Táticas de Extorsão e Abuso de Credenciais Válidas Reveladas

A gangue de extorsão FulcrumSec eleva o nível da ameaça ao utilizar uma abordagem sistemática que se esquiva das defesas tradicionais. Em vez de focar em exploits de dia zero complexos ou em movimentação lateral via endpoints, a FulcrumSec aposta na "mineração" de credenciais válidas. Eles realizam varreduras JavaScript client-side e exploram vulnerabilidades como o React2Shell em larga escala, usando até 250 servidores. Isso gera milhares de credenciais vazadas, que são então testadas em massa para identificar acessos valiosos em plataformas como GitHub, AWS, Azure e Secrets Manager.

O diferencial da FulcrumSec é o uso dessas credenciais válidas para pivotar entre sistemas, acessando repositórios, bancos de dados e ambientes de nuvem sem disparar alertas de intrusão comuns. O CEVIU News já abordou a exploração de credenciais em outras ocasiões, como nos artigos de 17 de julho e 16 de julho de 2026, sobre o abuso de Client IDs OAuth para ataques de enumeração no Microsoft Entra ID. Também cobrimos o roubo de credenciais em massa com a campanha FortiBleed, em 23 de junho de 2026. A FulcrumSec se encaixa nesse cenário, mas com uma sofisticação maior ao transformar o acesso inicial em uma jornada complexa através da infraestrutura de nuvem, priorizando dados valiosos fora dos endpoints.

Em 23 de junho de 2026, o CEVIU News noticiou um incidente na Novo Nordisk envolvendo um token vazado no GitHub, que teria exposto informações confidenciais. Naquela data, o artigo inclusive trouxe uma atualização confirmando o vazamento. Agora, a nova análise da FulcrumSec revela que foi essa gangue a responsável pelo ataque. O que era um incidente de segurança genérico, agora tem um autor e uma metodologia detalhada. A FulcrumSec explica que um Personal Access Token (PAT) do GitHub foi o ponto de entrada, dando acesso a mais de mil repositórios privados e, por sua vez, a credenciais para outros serviços e sistemas de nuvem, comprovando a eficácia da sua tática de pivô.

A abordagem da FulcrumSec representa uma mudança significativa na forma como as empresas precisam pensar em sua cibersegurança. A dependência de credenciais válidas para orquestrar ataques torna as defesas baseadas em detecção de malware ou atividades anômalas em endpoints menos eficazes. O foco se desloca para a gestão de identidade e acesso (IAM) na nuvem, monitoramento de APIs e comportamento de usuários. Uma única credencial exposta, como um PAT do GitHub, pode ser a chave para desvendar toda a infraestrutura de uma organização.

Isso exige uma revisão urgente das práticas de segurança, especialmente na proteção de secrets em código-fonte, na gestão de vulnerabilidades em JavaScript client-side e no monitoramento proativo de padrões de acesso em ambientes de nuvem. A detecção de comportamentos anômalos de identidades, que de repente acessam recursos incomuns ou em volume elevado, é crucial para identificar essas ameaças antes que causem danos irreversíveis.