lynx e Payload. A BleepingComputer, que noticiou o alerta em 7/10/2026, registra que a SOCRadar já havia ligado o FortiBleed às operações INC/Lynx em julho. Fonte: https://www.bleepingcomputer.com/news/security/fbi-ongoing-fortibleed-attacks-lock-out-fortigate-vpn-admins/. Em muitas empresas, o FortiGate é a porta entre a internet e o servidor de arquivos, o NAS, o hipervisor e o repositório de backup. Nossa leitura: quem entra pela VPN enxerga a rede como um funcionário remoto, e um backup alcançável pelas mesmas credenciais de domínio fica exposto ao mesmo risco. Isso é um cenário para orientar a revisão, não prova de que seus dados foram atingidos. Proteger o firewall e retomar o controle dele é trabalho da equipe de TI, do integrador e do suporte da Fortinet. A HD Doctor entra quando há dano aos dados: arquivos cifrados, volumes inacessíveis, VMs ou bancos que não sobem, backup que não restaura. Nesses casos, preservar mídias, logs e o estado dos equipamentos antes de novas tentativas mantém as alternativas de análise. As possibilidades de recuperação dependem da condição do material disponível, sem garantia de resultado.

Três reações que pioram o incidente

  1. 1.
    Achar que atualizar o FortiOS encerra o assunto. A atualização é necessária para usar PBKDF2, mas uma senha vazada ou quebrada continua válida depois dela. Sem encerrar sessões, trocar senhas, revisar contas e exigir MFA, o invasor pode voltar pela mesma porta.
  2. 2.
    Zerar o firewall por conta própria depois de perder o acesso. Reset de fábrica ou restauração de uma configuração antiga podem apagar logs e as contas criadas pelo invasor, que mostram desde quando e por onde ele entrou. Se houver dano em andamento, isole o equipamento junto com a equipe responsável: coletar evidências não justifica adiar a contenção, mas isolar é diferente de apagar.
  3. 3.
    Conectar o backup offline à rede sob suspeita. Enquanto o alcance da invasão não estiver claro, não ligue discos de backup à rede nem abra o console de backup com credenciais de domínio que possam ter vazado. Teste a cópia em ambiente separado.

Cinco passos para o FortiGate e para os dados

Roteiro editorial para a equipe de TI e o integrador que administra o firewall. Comandos e procedimentos específicos devem seguir a documentação da Fortinet e a configuração instalada.

  1. 1

    Descubra o que está exposto à internet

    Liste os FortiGate da matriz e das filiais, quem administra cada um e se a interface de administração, o SSH e a VPN SSL respondem pela internet. O FBI recomenda restringir a gestão externa por trusted hosts (bom), por local-in policy (melhor) ou retirar a administração da internet (o ideal).

  2. 2

    Encerre sessões e troque todas as senhas

    A partir de um equipamento confiável, encerre todas as sessões administrativas e de VPN e troque as senhas de administradores e de usuários de VPN. Exija MFA resistente a phishing em todos os acessos remotos e administrativos, inclusive nas contas de fornecedores.

  3. 3

    Revise contas, chaves de API e configuração

    Compare os usuários de firewall e VPN e a configuração atual com uma cópia sabidamente boa. Procure contas que ninguém reconhece, sobretudo com nomes de suporte; o alerta lista, entre outras, fgtsecure, forti_support2 e adminsslvpn. Remova chaves de API REST desconhecidas, renove as legítimas e confirme se as senhas de admin já usam PBKDF2.

  4. 4

    Leia os logs antes de concluir que nada aconteceu

    Revise logs do firewall, da VPN, de autenticação e dos controladores de domínio em busca de logins incomuns, contas novas e movimento lateral. O alerta lista IPs observados entre 18/06 e 23/07/2026. Guarde cópias fora do equipamento, com data e fuso. Se perdeu o acesso de admin, preserve os logs já enviados a syslog ou FortiAnalyzer e as cópias de configuração existentes.

  5. 5

    Confirme que o backup sobrevive à perda do firewall

    Verifique se existe cópia offline ou imutável que não dependa das credenciais do domínio nem da VPN e teste a restauração em ambiente isolado. Se arquivos, VMs ou bancos já estiverem cifrados ou inacessíveis, preserve discos e volumes no estado atual antes de qualquer reparo.

Dúvidas sobre o FortiBleed e a proteção dos dados

O FortiBleed é uma vulnerabilidade do FortiGate?

Não no sentido de uma falha nova. A Fortinet afirma que não se trata de vulnerabilidade nova, e o alerta do FBI descreve abuso de credenciais vazadas, reutilizadas ou quebradas, somado ao armazenamento legado de senhas em SHA-256. Manter o FortiOS atualizado continua necessário, mas não protege uma senha que já está nas mãos do invasor.

Como sei se o meu FortiGate foi comprometido?

Pelo que o alerta descreve, os sinais incluem contas de administrador que ninguém criou, senhas de admin que pararam de funcionar, contas legítimas apagadas, chaves de API desconhecidas e logins de VPN ou de administração vindos de IPs estranhos. A ausência desses sinais não encerra a questão: quem administra o equipamento precisa revisar logs e configuração.

Perdemos o acesso de administrador. A HD Doctor recupera?

Não. Retomar o controle do firewall é trabalho da equipe de TI, do integrador e do suporte da Fortinet, que tem orientação de recuperação para equipamentos comprometidos. A HD Doctor atua quando há perda ou inacessibilidade de dados em servidores, NAS, RAID, VMs e bancos de dados, por exemplo depois de um ataque de ransomware.

Quando faz sentido acionar recuperação profissional de dados?

Quando houver arquivos cifrados, volumes que não montam, VMs ou bancos que não sobem ou backup que falha na restauração. Preserve as mídias, não rode ferramentas de reparo sobre os originais e registre o que já foi tentado. As possibilidades dependem do estado do material, sem garantia de resultado.

Arquivos ou servidores ficaram inacessíveis?

Preserve as mídias e informe datas, sintomas e o que já foi tentado.

Próximas leituras