Modem da operadora: o ponto fraco esquecido da rede da empresa

Por que o modem da operadora vira o elo mais fraco da rede

Na maioria das empresas, o primeiro equipamento a receber o tráfego da internet não foi escolhido pela equipe de TI. Ele chegou junto com o link, foi configurado pelo técnico da operadora em poucos minutos e, desde então, ninguém mais mexeu nele. O modem, ou a ONT com roteador integrado no caso da fibra, fica num canto da sala com as luzes piscando. Só lembram dele quando a internet cai.

O problema é a posição desse aparelho: ele fica exatamente na fronteira entre a rede interna e a internet, e tudo o que entra e sai passa por ele. Um atacante que consegue invadi-lo fica numa posição privilegiada. Pode redirecionar o tráfego, trocar o DNS para mandar os usuários a sites falsos, abrir portas para dentro da rede ou usar o equipamento como parte de uma botnet. Um computador tem antivírus e gera alertas. O modem não tem nada disso e quase nunca é monitorado.

Casos conhecidos mostram que equipamentos de borda esquecidos são alvos preferidos. Em 2016, a botnet Mirai derrubou grandes serviços da internet usando câmeras e roteadores que ainda tinham a senha de fábrica. Em 2018, o VPNFilter infectou centenas de milhares de roteadores em dezenas de países. Nenhum dos dois precisou de técnica sofisticada: bastou achar aparelhos que nunca tinham recebido atenção.

Os riscos mais comuns nos equipamentos entregues pela operadora

A operadora tem um objetivo claro na instalação: deixar a conexão funcionando rápido e sem chamados de suporte. Por isso o equipamento costuma vir com configurações que priorizam a praticidade em vez da segurança. Quase sempre aparecem os mesmos pontos de atenção:

• Senha padrão de administração: muitos modems saem de fábrica com usuário e senha genéricos, às vezes impressos na etiqueta ou iguais para uma linha inteira de produtos. Qualquer pessoa conectada à rede consegue abrir o painel de configuração, inclusive um visitante usando o Wi-Fi.
• Acesso remoto pela internet habilitado: em alguns modelos, o painel web ou serviços como Telnet e SSH respondem a conexões vindas de fora. Isso deixa o equipamento exposto a varreduras automáticas que rodam o tempo todo.
• Firmware desatualizado: a atualização depende da operadora, que nem sempre aplica as correções com a frequência necessária. Vulnerabilidades já conhecidas e publicadas podem ficar abertas por anos.
• WPS e UPnP ligados: o WPS pode ser alvo de ataques de força bruta ao PIN. O UPnP deixa qualquer dispositivo interno abrir portas para a internet sem autorização, e isso inclui um malware instalado num computador.
• Wi-Fi com a senha da etiqueta: a rede sem fio padrão costuma ser usada por funcionários, visitantes, câmeras e impressoras ao mesmo tempo, sem nenhuma separação entre eles.
• Gerenciamento remoto da operadora (TR-069): esse protocolo permite que a operadora configure o equipamento a distância. Ajuda no suporte, mas significa que existe um terceiro com acesso administrativo ao aparelho. Também quer dizer que ajustes feitos localmente podem ser desfeitos sem aviso.

Nenhum desses pontos é, sozinho, uma falha catastrófica. O risco está na soma deles e no fato de ninguém estar olhando. Numa empresa, o mesmo link carrega dados de clientes, acesso ao sistema financeiro, e-mail corporativo e serviços em nuvem. Um incidente que começa no modem pode virar vazamento de dados, com todas as obrigações da LGPD que vêm junto.

Primeiros passos: como reforçar o modem que você já tem

Nem toda empresa consegue trocar o equipamento ou mudar a estrutura da rede de imediato. Mesmo assim, algumas medidas simples reduzem bastante a exposição e podem ser aplicadas em poucos minutos por alguém com acesso ao painel:

1. Trocar a senha de administração por uma senha longa e exclusiva, guardada num cofre de senhas corporativo. Não reaproveite a senha do Wi-Fi.
2. Desativar a administração remota pela WAN, para que o painel só responda a partir da rede interna.
3. Desligar o WPS e o UPnP. Os poucos serviços que precisam de portas abertas devem ser liberados manualmente e com documentação.
4. Revisar redirecionamentos de porta e DMZ. É comum encontrar regras antigas, criadas para uma câmera ou um servidor que nem existe mais, ainda abrindo acesso de fora para dentro.
5. Conferir o DNS configurado. Servidores DNS desconhecidos no modem podem indicar alteração maliciosa.
6. Separar ou desligar o Wi-Fi do modem. Se ele for mantido, crie pelo menos uma rede de visitantes isolada da rede da equipe.
7. Pedir à operadora a atualização do firmware e perguntar com que frequência ela aplica as correções no modelo instalado.

Vale lembrar que algumas operadoras bloqueiam parte dessas opções no painel do cliente. Além disso, um reset de fábrica ou uma ação do gerenciamento remoto pode restaurar as configurações originais. Por isso esse reforço é um paliativo. Ele precisa ser documentado e revisado periodicamente, não feito uma vez e esquecido.

Um modem com a senha trocada é melhor do que um modem com a senha de fábrica, mas continua sendo um equipamento que a empresa não controla totalmente. A proteção de verdade começa quando ele deixa de ser o guardião da rede.

Modo bridge: tirando o modem da linha de frente

A solução mais robusta é colocar o modem em modo bridge. Nesse modo ele deixa de atuar como roteador e passa a ser só um conversor de meio físico, transformando o sinal da fibra ou do cabo em Ethernet. A conexão é entregue direto a um firewall da empresa: o IP público e, quando houver, a autenticação PPPoE. Tradução de endereços (NAT), regras de acesso, DHCP, VPN e Wi-Fi passam a ficar num equipamento que a equipe de TI controla.

Os ganhos aparecem logo. Acaba a dupla NAT, que costuma atrapalhar VPNs, telefonia IP e o acesso remoto a sistemas. A política de segurança fica num lugar só, com registros de acesso, regras por perfil de usuário e atualizações que a empresa aplica no seu próprio ritmo. E mesmo que o modem tenha alguma vulnerabilidade, ele deixa de gerenciar a rede interna, o que reduz muito o que um invasor conseguiria fazer a partir dele.

Na prática, o modo bridge normalmente precisa ser solicitado à operadora. Planos empresariais costumam permitir sem dificuldade, enquanto planos residenciais usados em pequenos escritórios podem ter restrições. Antes de pedir a mudança, convém verificar alguns pontos:

• Se você tem em mãos as credenciais PPPoE do link, caso a conexão use esse tipo de autenticação.
• Se serviços como telefonia fixa ou TV dependem do roteador da operadora para funcionar.
• Se o link tem IP público, de preferência fixo. Conexões atrás de CGNAT não recebem um endereço público próprio, e isso limita VPNs e acessos de entrada.
• Se o firewall que vai assumir a borda tem capacidade para a velocidade contratada, com as inspeções de segurança ligadas.
• Se a troca pode acontecer numa janela de manutenção, já que haverá alguns minutos sem internet.

Quando o bridge não é possível: isolando o equipamento

Algumas operadoras não liberam o modo bridge, ou o serviço contratado depende do roteador delas. Nesse caso a alternativa é isolar o modem. O firewall da empresa fica atrás dele, ligado a uma única porta, e o modem é configurado para encaminhar todo o tráfego de entrada ao IP WAN do firewall, normalmente pela função DMZ. Nenhum outro computador, impressora ou câmera deve ficar ligado direto no modem.

O trecho entre o modem e o firewall deve ser tratado como rede não confiável, do mesmo jeito que a própria internet. O Wi-Fi do modem fica desligado, e a rede sem fio passa para access points gerenciados atrás do firewall. A rede interna é dividida em segmentos separados, por exemplo equipe, visitantes, servidores e dispositivos como câmeras e impressoras. Assim, um problema num segmento não se espalha para os outros.

Em empresas com dois links de operadoras diferentes, a mesma lógica vale para os dois modems. Cada um fica isolado e entrega a conexão ao firewall, que cuida do balanceamento e da contingência. Completa o cenário um monitoramento contínuo, que avisa sobre quedas, mudanças inesperadas de configuração e tentativas de acesso. Desse jeito a borda da rede para de ser um ponto cego e vira uma parte acompanhada da infraestrutura.

Como a Duk ajuda a proteger a borda da sua rede

Proteger a entrada da rede envolve mais do que trocar uma senha. É preciso conhecer os equipamentos de cada operadora, negociar com o suporte técnico delas, dimensionar o firewall certo e manter tudo atualizado ao longo do tempo. A Duk Informática & Cloud faz esse trabalho há mais de 18 anos e atende mais de 550 empresas. Como parceira Microsoft Gold Partner, une infraestrutura local, segurança e nuvem numa estratégia só.

Na prática, começamos com um diagnóstico da borda da rede: modems, links, portas abertas, redes Wi-Fi e regras de acesso existentes. A partir dele planejamos a migração para modo bridge ou o isolamento do equipamento da operadora. Implantamos firewall gerenciado, segmentação da rede, VPN para acesso remoto seguro e monitoramento contínuo com suporte 24/7 e SLA. Se o seu modem ainda é o mesmo que a operadora instalou e ninguém sabe a senha dele, fale com a Duk e agende uma avaliação da segurança da sua rede.