Credenciais vazadas em 2022 facilitaram ataque a aeroportos

A Collins Aerospace, fornecedora de sistemas para operações aeroportuárias, foi alvo de um incidente de segurança que atingiu vários aeroportos europeus no final de setembro passado, revelando um cenário de ameaça mais complexo do que a comunicação inicial sugeria. Embora o comunicado oficial da Raytheon (RTX) à Comissão de Valores Mobiliários dos EUA (SEC) tenha classificado a ocorrência como um ataque de ransomware, o grupo de hackers Everest assumiu a autoria de uma exfiltração de dados por meio de um servidor FTP, levantando questões sobre a transparência e a gestão do incidente.

Exfiltração de dados por falha na gestão de credenciais

O furto de mais de 50 gigabytes de informações ocorreu por meio de um acesso não autorizado a um servidor FTP, de domínio ftp.arinc.com, da Collins Aerospace, utilizando credenciais surpreendentemente simples, com nome de usuário “aiscustomer” e senha “muse-insecure” segundo o próprio grupo Everest. A análise da empresa de segurança Hudson Rock rastreou as credenciais comprometidas até uma infecção por infostealer que atingiu um computador de um funcionário ainda em 2022, indicando que este ponto de entrada permaneceu vulnerável por anos sem a devida redefinição das senhas. O modus operandi da Everest, que se define como um IAB (initial access broker) e explicitamente se distancia de qualquer atividade de ransomware, adiciona uma camada de complexidade à situação relatada pela empresa.

Resposta tardia após vazamento afetou aeroportos na Europa

O ataque se materializou quando o grupo Everest obteve acesso ao servidor em 10 de setembro de 2025, mas a reação da Collins Aerospace parece ter ocorrido com atraso, pois os dados foram copiados naquele dia, e o desligamento total dos sistemas de embarque nos aeroportos só ocorreu após a interrupção das negociações entre 18 e 24 de setembro. O impacto do vazamento se tornou visível quando o sistema de processamento de passageiros “MUSE” foi afetado em aeroportos como Berlim (BER) e Bruxelas, levando a Autoridade Aeroportuária de Dublin (DAA) a confirmar o comprometimento de informações de milhões de passageiros que utilizaram o Aeroporto de Dublin em agosto.