Na maioria das casas e empresas, o roteador é instalado uma única vez e passa anos funcionando sem receber qualquer atenção. Enquanto continua distribuindo internet normalmente, muitos acreditam que ele está seguro. Mas especialistas em segurança digital alertam que justamente essa sensação de normalidade transformou esses equipamentos em uma das ferramentas favoritas de grupos de hackers. O problema vai muito além do roubo de conexão e pode envolver ataques contra infraestruras críticas em diferentes países.
Roteadores esquecidos viraram aliados involuntários de ataques sofisticados
Uma operação conjunta envolvendo agências de cibersegurança de diversos países chamou a atenção para uma estratégia que vem ganhando força entre grupos ligados à Rússia. Em vez de atacar diretamente seus alvos, os criminosos primeiro procuram roteadores vulneráveis espalhados pelo mundo para esconder suas atividades.
O método é eficiente porque esses equipamentos costumam permanecer anos sem atualizações de firmware, mudanças de senha ou revisões na configuração. Para os invasores, isso representa uma oportunidade perfeita para assumir o controle do dispositivo sem despertar suspeitas.
Depois de comprometido, o roteador passa a funcionar como um intermediário invisível. Todo o tráfego malicioso é encaminhado por ele antes de chegar ao alvo final. Assim, quem recebe o ataque vê apenas o endereço de um equipamento doméstico ou empresarial aparentemente legítimo, dificultando a identificação da verdadeira origem da operação.
Segundo o alerta divulgado por autoridades internacionais, atores associados ao Centro 16 do Serviço Federal de Segurança da Rússia (FSB) estariam explorando dispositivos mal configurados em diversos países. A advertência recebeu apoio de órgãos de segurança de 12 nações, incluindo Estados Unidos, Reino Unido, Canadá, Austrália e Nova Zelândia.
Essa estratégia também dificulta o bloqueio automático baseado em endereços IP, já que os sistemas de defesa acabam identificando apenas um roteador comum, e não a infraestrutura real utilizada pelos criminosos.
Configurações antigas continuam sendo uma das maiores portas de entrada
Os especialistas explicam que muitos ataques começam pela exploração de configurações inseguras. Um dos principais alvos é o protocolo SNMP, utilizado para monitorar e administrar remotamente equipamentos de rede.
O protocolo em si não representa um problema. O risco aparece quando versões antigas permanecem expostas à internet utilizando senhas padrão ou as chamadas community strings que nunca foram alteradas após a instalação.
Além disso, os investigadores apontam que os criminosos também exploram vulnerabilidades conhecidas em equipamentos Cisco, falhas em interfaces de administração e recursos como o Smart Install quando permanecem habilitados desnecessariamente.
Cada roteador comprometido pode ser utilizado para mapear novas redes, coletar informações, testar credenciais e servir como ponto intermediário para futuras operações. Mesmo que parte dessa infraestrutura seja descoberta e desativada, os grupos conseguem reconstruí-la rapidamente encontrando novos dispositivos vulneráveis conectados à internet.
O grupo associado ao Centro 16, conhecido também por nomes como Berserk Bear, Dragonfly, Ghost Blizzard, Crouching Yeti, Energetic Bear e Static Tundra, já foi relacionado a campanhas direcionadas contra setores estratégicos, incluindo energia, telecomunicações, defesa, governos, saúde e instituições financeiras.
Pequenas mudanças podem impedir que seu equipamento seja usado por criminosos
Embora o alerta seja direcionado principalmente a administradores de redes corporativas e infraestruturas críticas, diversas recomendações também se aplicam aos usuários domésticos.
A primeira medida é verificar se o roteador ainda recebe atualizações de segurança. Equipamentos antigos, que deixaram de receber suporte do fabricante, tendem a acumular vulnerabilidades que nunca mais serão corrigidas.
Também é importante substituir imediatamente a senha padrão de administração por uma combinação forte e exclusiva. Quando possível, o acesso remoto ao painel de configuração deve permanecer desativado, reduzindo significativamente a superfície de ataque.
Especialistas recomendam ainda desabilitar versões antigas do protocolo SNMP quando elas não forem necessárias e utilizar apenas versões mais modernas e protegidas. Recursos pouco utilizados, como o Cisco Smart Install, também devem permanecer desligados caso não façam parte da rotina da rede.
O maior desafio é que um roteador comprometido normalmente continua funcionando sem apresentar qualquer sinal visível de invasão. A internet permanece ativa e o usuário dificilmente percebe que seu equipamento pode estar sendo utilizado discretamente para mascarar ataques contra outras organizações.
Essa é justamente a vantagem buscada pelos criminosos: transformar um aparelho comum, instalado há anos e praticamente esquecido, em uma peça silenciosa dentro de operações internacionais de cibercrime.
