A empresa americana de cibersegurança F5 revelou que hackers vinculados a um estado-nação invadiram seus sistemas e roubaram códigos-fonte e informações confidenciais sobre vulnerabilidades do seu produto BIG-IP.
A companhia tomou conhecimento da violação em 9 de agosto de 2025.
As investigações indicam que os invasores mantiveram acesso prolongado aos sistemas da F5, incluindo o ambiente de desenvolvimento do BIG-IP e sua plataforma de gestão do conhecimento de engenharia.
Com esse acesso, os criminosos conseguiram extrair códigos-fonte, dados sobre vulnerabilidades e informações de configuração e implementação de um número limitado de clientes.
Segundo um relatório (Form 8-K) enviado à SEC, “durante a investigação, a empresa identificou que o atacante manteve acesso persistente a determinados sistemas da F5, incluindo o ambiente de desenvolvimento do BIG-IP e a plataforma de gestão do conhecimento de engenharia”.
O documento destaca também que “arquivos foram exfiltrados, alguns contendo partes do código-fonte do BIG-IP e dados sobre vulnerabilidades ainda não divulgadas, nas quais a empresa trabalhava”.
A F5, integrante da lista Fortune 500, é especialista em soluções de cibersegurança, gerenciamento de cloud e application delivery networking (ADN).
Com 23 mil clientes em 170 países, seus produtos são usados por 48 das 50 maiores empresas da Fortune.
O BIG-IP é o principal produto da F5, amplamente utilizado por grandes corporações para gerenciamento de tráfego e ADN.
Apesar da exposição crítica das falhas não divulgadas, a empresa afirma não haver evidências de que as informações tenham sido exploradas em ataques reais ou que dados privados tenham sido comprometidos.
A F5 reforça que o acesso não comprometeu sua cadeia de fornecimento de software nem causou modificações suspeitas no código.
Isso inclui plataformas que armazenam dados sensíveis de clientes, como CRM, sistemas financeiros, sistema de gerenciamento de casos de suporte e o iHealth.
Além disso, outros produtos da empresa, como NGINX, F5 Distributed Cloud Services e Silverline, não foram afetados nem tiveram seus códigos-fonte comprometidos.
A companhia ainda está identificando quais clientes tiveram detalhes de configuração ou implementação roubados e já se comprometeu a contatá-los para orientações específicas.
Segundo a F5, as versões atuais do BIG-IP foram validadas quanto à segurança por meio de múltiplas auditorias independentes realizadas por empresas líderes em cibersegurança.
O relatório também menciona que o governo dos Estados Unidos solicitou o adiamento da divulgação pública do incidente, provavelmente para proteger sistemas críticos.
“Em 12 de setembro de 2025, o Departamento de Justiça dos EUA determinou que o atraso na divulgação pública era justificado, conforme o item 1.05(c) do Formulário 8-K. A F5 está agora apresentando este relatório de forma oportuna”, esclarece a empresa.
A F5 garante que o incidente não impactou suas operações de forma significativa.
Todos os serviços continuam disponíveis e considerados seguros, com base nas evidências mais recentes.
Publicidade
Conheça a Solyd One, e tenha acesso a todos os cursos de segurança ofensiva da Solyd, todas as certificações práticas, incluindo a SYCP, 2 CTFs anuais com prêmios de até 30 mil reais, dezenas de laboratórios realísticos, suporte, comunidade e muito mais. Saiba mais...