Fortinet sob ataque coordenado de força bruta: vulnerabilidades à vista?

Luanda, 14 de Agosto de 2025 – Uma nova vaga de ataques coordenados por força bruta está a atingir dispositivos da Fortinet, mais concretamente as VPNs SSL e o gestor centralizado FortiManager. A informação foi revelada pela plataforma de inteligência em cibersegurança GreyNoise e confirmada por diversos meios especializados.

O que está em curso?

• No dia 3 de Agosto de 2025, a GreyNoise observou um pico incomum e significativo de tráfego de força bruta contra VPNs SSL da Fortinet, com mais de 780 endereços IP únicos envolvidos num único dia, marcando o maior volume recente sob esse tipo de ataque (greynoise.io).
• Esses ataques foram classificados como direcionados e intrusivos, apontando para um actor ou grupo com conhecimento específico sobre os dispositivos FortiOS (fieldeffect.com).

Duas fases bem definidas

1. Primeira onda (3 de Agosto): ataque contínuo e prolongado, associado a uma assinatura TCP específica, direcionado ao perfil FortiOS da VPN SSL (greynoise.io).
2. Segunda onda (a partir de 5 de Agosto): alteração abrupta na assinatura TCP e mudança do foco para o perfil FortiManager – FGFM, ainda que continuasse a acionar o mesmo rótulo (“Fortinet SSL VPN Bruteforcer”) (greynoise.io).

Possível origem e ferramentas reutilizadas

Investigando mais a fundo, a GreyNoise identificou em Junho um pico anterior com uma assinatura relacionada, oriunda de um dispositivo FortiGate numa rede residencial da operadora Pilot Fiber Inc. Isso sugere que as ferramentas de ataque podem ter sido testadas ou operadas a partir de um ambiente doméstico ou proxy residencial (greynoise.io).

Alerta: possível vulnerabilidade zero-day a caminho

Historicamente, picos desta natureza antecedem a divulgação de novas vulnerabilidades, sendo que 80% dos casos similares resultaram em publicação de CVE dentro de seis semanas (greynoise.io).
Não foi confirmada, até ao momento, a existência de uma exploração ativa de um zero-day, mas o padrão de atividade observado acende um sinal de alerta e exige atenção reforçada por parte dos administradores de sistemas e dos setores de TI.

Reações do setor e vulnerabilidades associadas

• Artigos como os da TechRadar, Help Net Security, The Hacker News e BleepingComputer reforçam que a mudança rápida no alvo sugere um preparo estratégico, e recomendam que as organizações encarem tais picos como indícios de atividades mais graves por vir (TechRadar, Help Net Security).
• Um artigo recente do CyberScoop reportou, em paralelo, uma vulnerabilidade crítica (CVE‑2025‑25256) afetando o software FortiSIEM, com código de exploração em circulação, embora não necessariamente conectada à campanha de força bruta (CyberScoop).

Recomendação de mitigação imediata

Os analistas de cibersegurança aconselham as seguintes medidas:

• Ativar autenticação multifator (MFA) em todos os pontos de acesso remoto.
• Monitorizar logs de autenticação e configurar alertas para tentativas falhadas repetidas.
• Aplicar políticas de passwords robustas, bloqueio de conta após falhas sucessivas e limite de tentativas.
• Bloquear ou restringir o acesso à interfaces administrativas, como o FortiManager, apenas a IPs ou VPNs confiáveis.
• Bloquear os IPs identificados como maliciosos nas listas publicadas pela GreyNoise (BleepingComputer).
• Manter firmwares atualizados em todas as appliances Fortinet, incluindo patches para FortiSIEM e FortiManager quando aplicáveis (Help Net Security).

Conclusão

Esta campanha demonstra não só a sofisticação crescente dos ciberataques, mas também aguça a necessidade de vigilância constante e reativa eficaz na defesa de infraestruturas críticas. O comportamento dos atacantes — migração rápida de foco e reutilização de infraestrutura — sugere preparo e adaptação em tempo real, o que eleva o nível de risco.

É imperativo que empresas angolanas e globais que utilizam soluções Fortinet reforcem imediatamente suas políticas de segurança e controlem o acesso remoto, enquanto monitoram possíveis anúncios de vulnerabilidades nas próximas semanas.