Um comunicado conjunto atribui novas campanhas de espionagem ao Centro 16 do serviço de inteligência russo e alerta que roteadores vulneráveis estão sendo utilizados como porta de entrada para redes dos setores de energia, saúde, defesa, finanças e governo.

Autoridades internacionais emitem alerta sobre campanha de espionagem

Agências de segurança cibernética dos Estados Unidos e de outros oito países divulgaram um alerta conjunto sobre ataques contra equipamentos de rede utilizados por organizações responsáveis por serviços essenciais.

Segundo o comunicado, um grupo de hackers ligado ao governo russo está explorando roteadores vulneráveis ou configurados de maneira inadequada para acessar redes de infraestrutura crítica.

O alerta foi elaborado pela Agência de Segurança Nacional dos Estados Unidos, a NSA, pelo Federal Bureau of Investigation, o FBI, e pela Agência de Segurança Cibernética e de Infraestrutura, a CISA.

A publicação também contou com a colaboração de autoridades da Austrália, Reino Unido, Canadá, Nova Zelândia, Estônia, Finlândia, França e Itália.

As operações foram atribuídas ao Centro 16, unidade ligada ao Serviço Federal de Segurança da Rússia, o FSB, responsável pela realização de atividades de espionagem cibernética.

Como os ataques acontecem

De acordo com as agências, os invasores realizam varreduras contínuas na internet em busca de roteadores expostos, desatualizados ou configurados de maneira insegura.

Um dos principais problemas identificados é a utilização de strings de comunidade padrão do protocolo SNMP, o Simple Network Management Protocol.

Essas strings funcionam como credenciais utilizadas para consultar ou modificar configurações dos equipamentos. Em muitos dispositivos, valores previsíveis como “public” e “private” permanecem configurados mesmo depois que o equipamento é colocado em produção.

Após encontrar um dispositivo vulnerável, os atacantes podem utilizar endereços IP falsificados para enviar comandos ao roteador e copiar seus arquivos de configuração.

Os arquivos são posteriormente transferidos para servidores controlados pelos invasores por meio do TFTP, protocolo simples normalmente utilizado para transferências de arquivos e configurações em ambientes de rede.

Com acesso a esses arquivos, os criminosos podem obter:

• Informações sobre a arquitetura da rede;
• Endereços IP internos;
• Configurações de interfaces;
• Rotas e segmentações;
• Credenciais armazenadas;
• Comunidades SNMP;
• Informações sobre VPNs;
• Detalhes que facilitam novos ataques.

O comprometimento do roteador pode funcionar como a primeira etapa de uma operação mais ampla de espionagem.

Vulnerabilidades antigas continuam sendo exploradas

O alerta destaca que o grupo continua utilizando vulnerabilidades conhecidas e antigas para comprometer dispositivos de rede.

Entre as falhas mencionadas está a CVE-2018-0171, vulnerabilidade crítica relacionada ao recurso Cisco Smart Install, presente em sistemas Cisco IOS e Cisco IOS XE.

Embora a vulnerabilidade tenha sido divulgada há vários anos, equipamentos desatualizados ou configurados de maneira insegura continuam expostos.

O FBI já havia informado que essa falha permanece sendo explorada desde 2021 contra organizações responsáveis por serviços essenciais.

Os atacantes também exploram interfaces administrativas expostas à internet, configurações inseguras e equipamentos que não recebem mais atualizações dos fabricantes.

O cenário demonstra que uma vulnerabilidade não deixa de representar risco apenas porque foi descoberta há muito tempo. Enquanto existirem dispositivos vulneráveis acessíveis, grupos criminosos continuarão tentando explorá-los.

Infraestruturas críticas estão entre os principais alvos

Os setores considerados de maior risco incluem:

• Energia;
• Telecomunicações;
• Indústria de defesa;
• Saúde;
• Serviços financeiros;
• Organizações militares;
• Órgãos governamentais estaduais e municipais.

Essas organizações dependem fortemente de equipamentos de rede para manter a comunicação entre sistemas, unidades, fornecedores e ambientes operacionais.

O comprometimento de um único roteador pode permitir a interceptação de tráfego, alteração de rotas, coleta de credenciais ou acesso a segmentos internos.

Em determinados casos, o atacante pode permanecer no equipamento por longos períodos, utilizando o dispositivo como ponto de observação ou como infraestrutura para novos ataques.

Campanhas anteriores também utilizaram roteadores

O alerta relembra operações internacionais anteriores contra botnets formadas por roteadores comprometidos.

Essas campanhas foram atribuídas ao grupo APT28, ligado à inteligência militar russa, e utilizaram malwares para controlar dezenas de milhares de dispositivos distribuídos globalmente.

Aproximadamente 18 mil roteadores localizados em 120 países teriam sido comprometidos.

Os criminosos modificavam configurações de DNS em roteadores MikroTik e TP-Link, especialmente equipamentos utilizados por pequenas empresas e escritórios domésticos.

A alteração permitia redirecionar usuários para servidores controlados pelos invasores, criando condições para interceptar credenciais do Microsoft 365 e capturar tokens OAuth utilizados na autenticação de serviços corporativos.

Como parte da resposta, o FBI, com autorização judicial e apoio de autoridades internacionais e empresas privadas, removeu remotamente configurações maliciosas e restaurou servidores DNS confiáveis nos equipamentos comprometidos.

Como proteger roteadores e equipamentos de rede

As agências recomendaram uma série de medidas para reduzir o risco:

• Migrar o gerenciamento para o SNMPv3;
• Utilizar autenticação e criptografia no gerenciamento dos equipamentos;
• Alterar imediatamente senhas e strings de comunidade padrão;
• Utilizar credenciais fortes, exclusivas e armazenadas com segurança;
• Desativar o Cisco Smart Install quando o recurso não for necessário;
• Bloquear tráfego SNMP e TFTP proveniente da internet;
• Restringir interfaces administrativas a redes de gerenciamento;
• Utilizar VPN ou bastion para acessos administrativos remotos;
• Manter firmwares e sistemas operacionais atualizados;
• Substituir equipamentos que não recebem mais atualizações;
• Realizar backup seguro das configurações;
• Monitorar alterações não autorizadas;
• Centralizar logs dos equipamentos em uma plataforma de monitoramento;
• Revisar periodicamente regras, rotas, DNS e configurações de VPN.

As empresas também devem incluir roteadores, switches, firewalls e outros equipamentos de rede em seus programas de gestão de vulnerabilidades.

Muitas organizações concentram seus esforços em servidores e estações de trabalho, deixando equipamentos de infraestrutura fora dos ciclos de atualização e monitoramento.

Equipamentos de rede são alvos estratégicos

Roteadores ocupam uma posição privilegiada dentro das redes corporativas. Eles processam comunicações, conhecem rotas internas e podem oferecer visibilidade sobre diferentes sistemas da organização.

Quando comprometidos, esses dispositivos podem ser utilizados para espionagem, interceptação de credenciais, manipulação de tráfego ou manutenção de acesso persistente.

O alerta reforça que configurações seguras, atualizações frequentes e eliminação de credenciais padrão são medidas essenciais para impedir que equipamentos de rede se transformem em portas de entrada para ataques contra infraestruturas críticas.

Empresa global de tecnologia confirma incidente após alegação de venda de dados

Uma empresa global de consultoria e tecnologia confirmou a ocorrência de um incidente isolado de segurança após um agente malicioso anunciar a suposta venda de aproximadamente 35 GB de informações.

A organização declarou que identificou e corrigiu a causa do incidente e que suas operações e serviços não foram afetados. Entretanto, não confirmou o volume, a autenticidade ou o conteúdo dos arquivos anunciados pelo invasor.

Entre os materiais que o agente afirma ter obtido estariam códigos-fonte, chaves criptográficas, credenciais e tokens relacionados a serviços em nuvem. Até o momento da divulgação, essas alegações não haviam sido verificadas de maneira independente.

O que o invasor afirma ter roubado

O responsável pela publicação utiliza o pseudônimo “888” e anunciou o material em um fórum conhecido por negociações relacionadas ao cibercrime.

Segundo o agente, a invasão teria ocorrido em julho de 2026 e resultado no roubo de mais de 35 GB de informações internas.

Entre os arquivos supostamente disponíveis no pacote estão:

• Código-fonte de projetos;
• Chaves criptográficas RSA;
• Chaves SSH utilizadas para autenticação em servidores;
• Tokens de acesso pessoal do Microsoft Azure;
• Chaves de acesso ao Azure Storage;
• Arquivos de configuração de sistemas.

Caso essas informações sejam autênticas e permaneçam válidas, o incidente pode representar um risco significativo.

Chaves SSH, tokens de acesso pessoal e credenciais de armazenamento podem permitir que invasores acessem sistemas, repositórios, pipelines de desenvolvimento e ambientes em nuvem.

Mesmo que as credenciais tenham sido revogadas, a exposição de código-fonte e arquivos de configuração pode fornecer informações importantes para a preparação de novos ataques.

Código-fonte pode revelar informações sensíveis

O vazamento de código-fonte não representa apenas a exposição da propriedade intelectual de uma empresa.

Repositórios podem conter segredos incorporados diretamente ao código, conhecidos como hardcoded secrets, incluindo:

• Senhas;
• Chaves de API;
• Tokens;
• Certificados;
• Endereços internos;
• Informações sobre servidores;
• Dados de conexão com bancos de dados;
• Detalhes sobre a arquitetura dos sistemas.

Mesmo quando os segredos não estão presentes, a análise do código pode ajudar um invasor a encontrar vulnerabilidades, compreender fluxos de autenticação ou identificar componentes desatualizados.

Esse risco se torna ainda mais relevante quando o repositório pertence a uma empresa que desenvolve ou administra sistemas para diversos clientes.

Evidências ainda não foram verificadas

Para sustentar suas alegações, o agente publicou uma captura de tela que aparentemente mostra a clonagem de um repositório hospedado no Azure DevOps.

O repositório exibido seria denominado “121123_AtriasTalentAcademy” e estaria hospedado em um domínio relacionado à Accenture.

Entretanto, não foi possível verificar de forma independente o alcance do incidente ou confirmar se todos os arquivos anunciados foram realmente obtidos pelo invasor.

A existência de capturas de tela e pequenas amostras não confirma necessariamente a quantidade, a origem ou a validade de todo o material colocado à venda.

Empresa mantém detalhes sob sigilo

Embora tenha confirmado o incidente, a Accenture ainda não informou:

• Como os invasores acessaram o ambiente;
• Se alguma vulnerabilidade conhecida foi explorada;
• Se credenciais foram roubadas;
• Se dados de clientes foram comprometidos;
• Se os tokens e as chaves divulgadas continuam válidos;
• Quantos sistemas foram afetados;
• Se fornecedores ou terceiros estavam envolvidos;
• Se investigações externas estão em andamento.

A ausência dessas informações limita a avaliação independente sobre a dimensão real da ocorrência.

Também não está claro se o invasor conseguiu acessar apenas um repositório específico ou se obteve acesso a outros ambientes da empresa.

Histórico de incidentes

Esta não é a primeira vez que a Accenture aparece relacionada a incidentes de segurança.

Em 2024, o mesmo agente malicioso tentou comercializar informações de funcionários da companhia após um comprometimento envolvendo um fornecedor terceirizado.

Em 2021, a empresa também foi vítima do grupo de ransomware LockBit, que afirmou ter roubado dados internos antes de iniciar uma tentativa de extorsão.

Os episódios demonstram que grandes empresas de tecnologia, consultoria e desenvolvimento continuam sendo alvos frequentes de grupos especializados em roubo de dados.

A quantidade de clientes, fornecedores, integrações e projetos administrados por essas organizações pode aumentar o interesse dos atacantes.

Como as organizações podem reduzir os riscos

Independentemente da origem do incidente, empresas que utilizam repositórios de código e serviços em nuvem devem reforçar os controles de proteção.

Entre as principais medidas estão:

• Implementar autenticação multifator para contas administrativas e de desenvolvimento;
• Aplicar o princípio do menor privilégio;
• Revisar acessos a projetos, repositórios e pipelines;
• Rotacionar periodicamente chaves, tokens e credenciais;
• Revogar imediatamente credenciais expostas;
• Monitorar atividades no Azure DevOps e em plataformas semelhantes;
• Manter registros de auditoria;
• Criar alertas para clonagens e downloads incomuns de repositórios;
• Restringir o uso de tokens de acesso pessoal;
• Definir prazos de expiração para credenciais;
• Proteger contas de serviço;
• Revisar integrações com ferramentas externas;
• Utilizar cofres para armazenamento de segredos;
• Proibir credenciais diretamente no código-fonte.

As organizações também devem implementar ferramentas automatizadas de Secret Scanning.

Essas soluções analisam arquivos e alterações enviadas aos repositórios, identificando chaves, senhas e tokens antes que sejam publicados.

O controle deve ser aplicado tanto aos repositórios públicos quanto aos privados, já que ambientes internos também podem ser acessados por contas comprometidas.

Proteção de ambientes de desenvolvimento é essencial

A confirmação do incidente demonstra que houve uma violação, mas ainda existem poucas informações sobre sua dimensão.

Até o momento, não foi possível confirmar a quantidade de dados efetivamente comprometida, a autenticidade de todos os arquivos anunciados ou a existência de impacto para clientes.

O caso reforça a importância de proteger ambientes de desenvolvimento com o mesmo nível de atenção aplicado aos sistemas de produção.

Repositórios, pipelines, tokens e plataformas DevOps concentram informações capazes de oferecer acesso privilegiado à infraestrutura de uma organização. Por esse motivo, devem ser continuamente monitorados, auditados e protegidos contra credenciais expostas.

Ataque cibernético paralisa sistemas da maior empresa de táxis do Japão

Uma importante operadora japonesa de táxis e transporte executivo informou que um acesso externo não autorizado resultou na infecção de parte de seus sistemas por malware.

O incidente provocou a indisponibilidade de serviços de despacho de veículos, reservas online e sistemas internos. Como medida de contenção, a empresa desconectou os ambientes afetados e isolou sua rede corporativa.

Até a última atualização divulgada, não havia evidências confirmadas de vazamento de dados, criptografia de sistemas ou exigência de pagamento de resgate. A origem e a extensão do ataque permaneciam sob investigação.

Quais serviços foram afetados

O incidente afetou diretamente diferentes sistemas utilizados nas operações diárias da empresa.

Entre os serviços interrompidos estavam:

• Sistema de despacho de táxis por telefone;
• Plataforma de reservas online;
• Solicitação de veículos com motorista;
• Sistemas internos de tecnologia da informação;
• Serviço de táxi destinado a gestantes.

O serviço voltado a gestantes estava disponível em cidades como Tóquio, Yokohama, Saitama, Musashino, Mitaka e Tachikawa.

A interrupção afetou uma frota com mais de 8.500 táxis e aproximadamente 2.000 veículos executivos, prejudicando o atendimento em diferentes regiões.

Durante o período de recuperação, os usuários foram orientados a utilizar o aplicativo GO Taxi ou tentar solicitar veículos diretamente por telefone, quando o serviço estivesse disponível.

Ataque ultrapassou os limites da área de tecnologia

O incidente demonstra como um ataque cibernético pode provocar impactos que vão além da indisponibilidade de computadores.

No setor de transportes, sistemas digitais são utilizados para:

• Receber solicitações;
• Localizar veículos;
• Distribuir corridas;
• Planejar rotas;
• Processar reservas;
• Comunicar motoristas e centrais;
• Controlar pagamentos;
• Administrar dados de clientes;
• Organizar operações corporativas.

Quando esses sistemas ficam indisponíveis, a prestação do serviço também pode ser interrompida.

No caso da Nihon Kotsu, o ataque afetou diretamente a capacidade de despachar veículos e receber reservas, demonstrando a dependência operacional da empresa em relação à sua infraestrutura tecnológica.

Como a empresa respondeu ao incidente

Assim que identificou o ataque, a Nihon Kotsu adotou medidas emergenciais para limitar seus impactos.

Entre as ações implementadas estavam:

• Desconexão imediata dos sistemas comprometidos;
• Isolamento da rede corporativa;
• Interrupção preventiva de determinados serviços;
• Contratação de especialistas externos em segurança cibernética;
• Início de uma investigação técnica;
• Comunicação às autoridades competentes;
• Notificação dos órgãos responsáveis pela proteção de dados.

Segundo a empresa, essas medidas ajudaram a impedir que o malware se espalhasse para outros sistemas.

O isolamento rápido da rede é uma ação importante em incidentes envolvendo malware, especialmente quando ainda não se conhece a capacidade de propagação da ameaça.

Entretanto, a desconexão também pode provocar indisponibilidade operacional, exigindo que a empresa mantenha processos alternativos para continuar prestando seus serviços.

Origem do ataque permanece desconhecida

Até o momento da última atualização, a Nihon Kotsu não havia divulgado como os invasores conseguiram acessar sua infraestrutura.

A empresa orientou clientes e usuários a redobrarem a atenção com mensagens, e-mails e anexos suspeitos que utilizassem o nome da companhia.

Apesar do alerta, não havia confirmação de que uma campanha de phishing tenha sido a porta de entrada do ataque.

Também não foram divulgados indicadores técnicos como:

• Família do malware;
• Hashes dos arquivos maliciosos;
• Endereços de comando e controle;
• Domínios utilizados pelos atacantes;
• Endereços IP maliciosos;
• Vulnerabilidades exploradas;
• Contas comprometidas;
• Técnicas utilizadas para movimentação lateral.

Nenhum grupo de ransomware ou organização criminosa havia assumido a responsabilidade pelo ataque.

Não há confirmação de roubo de dados

Até a última atualização divulgada pela empresa, não haviam sido identificadas evidências de:

• Vazamento de informações pessoais;
• Exfiltração de dados corporativos;
• Criptografia de sistemas;
• Exigência de pagamento de resgate.

A ausência de evidências iniciais, entretanto, não significa que o roubo de dados esteja definitivamente descartado.

Investigações envolvendo exfiltração podem levar dias ou semanas, especialmente quando a organização precisa analisar grandes volumes de logs e identificar comunicações realizadas antes da detecção.

A Nihon Kotsu informou que continuaria analisando seus ambientes e notificaria clientes e parceiros caso qualquer comprometimento de informações fosse identificado.

Ataque evidencia riscos para o setor de transportes

Empresas de transporte dependem cada vez mais de plataformas digitais para administrar suas operações.

Sistemas de despacho, reservas, localização, atendimento e comunicação são fundamentais para manter a continuidade dos serviços.

Quando essas plataformas são comprometidas, os impactos podem atingir motoristas, passageiros, empresas parceiras e serviços especiais destinados a grupos específicos da população.

O caso também demonstra que a indisponibilidade pode ser tão prejudicial quanto o vazamento de dados.

Mesmo sem confirmação de exfiltração, a paralisação dos sistemas produziu impactos operacionais significativos.

Como as organizações podem reduzir os riscos

Embora os detalhes técnicos do ataque não tenham sido divulgados, organizações que dependem de sistemas digitais para suas operações devem adotar medidas preventivas e de continuidade.

Entre as principais recomendações estão:

• Implementar proteção avançada contra phishing;
• Utilizar filtros para links e anexos maliciosos;
• Manter soluções de EDR atualizadas;
• Segmentar redes corporativas;
• Separar ambientes administrativos e operacionais;
• Restringir comunicações entre segmentos;
• Aplicar autenticação multifator;
• Manter sistemas e aplicações atualizados;
• Monitorar acessos remotos;
• Realizar backups frequentes;
• Armazenar cópias de segurança fora da rede principal;
• Testar periodicamente a restauração dos backups;
• Elaborar planos de resposta a incidentes;
• Criar procedimentos de continuidade operacional;
• Realizar exercícios simulados;
• Treinar funcionários contra engenharia social.

Empresas do setor também devem estabelecer processos alternativos para manter operações mínimas durante períodos de indisponibilidade.

Esses processos podem incluir canais alternativos de atendimento, procedimentos manuais, sistemas de contingência e formas independentes de comunicação com funcionários e clientes.

Continuidade operacional precisa fazer parte da segurança

A Nihon Kotsu segue trabalhando para restaurar seus sistemas e esclarecer a extensão do incidente.

Embora não existissem indícios de vazamento de dados até a última atualização, o ataque provocou impactos relevantes sobre a capacidade operacional da empresa.

O caso demonstra que a resposta a incidentes não deve se limitar à identificação e remoção do malware.

As organizações também precisam estar preparadas para manter serviços essenciais funcionando enquanto seus sistemas são investigados e recuperados.

Em setores como transporte, saúde, energia e serviços financeiros, a continuidade operacional deve ser tratada como parte central da estratégia de segurança cibernética.

Parecer técnico da MITM