Resumo de segurança: FortiBleed e Klue, 22

Os incidentes desta semana têm um fio condutor comum: credenciais roubadas há semanas ou meses continuam a abrir portas. Corrigir a vulnerabilidade que permitiu o roubo não invalida o que já foi levado. Três casos desta semana ilustram essa ideia de formas diferentes:

FortiBleed confirmou que mais de 15 000 credenciais verificadas de administrador e de VPN da Fortinet (recolhidas de ficheiros de configuração de firewalls em mais de 100 países) já circulam. A mensagem da CISA foi inequívoca: após um comprometimento, a rotação de credenciais não é opcional, e as atualizações de software, por si só, não fecham essa janela.
Operation Endgame desarticulou a infraestrutura por trás do Amadey e do StealC, duas das famílias de infostealers (malware que rouba credenciais) mais ativas. A Europol recuperou cerca de 27 milhões de credenciais roubadas e apreendeu centenas de servidores. A infraestrutura está inoperacional; as credenciais que já circulam, não.
O FICOBA francês foi alvo de uma violação que não exigiu qualquer exploit. Um atacante utilizou uma única conta comprometida de um funcionário público para consultar 3,5 milhões de registos bancários ao longo de duas semanas: nenhuma vulnerabilidade de software, apenas uma credencial ativa e sem monitorização.

A semana trouxe ainda uma violação na cadeia de abastecimento da LastPass através de uma plataforma SaaS de terceiros, um zero-day ativamente explorado na solução Cisco SD-WAN, que deu aos atacantes acesso root e contas de administrador ocultas durante mais de dois meses, e uma suspeita exfiltração de 200 GB provenientes do Conselho da Europa, reivindicada pelo ShinyHunters.

Do lado do setor, a empresa checa Wultra angariou 3,5 milhões de euros para autenticação pós-quântica, e a WALLIX associou-se ao Inria para abordar o crescente problema das identidades de máquina: chaves de API, tokens e contas de serviço que a maioria das organizações ainda não consegue inventariar por completo.

Este resumo abrange 8 acontecimentos significativos de 22 a 29 de junho de 2026.

FortiBleed: Mais de 15 000 credenciais de administrador da Fortinet roubadas em mais de 100 países, a CISA exige a rotação imediata

Investigadores de segurança descobriram uma campanha de recolha de credenciais em larga escala, designada FortiBleed, que expôs mais de 15 000 credenciais verificadas de administrador e de VPN SSL de firewalls Fortinet FortiGate em mais de 100 países. As credenciais, recolhidas ao longo de vários anos através de ficheiros de configuração de firewalls comprometidos, foram associadas a organizações como a Siemens, a DHL e um fornecedor turco do setor da defesa.

Porque isto importa: O FortiBleed evidencia uma distinção crítica: corrigir uma vulnerabilidade não elimina o risco quando as credenciais já foram roubadas. Após a divulgação, a CISA instou as organizações a agir de imediato:

Terminar sessões e repor credenciais. Termine todas as sessões ativas de VPN SSL e de administrador. Reponha todas as palavras-passe de VPN e de administrador da Fortinet, especialmente nos sistemas expostos à internet.
Garantir o armazenamento seguro das credenciais. Confirme a utilização de PBKDF2 para armazenar as credenciais de administrador e elimine os hashes legados mais fracos, de acordo com as orientações da Fortinet.
Rever os logs. Verifique os logs da firewall, da VPN, de autenticação e dos controladores de domínio, em busca de movimento lateral, contas suspeitas ou alterações de configuração não autorizadas.
Ativar a autenticação multifator (MFA) resistente a phishing. Exija a MFA resistente a phishing em todas as contas de acesso remoto e de administração, incluindo todos os gateways externos e interfaces administrativas.
Reduzir a superfície de ataque e proteger o acesso de gestão. Mantenha a administração da firewall fora da internet pública, restrinja as interfaces de gestão a redes internas fiáveis e desative as contas desnecessárias.

Fontes: Dark Reading – 23 de junho de 2026

Dados de suporte ao cliente da LastPass roubados através da violação da cadeia de abastecimento da Klue

A LastPass notificou os utilizadores de que dados de suporte ao cliente e de vendas foram roubados depois de os atacantes terem comprometido a Klue, uma plataforma de investigação de mercado de terceiros. O grupo de extorsão Icarus terá abusado de tokens OAuth para aceder a dados do Salesforce de cerca de 20 empresas de cibersegurança, incluindo a LastPass, a HackerOne e a Recorded Future. A LastPass afirmou que os cofres de palavras-passe não foram afetados, mas os dados roubados incluíam nomes de clientes, números de telefone, endereços de e-mail e físicos, detalhes de casos de suporte e registos de vendas.

Porque isto importa: O incidente mostra como as integrações SaaS podem expor dados sensíveis de clientes mesmo quando os sistemas principais permanecem seguros. Para as empresas, o incidente reforça a necessidade de avaliar o acesso de aplicações SaaS de terceiros, restringir as permissões OAuth, monitorizar a atividade das integrações e tratar a governação de fornecedores como parte da segurança de identidades. Em quadros de conformidade como a Diretiva NIS2, o risco de fornecedores e o controlo de acessos estão a tornar-se preocupações de segurança ao nível da administração.

Fontes: TechCrunch – 23 de junho de 2026

Operation Endgame: A Europol apreende centenas de servidores e recupera 27 milhões de credenciais roubadas das redes Amadey e StealC

Uma operação internacional de aplicação da lei, liderada pela Europol, desarticulou a infraestrutura por trás das famílias de malware Amadey e StealC, duas das plataformas de roubo de credenciais mais ativas. As autoridades apreenderam centenas de servidores e domínios, congelaram criptomoedas associadas aos operadores e recuperaram cerca de 27 milhões de credenciais roubadas. A operação envolveu vários países europeus, entre os quais a Alemanha, a França, os Países Baixos e o Reino Unido. A Microsoft estimou que estas famílias de malware infetaram centenas de milhares de dispositivos em todo o mundo durante as campanhas recentes.

Porque isto importa: Esta é uma das maiores desarticulações recentes do ecossistema de infostealers. No entanto, as organizações não devem presumir que o risco desapareceu. Milhões de palavras-passe e de tokens de sessão roubados já circulam em mercados criminosos e continuarão a alimentar ataques de apropriação de contas (account takeover).

Fonte: The Hacker News / Europol – 24 de junho de 2026

Zero-day no SD-WAN da Cisco explorado durante mais de 2 meses: Os atacantes obtiveram acesso root e criaram contas de administrador ocultas

A Cisco revelou que os atacantes exploravam uma vulnerabilidade zero-day no Catalyst SD-WAN Manager pelo menos dois meses antes da divulgação. Segundo a Mandiant, os atacantes obtiveram privilégios de root, modificaram credenciais de administrador, criaram contas privilegiadas ocultas e removeram provas forenses para manter uma persistência de longo prazo. A Cisco publicou também informações sobre uma vulnerabilidade relacionada de contorno de autenticação que afeta a mesma plataforma.

Porque isto importa: Muitas organizações tratam os equipamentos de rede como infraestrutura de confiança, mas estes dispositivos detêm frequentemente credenciais com privilégios muito elevados. Uma vez comprometidos, dão aos atacantes acesso administrativo persistente em toda a rede. A aplicação de patches deve ser acompanhada de monitorização contínua das identidades privilegiadas.

Fonte: The Hacker News / Google Mandiant – 25 de junho de 2026

Credenciais governamentais comprometidas expõem 3,5 milhões de contas bancárias na violação do registo francês FICOBA

As autoridades francesas revelaram que os atacantes utilizaram credenciais governamentais comprometidas para aceder ao FICOBA, o registo nacional de contas bancárias do país. Durante um período de aproximadamente duas semanas, os atacantes consultaram informações associadas a cerca de 3,5 milhões de contas bancárias, incluindo nomes, moradas e números IBAN. As autoridades indicaram que o atacante abusou de uma conta existente de um funcionário público, em vez de explorar uma vulnerabilidade de software.

Porque isto importa: O incidente evidencia que as credenciais comprometidas continuam a ser uma ameaça importante, mesmo nos sistemas governamentais. Os controlos de identidade sólidos são tão importantes como a segurança da infraestrutura. À medida que a aplicação da NIS2 se alarga pela Europa, incidentes como este mostram por que razão a segurança de identidades se está a tornar uma questão de conformidade ao nível da administração.

Fonte: Shattered.io – 23 de junho de 2026

O ShinyHunters afirma ter roubado 200 GB dos sistemas de RH e de processamento salarial do Conselho da Europa

O grupo ShinyHunters reivindicou a responsabilidade pela intrusão em sistemas internos do Conselho da Europa e pelo roubo de mais de 200 GB de informação de recursos humanos e de processamento salarial. A organização confirmou um incidente de cibersegurança, restringiu o acesso aos sistemas afetados e iniciou uma investigação forense. No momento da publicação, o alcance total do comprometimento ainda não tinha sido confirmado.

Porque isto importa: Embora a atribuição continue sob investigação, o incidente insere-se num padrão crescente de ataques contra instituições públicas com recurso a credenciais roubadas ou a phishing. As organizações europeias devem esperar que os atacantes continuem a visar os sistemas de identidade e não apenas a infraestrutura. Controlos de acesso sólidos e uma resposta rápida a incidentes continuam a ser essenciais, tanto no setor público como no privado.

Fonte: CyPro – 26 de junho de 2026

A empresa checa Wultra angaria 3,5 milhões de euros para desenvolver autenticação pós-quântica e resistente a phishing para bancos europeus

A empresa checa de cibersegurança Wultra anunciou uma ronda de financiamento Série A de 3,5 milhões de euros para expandir a sua plataforma de autenticação na Europa. A empresa desenvolve tecnologias de autenticação resistente a phishing para bancos, serviços financeiros e fornecedores de identidade digital. O investimento apoiará a adoção da criptografia pós-quântica e de métodos de autenticação concebidos para cumprir os próximos regulamentos europeus, incluindo PSD3, PSR e eIDAS 2.0.

Porque isto importa: As organizações europeias estão a preparar-se não só para as ameaças de identidade atuais, mas também para futuros riscos criptográficos. À medida que os reguladores promovem cada vez mais normas mais exigentes de identidade digital, os investimentos estão a deslocar-se para a autenticação resistente a phishing e pós-quântica. O financiamento reflete a procura crescente de tecnologias de autenticação capazes de sustentar a conformidade a longo prazo, reduzindo a dependência de palavras-passe e de métodos de MFA legados.

Fonte: The Recursive – 29 de junho de 2026

A WALLIX e o Inria associam-se para proteger identidades de máquina

O fornecedor europeu de gestão de identidades e acessos (IAM) e de gestão de acessos privilegiados (PAM) WALLIX e o instituto de investigação francês Inria anunciaram uma parceria para desenvolver soluções de IA de confiança para proteger identidades de máquina. A colaboração visa responder aos riscos estruturais criados pelo rápido crescimento das identidades não humanas, incluindo chaves de API, contas de serviço, tokens e certificados utilizados em fluxos de trabalho automatizados e em pipelines de CI/CD.

Porque isto importa: As identidades de máquina já ultrapassam as identidades humanas na maioria dos ambientes empresariais, e o seu número continua a crescer com cada novo microsserviço e pipeline de implementação. No entanto, muitas organizações continuam a não ter um controlo centralizado sobre estas credenciais, que permanecem dispersas por ficheiros de configuração, variáveis de ambiente e repositórios de código-fonte. A atenção crescente dos principais intervenientes europeus em cibersegurança confirma que a gestão de identidades de máquina se está a tornar uma das principais prioridades da segurança empresarial.

Fonte: Industrial Cyber – 26 de junho de 2026

Resumo da semana

Três lacunas destacam-se de forma recorrente nos incidentes desta semana:

A rotação de credenciais é tratada como uma tarefa posterior à violação, e não como uma tarefa de rotina. Nos três casos, rodar as credenciais antes ou imediatamente após o comprometimento inicial teria contido os danos.
O acesso de aplicações SaaS de terceiros é, em grande medida, deixado sem auditoria. A violação da LastPass ocorreu através de uma plataforma de investigação de mercado com acesso OAuth ao Salesforce. A maioria das equipas de segurança não conseguiria, neste momento, listar todas as integrações OAuth do respetivo ambiente.
As identidades de máquina continuam a ser a classe de credenciais com menor governação. O anúncio da WALLIX/Inria e o caso da Cisco apontam para a mesma lacuna: chaves de API, contas de serviço e tokens em pipelines que ninguém monitoriza ativamente.

A boa notícia da Operation Endgame é real: desativar a infraestrutura do Amadey e do StealC é importante. Mas milhões de credenciais roubadas anteriormente continuam disponíveis para os atacantes.

Uma gestão de acessos eficaz limita o valor das credenciais roubadas, mesmo depois de o ataque original ter terminado. O Passwork reúne a gestão de palavras-passe e de segredos numa única plataforma, com REST API, SDK Python e CLI, para as equipas que precisam de controlo centralizado sobre as credenciais de máquina sem a sobrecarga da PAM tradicional. Controlar as credenciais antes dos atacantes.

A cibersegurança nunca para. O Passwork regressa na próxima semana com os incidentes e as tendências de segurança mais relevantes para as equipas.

Notícias de cibersegurança: Credenciais roubadas e atraso nos patches