Un server esposto svela la campagna che buca il perimetro
Il punto non è un’altra falla di perimetro. È che un server di staging lasciato esposto ha finito per mostrare come la stessa intrusione possa spostarsi dalle appliance verso SAP, Oracle, Active Directory e dati sensibili, trasformando un accesso iniziale in un percorso interno duraturo. La risposta standard, limitata a patchare il gateway, perde il fatto che il compromesso può diventare una via nascosta di movimento laterale.
CloudSEK ha mappato Operation Escaneo a partire da quell’esposizione e ha confermato beacon da almeno cinque vittime. La campagna ha sfruttato CVE-2022-42475 e CVE-2024-21762 su Fortinet FortiOS SSL-VPN, oltre a CVE-2023-46805, CVE-2024-21887 e CVE-2025-0282 su Ivanti Connect Secure, colpendo infrastrutture in Messico e, in misura minore, Ecuador e Portogallo; i dati sottratti includono mappe di Active Directory, SSL private keys e account SAP.
Il rischio che resta è più ampio del singolo appliance esposto: una volta che il perimetro cede, i tunnel e gli accessi interni possono aggirare il monitoraggio host-based e lasciare in piedi canali di accesso che sopravvivono alla sola correzione iniziale.