Site falso de VPN pedia servidor, usuário e senha — e depois entregava o instalador verdadeiro da WatchGuard

No dia 7 de outubro, um administrador de um provedor de serviços gerenciados — a empresa que cuida da TI de outras empresas — precisava do cliente de VPN da WatchGuard. Digitou no Bing, com um erro de digitação, “watchguard vpn sll download”. Oito segundos depois estava em watchguard-vpn[.]net, uma página intitulada “WatchGuard Firebox VPN Client”.

A página era falsa. O que ela entregou no fim, não. É isso que torna o caso, descrito pela empresa de segurança Huntress em 13 de outubro, tão instrutivo: não havia vírus para encontrar.

Como o golpe funciona

O site copiava o visual da área de suporte da WatchGuard, com perguntas frequentes e botões de download. Qualquer botão abria uma janela pedindo três dados: servidor, usuário e senha da VPN.

• Na primeira tentativa, a página sempre recusava, em vermelho: “Incorrect data, please enter again to start installation” — dados incorretos, digite de novo. Os campos eram limpos.
• Na segunda, a janela ficava verde, anunciava o início da instalação e disparava o download do arquivo WG-MVPN-SSL_12_11_5.exe — baixado do servidor oficial da própria WatchGuard, com assinatura digital válida da empresa. A Huntress recalculou o código de verificação do arquivo e confirmou que ele não tinha sido alterado.

Enquanto isso, as duas rodadas de dados digitados seguiam, marcadas como primeira e segunda tentativa, para um segundo endereço, watchguard-ssl[.]online. Se esse servidor de coleta estivesse fora do ar, o erro ficava escondido no console do navegador: a vítima não via nada.

O resultado é o golpe perfeito para passar por qualquer ferramenta de proteção. Nas palavras da Huntress, não havia “arquivo malicioso para as ferramentas de segurança detectarem”. O usuário instala o programa certo, a VPN funciona e ninguém desconfia.

A Huntress classificou a isca como envenenamento de resultados de busca (o site falso aparece bem posicionado na pesquisa), e não como anúncio pago. O domínio falso foi registrado em 22 de agosto de 2026 e o de coleta em 14 de setembro. Até 8 de outubro, só sete fornecedores de segurança no VirusTotal marcavam o site como perigoso. Em 13 de outubro, ele já estava fora do ar.

Por que o campo “servidor” vale ouro

Usuário e senha sozinhos dizem pouco. Com o endereço do servidor de VPN, o criminoso sabe exatamente onde tentar entrar. A Huntress destaca esse ponto: o pacote completo vira uma porta de acesso pronta.

E a VPN tem sido a porta preferida do momento. Só neste mês, este blog registrou três falhas inéditas na Ivanti Connect Secure e ransomware entrando pela VPN da Palo Alto sem senha. Quando não há falha a explorar, pedir a senha educadamente também funciona.

Não é um caso isolado

Em janeiro de 2026, a própria WatchGuard, pelo blog Secplicity, já tinha descrito uma campanha contínua com páginas falsas para cerca de 15 produtos, entre eles Check Point, Cisco AnyConnect, Citrix, F5 BIG-IP, Fortinet FortiClient, Ivanti, Palo Alto GlobalProtect, SonicWall NetExtender, Sophos Connect e o próprio cliente da WatchGuard. As páginas apareciam em resultados do Bing, do Google e do Copilot, e um redirecionamento só mandava para o site falso quem chegava pela busca, usando Windows.

Em alguns casos o golpe entregava um cliente falso; em outros, como agora, pedia a senha e depois baixava o instalador legítimo. “O objetivo final é sempre o mesmo: roubo de credenciais”, resumiu o autor do relatório. O domínio watchguard-vpn[.]net, aliás, já tinha sido reportado pela WatchGuard em janeiro, apontando para outro endereço.

Se alguém da sua empresa passou por lá

No caso investigado, o histórico do navegador não registrou o download do instalador — sinal de que a vítima não completou as duas rodadas, embora possa ter digitado a senha na primeira. A Huntress não documentou tentativas de login com os dados roubados. As recomendações, porém, valem para qualquer suspeita:

• Trocar imediatamente a senha das contas que possam ter sido digitadas e tratar o endereço da VPN como conhecido pelo atacante.
• Exigir MFA na VPN, além de usuário e senha.
• Revisar logins de VPN vindos de provedores de hospedagem, redes incomuns ou países onde a conta nunca se conectou.
• Publicar na intranet os links oficiais de download dos clientes de VPN (no caso da WatchGuard, software.watchguard.com) e pedir à equipe que salve nos favoritos. Instalador de acesso corporativo não se procura em buscador.

A lição mais incômoda do caso é que tudo o que o administrador baixou era verdadeiro. A única coisa falsa era a página — e foi ela que levou a senha.

Fontes

• Huntress — James Northey e Lindsey O’Donnell-Welch, “Clean Install, Stolen Creds: Fake WatchGuard VPN Site Serves Genuine Signed Client” (13/10/2026): huntress.com

• WatchGuard Secplicity — Ryan Estes, “Ongoing Widespread Credential Harvesting Campaign Targets VPN Providers” (13/01/2026): watchguard.com

• Foto de capa: firewall WatchGuard Firebox T15 — Ogrzyslaw, CC BY-SA 4.0, via Wikimedia Commons

• Segunda imagem: profissional trabalhando em um notebook junto à janela — Shixart1985, CC BY 2.0, via Wikimedia Commons