Hackers usaram credenciais comprometidas para invadir um banco europeu por meio de um gateway de VPN (rede privada virtual) mal configurado e gerenciado por terceiros, realizando meses de reconhecimento e ataques de autenticação antes que as defesas dos endpoints bloqueassem uma tentativa de escalada.
O banco acionou a Unit 42, da Palo Alto Networks, depois que sua equipe interna de segurança identificou atividade incomum afetando a infraestrutura central de TI e descobriu tentativas não autorizadas de acesso remoto que se estenderam por vários meses.
Embora a atividade inicialmente parecesse compatível com ciberespionagem, o invasor usou credenciais válidas, varreduras extensivas e tentativas repetidas de adivinhação de senhas.
O relato fornecido não identifica o banco, não atribui a invasão a um grupo de ameaças nomeado nem explica como o invasor comprometeu originalmente as credenciais.
O ponto de entrada foi um equipamento de gateway externo cuja configuração de autenticação não restringia adequadamente o acesso. Após entrar pela VPN, o invasor se autenticou em sistemas internos e começou a mapear o ambiente.
Isso estabeleceu a sequência crítica: credenciais comprometidas possibilitaram o acesso inicial, enquanto fragilidades dentro da rede criaram oportunidades para descoberta e comprometimento adicional.
O reconhecimento foi extenso e ostensivo. O intruso realizou varreduras repetidas de hosts e redes em múltiplos protocolos, interagindo com milhares de sistemas.
Em vez de se concentrar em um alvo bem definido, a atividade buscou identificar serviços acessíveis e possíveis rotas mais profundas na infraestrutura do banco.
Nos meses seguintes, o invasor conduziu múltiplas campanhas de adivinhação de senhas contra sistemas internos, especialmente contas de administrador.
Esses ataques de força bruta foram acompanhados de navegação sistemática por documentação interna e compartilhamentos de dados.
Requisições web automatizadas recuperaram páginas individuais e anexos, enquanto a enumeração de compartilhamentos expôs recursos operacionais e de rede.
A investigação da Unit42 destacou uma falha de controles de segurança fundamentais, e não uma cadeia de exploração avançada.
Comprometimento de credenciais de VPN
A combinação de varreduras ruidosas, falhas repetidas de autenticação e identificadores comuns de sistema sugeriu comportamento oportunista, e não operações cuidadosamente ocultadas.
Ainda assim, o acesso à documentação interna gerou exposição: o banco revisou posteriormente o material acessado pelo invasor.
O relato não quantifica o volume de informações coletadas nem comprova exfiltração de dados em maior escala.
O invasor acabou tentando explorar uma vulnerabilidade de execução remota de código no Windows Server Update Services (WSUS, serviço de atualização do Windows Server) no servidor central de gerenciamento de configuração do banco.
Como esse servidor dava suporte à distribuição de software, comprometê-lo poderia ter proporcionado um caminho para ampliar o controle e obter persistência. O relato fornecido não especifica um CVE (identificador público de vulnerabilidade), a versão afetada nem o mecanismo de exploração.
Segundo o relato do incidente, o Cortex XDR (plataforma de detecção e resposta estendidas) detectou a tentativa de execução não autorizada e conteve a ameaça antes que essa escalada fosse bem-sucedida.
A Palo Alto Networks descreve a plataforma como uma solução que correlaciona telemetria de endpoints, rede, nuvem e identidade para apoiar a detecção, a investigação e a resposta.
A Unit 42 revisou em seguida a telemetria de endpoints de milhares de sistemas e registros de dezenas de servidores Windows e Linux. Os investigadores não encontraram presença adicional do invasor nem backdoors persistentes.
A liderança do banco revisou a documentação exposta e trocou as credenciais comprometidas, tratando tanto o mecanismo de acesso quanto a exposição de informações.
O banco ampliou a cobertura do Cortex XSIAM (Extended Security Intelligence and Automation Management) e do Cortex XDR e ampliou seu contrato de prontidão para resposta a incidentes. A lição mais ampla é a identidade: o acesso perimetral deve permanecer rigidamente controlado mesmo quando a gestão da infraestrutura é terceirizada.
O caso está alinhado ao Relatório Global de Resposta a Incidentes da Unit 42 de 2026, que constatou que fragilidades de identidade estiveram materialmente envolvidas em quase 90% das investigações.
As recomendações incluem autenticação multifator (MFA) resistente a phishing, redução de privilégios administrativos permanentes e controles de sessão mais rigorosos.
Essas medidas complementam a aplicação oportuna de correções de segurança (patches) e o monitoramento de endpoints, limitando o que credenciais roubadas podem desbloquear antes que os atacantes alcancem a infraestrutura crítica de gerenciamento.
