O IBM X-Force Threat Intelligence Index aponta que mais de 80% dos roteadores em operação ainda usam credencial de fábrica — usuário e senha do tipo admin/admin ou admin/senha padrão do manual, nunca trocados desde a instalação. Não é falha de equipamento doméstico esquecido numa gaveta: o mesmo padrão se repete em roteador de borda, switch e OLT de rede de provedor, que costuma ter volume de equipamento grande demais pra confiar só na memória de quem instalou.
Por que essa falha básica continua tão comum
Credencial padrão de fábrica está documentada publicamente no manual de qualquer fabricante — não é segredo, é o primeiro lugar que um atacante consulta. O problema nunca foi falta de aviso. É processo: instalação sob pressão de prazo, ativação que precisa fechar rápido, e a troca de senha vira "depois eu volto e mudo" que na prática quase nunca acontece. Multiplica isso por centenas ou milhares de equipamentos por POP, e uma falha individual pequena vira um padrão replicado em escala — a mesma senha, ou a ausência de senha própria, em boa parte do parque.
O que essa falha vira na prática
Campanhas como a CatDDoS já usaram exatamente essa brecha — credencial padrão ou fraca em roteador exposto — pra transformar equipamento em bot de ataque DDoS em massa, com Brasil entre os países visados. É um vetor diferente do malware que infecta ONU diretamente: aqui o problema não é uma falha de software explorada, é uma porta que o próprio fabricante deixou destrancada e que ninguém trancou depois.
Checklist de hardening que qualquer time de campo consegue aplicar
- Trocar credencial padrão no ato da ativação. Isso precisa ser item obrigatório do checklist de instalação, não uma boa prática opcional — equipamento não sai da lista de pendência sem essa troca confirmada.
- Evitar senha única reaproveitada em todo o parque. Onde a gestão centralizada de credencial permitir, senha por equipamento (ou por grupo) reduz o estrago se uma vazar.
- Tirar a interface de gerência da internet pública. Web, Telnet ou SSH de gerência acessível de fora não deveria ser o padrão — gerência por rede interna ou VPN fecha a maior parte da exposição de uma vez.
- Auditar o que já está em produção. Rodar uma varredura própria testando credenciais padrão conhecidas contra o parque instalado é a forma mais direta de achar o que ficou pra trás antes de um atacante achar primeiro.
Por que isso também é assunto de NOC, não só de time de campo
Checklist de ativação resolve o equipamento novo. O parque antigo é o risco que fica invisível se ninguém tiver visão consolidada de qual OLT, switch ou roteador já foi auditado e qual não foi. É o mesmo problema estrutural de qualquer item de hardening em escala: sem inventário organizado — e melhor ainda, localizado no mapa da rede — a auditoria vira um projeto que nunca fecha, porque ninguém sabe o que já foi coberto.
Se o inventário da sua operação ainda não tem essa visão, vale organizar isso antes que a porta destrancada seja achada por outra pessoa. Fale com a gente ou veja como o NOC Geomap ajuda a visualizar sua infraestrutura no mapa.
Fontes: TI Safe — Ataques cibernéticos a roteadores e Wiki Brasil Peering Forum — Boas práticas para proteção de roteadores e switches.