Abuso de SSO no Fortinet FortiGate: contas administrativas indevidas + roubo de configuração do firewall
Equipes de segurança observaram atacantes explorando uma brecha durante/após correções recentes da Fortinet para criar contas administrativas não autorizadas via caminhos de SSO e exportar configurações do firewall. Esses dados podem revelar parâmetros de VPN, topologia de rede e regras de segurança — “plantas” valiosas para intrusões posteriores.
- Por que isso importa para o ensino superior: campi frequentemente expõem painéis administrativos de firewall para operação remota, têm muitos usuários de VPN e conexões com parceiros (redes de pesquisa, hospitais, fornecedores).
- O que fazer nesta semana:
- Auditar todas as contas administrativas (procurar novos admins inesperados), revisar logins administrativos bem-sucedidos e eventos de exportação de configuração.
- Restringir acesso administrativo (política local-in / lista de IPs permitidos) e evitar exposição irrestrita à Internet.
- Considerar desativar o login administrativo via FortiCloud SSO como medida paliativa, quando aplicável, enquanto monitora comunicados do fornecedor para correções completas.
- Tratar qualquer equipamento/configuração sinalizada como potencialmente comprometida: rotacionar credenciais (incluindo integrações com diretório), restaurar configurações “conhecidamente boas” e caçar persistência.
Fontes: TechRadar (23 jan. 2026) • Análise do fornecedor: Fortinet PSIRT Blog (22 jan. 2026)
California State University fecha acordo em ação sobre dados pessoais de docentes compartilhados com o governo federal
O sindicato de docentes da California State University fechou um acordo em uma ação relacionada ao compartilhamento de dados pessoais com investigadores federais, evidenciando como solicitações legais e investigações podem gerar exposição de segurança/privacidade mesmo sem um “ataque/hack”.
- Por que isso importa para o ensino superior: universidades lidam rotineiramente com dados sensíveis de RH e estudantes e recebem solicitações de reguladores e autoridades; processos frágeis podem gerar riscos de confiança, conformidade e reputação.
- O que fazer nesta semana:
- Revisar o processo institucional para solicitações externas de dados (quem aprova, o que é registrado, o que é comunicado aos titulares quando permitido).
- Aplicar minimização de dados: divulgar apenas o estritamente exigido e documentar a justificativa.
- Garantir alinhamento entre retenção/arquivamento, privacidade e segurança (especialmente em exportações em massa).
Fonte: EdScoop (23 jan. 2026)
Investigação de privacidade é aberta após violação na rede escolar de Victoria (Austrália)
Um órgão regulador de privacidade abriu investigação após um incidente no Departamento de Educação de Victoria expor informações de estudantes (incluindo e-mails institucionais e senhas criptografadas). Mesmo senhas “criptografadas” podem se tornar perigosas se houver hash fraco ou reuso de senha, permitindo ataques de credential stuffing e phishing direcionado.
- Por que isso importa para o ensino superior: sistemas de identidade em universidades atendem grandes populações (alunos/egressos), e e-mails vazados alimentam engenharia social e tomada de contas.
- O que fazer nesta semana:
- Forçar redefinição de senhas quando houver indicadores de risco; bloquear senhas já vazadas; exigir MFA para alunos/servidores (especialmente e-mail, AVA/LMS, VPN).
- Monitorar credential stuffing e logins com “viagem impossível”; aplicar rate-limit em endpoints de autenticação; reforçar alertas.
- Intensificar avisos de phishing ligados a temas de e-mail “oficial” institucional.
Fonte: Herald Sun (23 jan. 2026)
Ingram Micro divulga incidente de ransomware afetando 42 mil pessoas
A Ingram Micro informou que um incidente de ransomware envolveu acesso não autorizado a repositórios internos e roubo de arquivos contendo dados pessoais e relacionados a emprego de dezenas de milhares de pessoas. Embora não seja “exclusivo da educação”, grandes distribuidores e ecossistemas de MSPs são parte central de compras e operações em campi.
- Por que isso importa para o ensino superior: universidades e institutos federais dependem de distribuidores/revendas para licenças, hardware e serviços gerenciados — tornando incidentes de terceiros um risco operacional direto.
- O que fazer nesta semana:
- Verificar se a sua instituição compartilha dados de servidores/alunos com fornecedores afetados (terceirização de RH, checagens, portais de revenda, integrações de atendimento).
- Revisar controles de risco de fornecedores: prazos de notificação, exigência de MFA, menor privilégio em portais e trilhas de auditoria.
- Confirmar MFA nas contas com distribuidores estratégicos e manter papéis administrativos no mínimo necessário.
Fonte: TechRadar (20 jan. 2026)
Alegações de vazamento na Under Armour e aumento do risco de tomada de contas
A Under Armour informou que está investigando alegações de vazamento envolvendo dezenas de milhões de endereços de e-mail de clientes, enquanto outras reportagens associaram o caso a alegações de vazamento por grupos de ransomware. Independentemente do escopo exato, grandes vazamentos de consumo são frequentemente usados para phishing convincente e ataques de password spraying.
- Por que isso importa para o ensino superior: e-mails de alunos/servidores aparecem em bases de consumo; atacantes frequentemente “pivotam” desses dados para SSO universitário, Microsoft 365/Google Workspace e phishing de LMS/AVA.
- O que fazer nesta semana:
- Publicar um alerta: “espere e-mails realistas de redefinição de senha / entrega / fatura”, especialmente no início de semestre.
- Exigir MFA e políticas de acesso condicional; monitorar regras novas de caixa de entrada/encaminhamento (persistência comum pós-phishing).
- Incentivar uso de gerenciador de senhas e senhas únicas; bloquear senhas comprometidas quando o IdP suportar.
Fontes: AP News (22 jan. 2026) • TechRadar (22 jan. 2026)
Pressão por correções segue alta: CVEs em borda/VPN e plataformas com impacto no ensino superior
Resumos de segurança desta semana destacaram uma lista densa de CVEs de alto impacto em pilhas corporativas comuns (firewalls, softwares de plataforma e frameworks web). Em paralelo, o Ivanti Connect Secure teve um problema de DoS em IPSec sem autenticação documentado — relevante porque acesso remoto é uma dependência crítica para muitos campi.
- Por que isso importa para o ensino superior: universidades operam ambientes diversos e semiabertos (laboratórios, apps de pesquisa, serviços ao aluno), aumentando a chance de “um único equipamento de borda sem patch” virar a porta de entrada.
- O que fazer nesta semana:
- Priorizar o que está exposto à Internet: VPN, SSO/IdP, firewalls, proxies reversos e interfaces administrativas remotas.
- Usar controles compensatórios quando patches atrasarem: allowlists, restrições por geo/IP, regras de WAF e desativação de serviços não usados.
- Confirmar backups e testes de recuperação para serviços acadêmicos críticos (LMS/AVA, e-mail, registros acadêmicos) e acompanhar RTO/RPO.
Fontes: The Hacker News — Weekly Recap (19 jan. 2026) • SentinelOne — CVE-2024-22052 (atualizado em 22 jan. 2026)
Glossário (termos utilizados)
- Credential stuffing: tentativas automatizadas de login usando usuário/senha vazados em outros incidentes.
- CVE: identificador padronizado de vulnerabilidade conhecida publicamente (Common Vulnerabilities and Exposures).
- Violação de dados (data breach): acesso/exposição não autorizada de dados sensíveis (pessoais, financeiros, pesquisa ou operacionais).
- Negação de serviço (DoS): tornar um sistema indisponível por travamento ou sobrecarga.
- Configuração de firewall: regras e parâmetros que controlam tráfego; se roubada, pode revelar estrutura interna e caminhos de acesso.
- Indicadores de comprometimento (IOCs): evidências (IPs, contas, hashes, logs) que sugerem atividade maliciosa.
- Menor privilégio: conceder apenas as permissões mínimas necessárias.
- MFA: autenticação multifator (senha + um fator adicional como app, token ou chave física).
- Ransomware: malware que criptografa dados e exige pagamento; frequentemente combinado com roubo de dados (“dupla extorsão”).
- SSO: login único (Single Sign-On), permitindo autenticar uma vez e acessar múltiplos serviços.
- SAML: protocolo comum para troca de dados de autenticação/autorização em SSO.
- Risco de cadeia de suprimentos: comprometimento de fornecedor/provedor que impacta clientes a jusante.
- Workaround / controle compensatório: medida temporária para reduzir risco quando o patch/correção completa ainda não está disponível.