Empresas que ainda confiam em firewalls como barreira definitiva contra invasores digitais podem estar subestimando riscos críticos. Um alerta recente da SOCRadar e da agência americana CISA expôs uma vulnerabilidade grave no FortiOS, sistema operacional dos firewalls FortiGate, permitindo que atacantes não autenticados executem código e comandos arbitrários nos dispositivos. O incidente desafia a crença de que firewalls de ponta, mesmo atualizados, bastam para proteger redes corporativas de ataques sofisticados.

Falha crítica permite invasão e controle remoto

A vulnerabilidade, registrada como CVE-2025-25249, afeta diretamente o FortiOS, sistema operacional presente em diversos dispositivos de segurança da Fortinet, incluindo os populares firewalls FortiGate. De acordo com a SOCRadar, a falha permite que um invasor envie requisições especialmente preparadas para executar comandos no sistema, sem necessidade de autenticação prévia. A Fortinet publicou correções para o problema em 13 de janeiro deste ano, mas ataques ativos já estavam em curso desde pelo menos julho, segundo o levantamento da SOCRadar.

O alerta foi reforçado pela agência de segurança cibernética dos Estados Unidos (CISA), que confirmou a exploração ativa da vulnerabilidade. Ambas as entidades destacam que a falha não se limita a um único modelo de equipamento, mas afeta uma gama de dispositivos que utilizam o FortiOS, ampliando o potencial de impacto para organizações de diferentes portes e setores.

Roubo de credenciais e movimento lateral: o novo vetor de risco

Além do acesso inicial ao firewall, os ataques identificados envolvem a instalação da ferramenta PivotC2, especializada em pós-exploração. Com ela, os invasores conseguem extrair chaves pré-compartilhadas de VPN, credenciais de usuários de VPN SSL, chaves de Wi-Fi, credenciais de bind do LDAP (protocolo de autenticação corporativa) e contas de administrador. Essas informações são usadas para acessar outros sistemas internos, permitindo o chamado movimento lateral, quando o atacante, já dentro da rede, busca alvos mais valiosos ou sensíveis.

Segundo a SOCRadar, em pelo menos dois casos nos Estados Unidos, os criminosos conseguiram comprometer não só o firewall, mas também a rede interna protegida por ele. Isso amplia o dano potencial, pois o acesso a credenciais privilegiadas pode abrir portas para ataques de ransomware, espionagem industrial ou roubo de dados estratégicos.

Incidentes globais e atribuição a grupos criminosos

Os ataques não se restringem a um único país. A SOCRadar identificou incidentes nos Estados Unidos, Chile, Colômbia e Reino Unido, apontando para uma campanha internacional coordenada. Os pesquisadores atribuem a ofensiva a um grupo criminoso de língua russa, com motivação financeira. O padrão de ataque sugere que o objetivo vai além do simples acesso: trata-se de obter informações que permitam extorsão, venda de dados ou ataques subsequentes a parceiros e clientes das organizações afetadas.

Até o momento, não há informações públicas sobre o número total de empresas impactadas ou o volume de dados comprometidos. A ausência desses números, comum em incidentes de segurança, dificulta a avaliação precisa do risco, mas a diversidade de países e setores atingidos indica que o problema é amplo e não restrito a alvos específicos.

O contra-argumento: atualização resolve o problema?

Uma resposta frequente diante de vulnerabilidades conhecidas é a recomendação de atualização imediata dos dispositivos afetados. De fato, a Fortinet disponibilizou patches de segurança em janeiro, e a aplicação dessas correções bloqueia a exploração do CVE-2025-25249. No entanto, a experiência recente mostra que muitas organizações demoram a atualizar equipamentos críticos, seja por dependência de integrações legadas, seja por receio de indisponibilidade durante o processo.

Além disso, segundo a SOCRadar, os ataques em curso desde julho indicam que a janela de exposição foi significativa antes da divulgação pública e da liberação dos patches. Ou seja, mesmo empresas que atualizam rapidamente podem já ter tido credenciais comprometidas, especialmente se não monitoraram logs e indicadores de comprometimento nos meses anteriores.

Outro ponto de debate é a confiança excessiva em firewalls como única linha de defesa. O comprometimento do dispositivo de borda permite que o atacante burle outras camadas de proteção, tornando insuficiente a simples atualização sem revisão de práticas de segmentação de rede, autenticação multifator e monitoramento contínuo.

O que ainda não se sabe: extensão real do impacto e riscos para o Brasil

Apesar dos alertas internacionais, não há dados públicos sobre incidentes confirmados no Brasil ou no Polo Industrial de Manaus. A ausência de relatos pode refletir tanto subnotificação quanto uma falsa sensação de segurança. Empresas brasileiras que utilizam FortiGate, especialmente em setores críticos ou com operações distribuídas, precisam considerar que a exposição não depende apenas da localização física, mas da conectividade global dos sistemas.

Também permanece incerto se as credenciais roubadas já foram usadas em ataques secundários, como ransomware ou fraudes financeiras. A experiência internacional sugere que, uma vez em posse de chaves de VPN e contas administrativas, criminosos tendem a explorar esses acessos de forma silenciosa antes de partir para ações destrutivas ou extorsivas.

Por fim, falta clareza sobre a eficácia das medidas de mitigação pós-exploração, como a troca de todas as credenciais e a revisão completa das permissões. Organizações que não adotarem uma postura proativa podem descobrir tarde demais que o ataque já avançou para outras camadas da infraestrutura.

Implicações práticas para empresas: custo, operação e decisão de infraestrutura

O episódio evidencia que a dependência exclusiva de firewalls, mesmo de marcas consolidadas, não elimina riscos de invasão. Para empresas de Manaus e do Polo Industrial, onde a conectividade é estratégica para a produção e a logística, a vulnerabilidade em dispositivos de borda pode significar paralisação de operações, exposição de dados sigilosos e impacto financeiro direto.

O custo de uma resposta tardia vai além da atualização: envolve auditoria de credenciais, revisão de acessos, treinamento de equipes e, em muitos casos, contratação de serviços especializados para análise forense. O risco de movimento lateral amplia o escopo do problema, exigindo que as empresas repensem a arquitetura de suas redes, adotando segmentação, autenticação forte e monitoramento em tempo real.

Para quem decide sobre infraestrutura, o incidente reforça a necessidade de avaliar não só a robustez dos equipamentos, mas também a capacidade de resposta do fornecedor, a frequência de atualizações e o suporte local. Em ambientes industriais e corporativos de Manaus, onde a disponibilidade é crítica, a escolha de parceiros com presença regional e SLA garantido pode ser o diferencial entre uma crise controlada e um prejuízo irreversível.

A vulnerabilidade no FortiGate expõe um ponto cego na estratégia de segurança de muitas empresas: a crença de que dispositivos de borda são barreiras intransponíveis. O caso mostra que, diante de ataques sofisticados e exploração ativa, só a combinação de atualização ágil, monitoramento contínuo e infraestrutura resiliente protege operações críticas. Para organizações de Manaus e do Polo Industrial, o próximo passo é garantir que a conectividade não seja o elo mais fraco da cadeia, e que a resposta a incidentes seja tão rápida quanto a inovação dos atacantes.