A Fortinet deixou seus próprios dados em um drive na nuvem sem proteção — um hacker vendeu 440 GB deles

Em meados de janeiro de 2025, um ator de ameaça usando o codinome 'Fortibitch' começou a publicar em um fórum de hackers, alegando ter roubado cerca de 440 GB de dados da Fortinet, uma das maiores fornecedoras de segurança de rede do mundo. O ator disse que o material — apelidado de 'Fortileak' — havia sido extraído de um drive de arquivos SharePoint hospedado no Microsoft Azure que a Fortinet usava como plataforma compartilhada e externa de armazenamento de arquivos, e ofereceu os dados à venda após publicar pequenos arquivos de amostra como prova.

A Fortinet confirmou a intrusão com uma admissão incomum: informou aos clientes que uma quantidade 'limitada' de dados havia sido acessada por 'um ator de ameaça individual' por meio de um drive de arquivos compartilhado baseado em nuvem de terceiros, e que o atacante havia então publicado e vendido os arquivos. O próprio blog do PSIRT da empresa minimizou a escala, argumentando que a alegação de 440 GB do ator era enganosa porque o drive continha uma mistura de dados de funcionários e de clientes, alguns deles duplicados, e afirmou que o incidente afetou apenas uma fração de um por cento dos clientes.

A violação foi notável principalmente por quem ela atingiu: uma empresa cuja linha inteira de produtos existe justamente para impedir esse tipo de coisa. A Fortinet vende firewalls e softwares de segurança para dezenas de milhares de organizações, e seus clientes tiveram de ser informados de que um fornecedor em quem confiavam sua infraestrutura defensiva não conseguiu manter seus próprios documentos protegidos. A empresa disse que contratou um investigador terceirizado, revogou o acesso do atacante e alertou que os dados vazados poderiam ser usados em ataques de engenharia social ou de phishing contra seus clientes.

A Fortinet deixou seus próprios arquivos em um drive SharePoint do Azure sem proteção; um hacker vendeu 440 GB, provando que a fornecedora de firewall falhou no seu próprio padrão.

A Fortinet armazenava documentos corporativos e relacionados a clientes em um drive na nuvem hospedado externamente que um único ator de ameaça conseguiu alcançar e exfiltrar.

A fornecedora de segurança não aplicou ao seu próprio armazenamento de arquivos a mesma segmentação e o mesmo controle de acesso que vende aos clientes.

O incidente tornou-se público por meio da postagem do atacante no fórum, e não pela divulgação da própria Fortinet, de modo que a empresa esteve sempre reagindo.

Uma empresa de segurança é julgada pelo mesmo padrão que vende. Se o seu próprio drive compartilhado na nuvem é acessível por um único estranho, o firewall que você vende está fazendo menos trabalho do que o que você opera.

A Fortinet confirmou a violação aos clientes, contratou investigadores forenses, revogou o acesso do atacante e alertou que os materiais vazados poderiam ser usados para atingir clientes com phishing. A persona 'Fortibitch' e o despejo 'Fortileak' tornaram-se, nos círculos de segurança, uma forma abreviada de designar o constrangimento de um fornecedor cuja própria casa não estava em ordem — e um lembrete de que a camada de armazenamento costuma ser a parte mais vulnerável até do patrimônio de um fornecedor de segurança.