O FBI e o Serviço Secreto dos Estados Unidos (USSS) publicaram, em 6 de outubro de 2026, o comunicado conjunto JCSA-20261006-01, alertando que a campanha batizada de "FortiBleed" continua ativa contra firewalls FortiGate e gateways SSL VPN da Fortinet expostos à internet. Segundo o documento, pesquisadores da SOCRadar já verificaram mais de 86,6 mil dispositivos comprometidos em 194 países, e um servidor de backend dos próprios atacantes foi encontrado exposto em um diretório aberto, revelando parte da operação. O grupo age como um "corretor de acesso inicial" (initial access broker): varre a internet em busca de portais VPN expostos, tenta credenciais vazadas em vazamentos anteriores e logs de infostealers (credential stuffing e password spraying), extrai hashes de senha armazenados com o algoritmo legado SHA-256 e os quebra offline em clusters de GPU com Hashcat e Hashtopolis. Depois de obter acesso administrativo, os criminosos criam novas contas para manter persistência, apagam ou alteram as senhas das contas originais — bloqueando o acesso legítimo das vítimas — e vendem esse acesso a outros grupos. O FBI identifica que parte desses acessos já foi revendida a afiliados dos ransomwares INC, Lynx e Payload.
Por que isso importa para uma PME brasileira: o FortiGate é um dos firewalls mais usados por pequenas e médias empresas no Brasil justamente por concentrar firewall, VPN de acesso remoto e gerenciamento em um único equipamento — o que o torna um alvo de alto valor quando exposto à internet com credenciais fracas ou reaproveitadas. A campanha não depende de uma vulnerabilidade nova: ela explora senhas repetidas, vazadas ou fracas, algo comum em empresas sem política formal de senhas. E como o acesso é vendido no varejo para quem quiser pagar, nenhuma empresa é "pequena demais" para ser alvo — o comprador final pode ser desde um golpista de fraude bancária até uma afiliada de ransomware pronta para criptografar os sistemas e exigir resgate.
O que fazer agora: revise se a interface de administração do seu FortiGate está acessível pela internet pública e, se estiver, restrinja-a a uma lista de IPs confiáveis (política local-in) ou desative o acesso remoto de administração por completo. Encerre todas as sessões administrativas e de VPN ativas e redefina as senhas de todas as contas com política forte, dando prioridade a contas com nomes genéricos como "fortiAdmin", "forticloud-sync" ou "fgtsecure", citadas no alerta como padrões usados pelos atacantes. Exija autenticação multifator resistente a phishing em todo acesso remoto e administrativo, atualize o FortiOS para a versão 7.2.11 ou posterior (que armazena senhas administrativas com PBKDF2 em vez do hash legado) e revise logs de firewall, VPN e Active Directory em busca de contas novas ou movimento lateral incomum. Em caso de incidente, isole os sistemas afetados, não pague resgate e denuncie ao FBI/IC3 ou, no Brasil, ao CERT.br — e avalie se há dados pessoais comprometidos que exijam comunicação à ANPD sob a LGPD.
Fonte primária: comunicado conjunto do FBI e do Serviço Secreto dos EUA sobre a campanha FortiBleed (IC3, JCSA-20261006-01, 06/10/2026).
