O firewall é a porta da frente da sua rede. É o equipamento que você configurou uma vez, encaixou no rack e passou a tratar como móvel: está lá, funciona, ninguém mexe. O problema é que os grupos de ransomware sabem disso melhor do que você. Em 10 de agosto de 2026, o FBI e a CISA, junto com a NSA, o Serviço Secreto americano e a polícia nacional da Coreia do Sul, publicaram um alerta conjunto sobre um grupo chamado Gunra — e o recado é direto: eles não estão arrombando a porta, estão passando por ela usando falhas conhecidas em firewalls que ninguém atualizou.
Se você é gestor de TI de uma empresa de porte médio, ou sócio de uma PME que terceiriza a rede, este post é para você. Não vamos falar de “ameaças cibernéticas” no abstrato. Vamos falar do equipamento específico que está entre a internet e os seus servidores, e do que fazer com ele ainda nesta semana.
O que o alerta de 10 de agosto realmente diz
A Gunra apareceu em abril de 2025 e foi construída a partir do código-fonte do ransomware Conti, que vazou em 2022. Ou seja: não é um grupo amador testando ferramentas caseiras — é um projeto que reaproveitou um dos ransomwares mais eficientes já vistos. Em janeiro de 2026 o grupo virou um serviço (o modelo “ransomware-as-a-service”), recrutando afiliados em fóruns criminosos, inclusive sob o novo nome “Golden Community”. Traduzindo: mais gente atacando, com a mesma arma.
Segundo o alerta, a Gunra tem mirado saúde, serviços financeiros e governo no mundo todo. Os pedidos de resgate passam de 10 milhões de dólares, com prazo de cinco a sete dias para pagar. A empresa de segurança industrial Dragos contabilizou 1.140 incidentes de ransomware afetando organizações industriais só no segundo trimestre de 2026 — 12% a mais que no trimestre anterior. A Gunra é uma peça de um problema que está crescendo, não diminuindo.
Por que o firewall virou a porta de entrada preferida
Aqui está o mecanismo, porque entender o “como” vale mais do que decorar o nome do grupo. O firewall (ou o appliance de VPN) é, por definição, o único equipamento da sua rede que fica exposto à internet o tempo todo. Ele precisa estar acessível de fora para o VPN funcionar, para o e-mail entrar, para o acesso remoto acontecer. Isso o torna, ao mesmo tempo, o mais importante e o mais atacado.
Quando o fabricante descobre uma falha grave nesse equipamento e libera uma correção, começa uma corrida. De um lado, você, que precisa aplicar a atualização. Do outro, atacantes que leem o mesmo aviso de segurança e escrevem código para explorar quem ainda não atualizou. Grupos como a Gunra vivem dessa janela: eles varrem a internet procurando appliances desatualizados e entram por eles com privilégio de administrador — sem senha, sem phishing, sem clique errado de ninguém.
A segunda porta é ainda mais silenciosa: credenciais de VPN roubadas. Um funcionário instala um programa pirata em casa, o computador dele é infectado por um “infostealer”, e o usuário e a senha da VPN da empresa vão parar num mercado clandestino. O atacante compra, entra pela VPN como se fosse o funcionário, e você não vê nada de anormal nos logs — porque, tecnicamente, não há.
As duas falhas que a Gunra explora
O alerta cita duas vulnerabilidades específicas em firewalls Fortinet (FortiOS e FortiProxy), ambas já no catálogo de falhas exploradas ativamente da CISA:
| Vulnerabilidade | O que permite | Condição |
|---|---|---|
| CVE-2024-55591 | Atacante remoto ganha privilégio de super-admin via módulo WebSocket em Node.js | Precisa saber o nome de um usuário administrador |
| CVE-2025-24472 | Atacante remoto sem autenticação ganha super-admin por requisições forjadas ao CSF | Requer o recurso Security Fabric ativo |
Ambas são “authentication bypass” — ou seja, o atacante contorna a tela de login inteira e assume o controle do equipamento. A partir daí, ele rouba dados, se move para dentro da rede e criptografa tudo. As correções para essas falhas existem há meses. O que mantém o ataque vivo não é a genialidade do criminoso; é o firewall que ninguém atualizou.
“Mas eu uso pfSense, OPNsense ou MikroTik, não Fortinet”
Ótimo — mas não relaxe. As falhas citadas são da Fortinet, porém o padrão de ataque é agnóstico de marca. Todo firewall e todo appliance de VPN, seja pfSense, OPNsense, MikroTik ou qualquer outro, tem o mesmo ponto fraco estrutural: fica exposto e precisa de atualização. A pergunta que importa não é “qual marca eu uso”, e sim: a interface de administração do meu firewall está acessível pela internet? O firmware está atualizado? A VPN exige um segundo fator além da senha? Se qualquer uma dessas respostas for “não sei”, você tem o mesmo risco da Gunra na sua porta, só que com outro logotipo.
O que fazer com o seu perímetro esta semana
Cinco passos, em ordem de impacto. Nenhum deles exige contratar ninguém — você consegue começar hoje.
- Tire a administração da internet. A interface de gerência do firewall (a tela de login do FortiOS, pfSense, OPNsense ou o Winbox do MikroTik) nunca deveria estar acessível pela WAN. Restrinja o acesso administrativo à rede interna ou a uma VPN. Essa única mudança já derruba a maior parte das varreduras automáticas.
- Atualize o firmware. Verifique a versão do seu appliance contra o aviso mais recente do fabricante e aplique as correções pendentes. Se o equipamento está fora de suporte e não recebe mais atualização, ele é um passivo — planeje a troca.
- Exija segundo fator na VPN. Senha sozinha não protege mais nada, porque senhas vazam. Ative autenticação multifator (MFA) em todo acesso remoto. Assim, uma credencial roubada por infostealer não é suficiente para entrar.
- Segmente a rede. Separe servidores, estações e convidados em redes distintas, com regras de firewall entre elas. Se um equipamento for comprometido, a segmentação impede que o ransomware se espalhe lateralmente para o resto da empresa.
- Revise quem tem acesso remoto. Desative contas de VPN de ex-funcionários e de fornecedores que já terminaram o serviço. Cada acesso vivo é uma porta a mais.
Se o pior acontecer, o que decide é o backup
Nenhuma barreira é perfeita. Por isso, a recomendação central da própria CISA no alerta é sobre recuperação: mantenha backups offline, imutáveis e guardados em local fisicamente separado e segmentado — para que você consiga recuperar os dados sem depender de pagar o resgate.
A palavra que mais importa ali é “imutável”. Um backup que fica conectado à mesma rede, acessível com a mesma senha de administrador, é criptografado junto com todo o resto no momento do ataque. Ransomware moderno procura o backup primeiro. Um backup que serve de verdade é aquele que o próprio administrador não consegue apagar por impulso — porque, se ele não consegue, o atacante também não.
O teste não é “eu tenho backup?”. O teste é “eu já restaurei a partir dele, e sei quanto tempo isso leva?”. Backup que nunca foi testado é só uma esperança guardada em disco.
Na EDX Info, projetamos e mantemos firewalls MikroTik, OPNsense e pfSense com balanceamento e alta disponibilidade, além de estratégias de backup, replicação e continuidade para o caso de um ataque atravessar o perímetro. Se você não tem certeza de que o seu firewall está atualizado, de que a administração está fechada para a internet ou de que o seu backup sobreviveria a um ransomware, vale uma conversa antes de precisar descobrir isso do jeito difícil. Veja mais em nossos conteúdos ou conheça nossos serviços de suporte.
Quer uma revisão do seu perímetro e da sua estratégia de backup? Fale com a gente no WhatsApp ou escreva para contato@edxinfo.com.br.
Fontes
- CISA / FBI — #StopRansomware: Gunra Ransomware (AA26-222a), 10/08/2026. cisa.gov
- The Record (Recorded Future News) — “FBI, South Korea warn of Gunra ransomware gang targeting critical infrastructure”, 10/08/2026. therecord.media
- Tenable — CVE-2024-55591: Fortinet Authentication Bypass Zero-Day Exploited in the Wild. tenable.com
- SentinelOne — CVE-2025-24472: Fortinet FortiProxy Auth Bypass Vulnerability. sentinelone.com