Um grupo chamado k0t invadiu firewalls e VPNs da Fortinet e da Palo Alto Networks em vários países e expôs mais de 70 mil credenciais de equipamentos de rede, segundo relatório da Group-IB e da NyxLab publicado em 21 de outubro de 2026. O site especializado THN, que repercutiu o caso em 23/10, atribui 31,9% das vítimas à América Latina.
Firewall FortiGate e VPN GlobalProtect são comuns em empresas brasileiras de todos os tamanhos, inclusive escritórios pequenos que contrataram o equipamento uma vez e nunca mais mexeram. Se é o seu caso, este alerta é para hoje.
Como o grupo entrou
Segundo a Group-IB, o k0t explorou três falhas conhecidas, todas com correção disponível:
- CVE-2025-64446, no FortiWeb, o firewall de aplicações web da Fortinet;
- CVE-2026-0257, no PAN-OS GlobalProtect, a VPN da Palo Alto;
- CVE-2019-6693, uma chave de criptografia padrão do FortiOS, o sistema dos firewalls FortiGate.
O que foi exposto
Mais de 70 mil credenciais de equipamentos de rede e cópias de diretórios LDAP, que são as listas de usuários e senhas da rede da empresa. Com isso, o atacante pode entrar na rede interna como se fosse um funcionário.
A Group-IB encontrou sobreposição entre as vítimas do k0t e as listadas nos sites de vazamento dos grupos de ransomware Qilin e The Gentlemen, mas a relação não está confirmada.
A Ásia-Pacífico concentra 37,6% dos domínios afetados. Segundo os autores, a distribuição reflete onde há mais equipamentos expostos, e não um alvo escolhido. O número de 31,9% para a América Latina aparece no THN, mas não no resumo do relatório original que conseguimos ler. O Brasil não é citado nominalmente.
O que fazer agora
As recomendações da Group-IB, traduzidas para a rotina de uma empresa pequena:
- Tire a gestão do firewall da internet. A tela de administração do FortiGate, do FortiWeb ou do Palo Alto não deve ficar acessível de qualquer lugar.
- Aplique as correções. Confira com o fornecedor ou com quem instalou se o equipamento está numa versão que corrige as três falhas.
- Ative a criptografia de dados privados no Fortinet (private-data-encryption), para que a chave padrão deixe de servir.
- Troque as credenciais LDAP e do Active Directory guardadas nos equipamentos.
- Exija autenticação em dois fatores na VPN e no acesso administrativo.
- Procure programas de acesso remoto que ninguém instalou, como MeshCentral, Atera ou AnyDesk, e sinais de uso do Rclone, ferramenta usada para copiar dados para fora.
Por que isso pesa para a pequena empresa
O firewall costuma ser instalado uma vez, por um técnico ou pela operadora, e esquecido. Ninguém atualiza, a senha de administrador é a mesma desde a instalação e a VPN aceita login só com senha. É o cenário perfeito para um grupo que trabalha com falhas antigas: ele não precisa de nada novo, só de equipamento parado no tempo.
Nem sempre a empresa sabe que tem um FortiGate: muitas vezes o equipamento veio no pacote do provedor de internet ou foi instalado por um técnico terceirizado. O primeiro passo é descobrir que aparelho está entre a sua rede e a internet, quem tem a senha dele e quando foi a última atualização.
Trocar credenciais em massa é a parte mais trabalhosa. Um gerenciador de senhas corporativo ajuda a saber onde cada senha está e a trocar todas sem perder o controle; o OneckPass, de outra empresa, é uma opção para isso.
O que ainda não se sabe
Não há lista de vítimas brasileiras, e o vínculo com o ransomware Qilin segue sem confirmação. Também não se sabe quantos dos equipamentos invadidos ainda estão com as falhas abertas. Por isso, a recomendação é tratar o próprio equipamento como suspeito até conferir.
Onde a Oneck entra
A frente de Software & Sistemas da Oneck Creative desenvolve e mantém sistemas com controle de acesso, rotina de atualização e revisão das portas abertas para a internet. Se você não sabe quem cuida do firewall ou da VPN da sua empresa, fale com a gente pelo WhatsApp ou conheça a Software & Sistemas da Oneck Creative.
Fontes: Group-IB: relatório sobre o grupo k0t e os equipamentos de borda; THN: invasores atacam firewalls corporativos.
