Os portais VPN empresariais continuam sendo uma das superfícies de acesso inicial mais confiáveis na internet pública—não porque os protocolos estejam quebrados, mas porque senhas roubadas ou adivinhadas ainda funcionam em escala. Este artigo é uma síntese de pesquisa de ameaças, não uma nota de lançamento de fornecedor: ele conecta as medições de credential stuffing do DBIR 2025 da Verizon a uma campanha coordenada de fevereiro de 2026 contra portais GlobalProtect da Palo Alto e explica o que esse padrão significa para operadores e trabalhadores remotos preocupados com a privacidade.
O que os números dizem sobre o credential stuffing
A pesquisa adicional do DBIR 2025 da Verizon sobre credential stuffing relata que credenciais comprometidas foram um vetor de acesso inicial em 22% das violações analisadas. Nos logs de provedores de SSO, a parcela diária mediana das tentativas de autenticação atribuídas a credential stuffing foi 19%—cerca de 25% para clientes de porte empresarial e 12% mesmo para pequenas empresas—com um pico de um único dia de 44%. Os dados de malware Infostealer no mesmo relatório mostraram que, no caso mediano, apenas 49% das senhas salvas de um usuário em todos os serviços eram distintas. Em linguagem simples: a reutilização ainda é comum o suficiente para que as combo lists continuem lucrativas.
Fonte: Verizon Business — Pesquisa adicional do DBIR 2025 sobre credential stuffing.
O credential stuffing difere do password spraying ruidoso. Os atacantes usam pares de nome de usuário/senha previamente vazados (combo lists), frequentemente por meio de proxies, e tentam cada par uma vez por alvo para que o tráfego se misture ao ruído comum de login. A MFA reduz o raio de impacto, mas a Verizon observa que a MFA é cada vez mais um requisito básico, e não uma bala de prata — especialmente quando os usuários nunca são cadastrados, ou quando tokens de sessão são roubados após um login bem-sucedido.
Estudo de caso: portais GlobalProtect, fevereiro de 2026
Em 23–24 de fevereiro de 2026, o ELLIO Threat Research Lab observou um pico de 11× contra os caminhos de login do Palo Alto GlobalProtect (/global-protect/login.esp). Em cerca de 48 horas, os sensores registraram cerca de 30,000 sessões de 8,575 IPs de origem únicos em três ondas orquestradas. Cerca de 89% das sessões foram reconhecimento GET; um subconjunto seguiu com tentativas de login POST.
Os POSTs reutilizaram uma única senha (Password1) em um dicionário fixo de 78 nomes de usuário no estilo de funcionários (inicial do primeiro nome + sobrenome). A ELLIO avaliou essa fase como uma sondagem agressiva de quais portais aceitam o formulário de autenticação, não necessariamente um smash de combo-list cuidadosamente curado. A infraestrutura estava concentrada no espaço de endereços da GTT Communications (AS3257), com impressões digitais TCP/HTTP distintas (incluindo uma impressão digital JA4H POST quase exclusiva da campanha).
Fonte: ELLIO — Campanha Coordenada de Credential-Stuffing Visa Portais Palo Alto GlobalProtect (26 de fevereiro de 2026).
A lição defensiva que a ELLIO enfatiza é o sequenciamento: a sondagem GET precedeu o stuffing POST em horas dentro de cada onda. As organizações que bloquearam IPs de reconhecimento ou impressões digitais de ferramentas no início nunca viram a fase de credenciais. Os portais VPN continuam sendo alvos recorrentes; os ASNs de hospedagem rotacionam, mas o playbook — encontrar o portal, testar a autenticação, seguir em frente — não.
Como isso difere de uma manchete de “bleed” de um único fornecedor
Exposições massivas de credenciais contra marcas específicas de VPN de firewall dominam os ciclos de notícias porque os números são enormes e os IOCs são concretos. Esses incidentes importam. Não são, no entanto, a única forma do problema. A onda do GlobalProtect mostra um padrão mais baixo e mais lento: listas de nomes de usuário comuns, senhas triviais e varredura ampla de páginas de login de SSL VPN voltadas para a internet. A telemetria de SSO da Verizon mostra a mesma classe de abuso consumindo uma grande fração do tráfego diário de autenticação em muitos setores — não apenas em appliances de firewall.
Para um público de privacidade e segurança, as causas-raiz compartilhadas são entediantes e duradouras:
- Reutilização de senhas entre SSO corporativo, VPN, e-mail e sites pessoais.
- Portais VPN ou de administração expostos à internet que aceitam autenticação por senha sem MFA resistente a phishing.
- Armazenamento de senhas fraco ou legado em appliances (onde o cracking offline se torna prático após o roubo de hashes).
- Malware infostealer em endpoints que coleta credenciais de VPN e de administração salvas no navegador para mercados clandestinos.
Risco para pessoas, não apenas para os painéis do SOC
Quando uma conta corporativa de SSL VPN sofre stuffing com sucesso, o atacante herda um caminho confiável para aplicativos internos, e-mail e compartilhamentos de arquivos. Isso pode se tornar preparação para ransomware, fraude de folha de pagamento ou roubo silencioso de dados. Para indivíduos que usam VPNs de consumo, o modo de falha análogo é a tomada de conta da própria assinatura da VPN (e-mail de cobrança + senha reutilizada), seguida de abuso de sessão ou engenharia social pelo canal de suporte. A criptografia do WireGuard ou do OpenVPN não ajuda se o atacante simplesmente fizer login como você.
Os trabalhadores remotos também devem lembrar que um portal de VPN da empresa na internet pública é um anúncio: os scanners encontrarão /global-protect/login.esp, caminhos Fortinet SSL VPN e URLs semelhantes continuamente. “Somos pequenos demais para ser alvo” é inconsistente com a taxa de stuffing em pequenas empresas da Verizon e com campanhas automatizadas que custam quase nada por tentativa.
Mitigações fundamentadas (operadores)
- Remova a administração pública sempre que possível. As interfaces de gerenciamento não devem ficar expostas à internet inteira; prefira jump hosts com allowlist ou brokers de zero trust.
- Aplique MFA resistente a phishing em contas de VPN e de administração (FIDO2/passkeys ou equivalente), não apenas SMS.
- Bloqueie o reconhecimento cedo. Alimente os controles de borda com fingerprints de scanners e ASNs de alta confiança antes que o stuffing via POST comece.
- Aplique limite de taxa e alerte em falhas de autenticação distribuídas contra caminhos VPN; fique atento a senhas uniformes ou padrões rígidos de nome de usuário.
- Rotacione as credenciais após incidentes de infostealer em laptops de administradores; presuma que as senhas de VPN salvas no navegador foram copiadas.
- Prefira hashing de senha mais forte em appliances (por exemplo, PBKDF2 quando os fornecedores o suportam) e desative modos de hash legados.
- Siga as orientações do fornecedor e do CSIRT nacional quando uma campanha nomear sua família de produtos; verifique as linhas de base de configuração em busca de contas de administrador desconhecidas.
Mitigações fundamentadas (indivíduos)
- Use um gerenciador de senhas; nunca reutilize sua senha de VPN ou de e-mail em outros lugares.
- Ative a MFA na conta VPN e na caixa de e-mail que pode redefini-la.
- Evite salvar senhas de VPN corporativa em navegadores em dispositivos pessoais que também executam extensões aleatórias.
- Trate e-mails inesperados de redefinição de senha da VPN como um incidente potencial, não como ruído de rotina.
O que não estamos afirmando
Este artigo não afirma que o GlobalProtect seja exclusivamente frágil, que toda organização que vê varreduras já tenha sido comprometida, ou que as VPNs de consumo sem registros sejam imunes ao sequestro de contas. O que afirma — com base nas medições publicadas da Verizon e na telemetria da campanha de fevereiro de 2026 da ELLIO — é que o credential stuffing contra endpoints de autenticação de VPN é rotineiro, automatizado e ainda eficaz onde quer que as senhas continuem sendo o portão.
Túneis fortes importam. O mesmo vale para senhas únicas, MFA e para reduzir o número de portões de senha que você expõe à internet inteira.