Resumo

  • Em 9 de setembro, a equipe apresentou na APNIC 62 um recorte regional do escaneamento IPv4 feito uma única vez em 2 de fevereiro de 2026: 4.611 roteadores BGP expostos, administrados por 1.343 ASes, incluindo 347 classificados como roteadores de borda.
  • “Exposto”, no estudo, significa que uma origem arbitrária na Internet concluiu TCP na porta 179 e recebeu uma resposta BGP numa troca OPEN não solicitada. Não significa exploração ou comprometimento.
  • A medição é uma inferência datada, não um censo atual do registro. Parte de um ponto europeu, não cobre IPv6 e não possui uma verdade de campo em escala global para confirmar cada agrupamento de roteador e atribuição de ASN.
  • O passo útil não é publicar uma lista de alvos. É entregar a evidência de forma reservada, registrar a avaliação do operador, repetir o teste em condições comparáveis e divulgar apenas um recibo agregado sem IPs ou nomes de AS.

Uma resposta BGP diz mais do que uma porta aberta

Uma conexão TCP aceita ainda deixa dúvidas sobre o equipamento. O Scan-179 avançou uma camada: depois de localizar respostas na porta 179, enviou uma mensagem BGP OPEN compatível com o padrão e analisou a devolução. Os autores definem como exposto o roteador alcançável por um endereço qualquer da Internet que processa essa troca não solicitada.

A resposta pode revelar ASN, identificador BGP e capacidades antes da formação completa da sessão. Também faz o plano de controle processar conexão e estado. A RFC 7454 recomenda descartar pacotes destinados à porta TCP 179 quando a origem não é conhecida nem autorizada como vizinha BGP, preferencialmente com filtro específico do plano de controle quando o equipamento oferece esse recurso.

O significado para aí. Receber OPEN não prova que alguém explorou uma falha, manteve uma sessão, alterou rota, derrubou serviço ou prejudicou clientes. O artigo acadêmico apresenta vazamento de informação, exposição a falhas de implementação e esgotamento de recursos como riscos possíveis. Não demonstra nenhum desses eventos na amostra da APNIC.

O total regional é fruto de uma técnica de agrupamento

No conjunto mundial, 141.313 endereços IPv4 aceitaram TCP e trocaram OPEN. A equipe reuniu essas interfaces em 20.432 roteadores ligados a 4.194 ASes. Classificou 1.127 como roteadores de borda, 16.124 como internos e 3.181 como indeterminados.

O material da APNIC 62 separa 4.611 roteadores, 1.343 ASes e 347 roteadores de borda na região. O gráfico por país conta ASes, não equipamentos: Indonésia tem 387, Bangladesh 209, Japão 115 e Índia 92; Hong Kong, Austrália, China, Coreia do Sul, Nepal e Taiwan completam os dez primeiros. São resultados do método de associação, não um ranking de negligência.

Para reconstruir dispositivos, a pesquisa combina identificador BGP, ASN anunciado no OPEN e mapeamento de interfaces para ASes. ASN privado, endereçamento compartilhado e links que usam espaço fornecido por um dos lados criam ambiguidades. Um roteador com ASN público e interfaces observadas no mesmo AS pode ser interno ou pode estar na borda usando endereços próprios. A categoria “não classificado” preserva essa incerteza.

Os pesquisadores ainda excluíram 1.627 endereços de prováveis honeypots. Eles repetiam o ASN e o identificador BGP usados pelo scanner, mantinham muitas portas abertas e apareciam com esse rótulo no Shodan. O teste remove uma classe evidente de falso positivo, sem transformar os casos restantes em inventário confirmado.

Fevereiro não descreve automaticamente setembro

O escaneamento ocorreu uma vez, em 2 de fevereiro, de um único ponto europeu e somente em IPv4. Origem, caminho, horário, manutenção e política do equipamento podem mudar a visibilidade. Um roteador observado naquele dia pode estar fechado agora; outro que filtrava aquela origem pode nunca ter aparecido.

A notícia de setembro é a apresentação do recorte regional na APNIC 62, não uma nova rodada de medição. A APNIC não executou o escaneamento nem controla esses roteadores. Seu papel útil é reunir a pesquisa e os profissionais capazes de explicar ou alterar cada configuração.

Essa explicação ainda é rara. O artigo diz que doze operadores foram procurados. Um confirmou o vínculo entre IP e AS, mas afirmou que o comportamento padrão do BGP oferecia proteção suficiente à porta 179. Os autores também levantam a hipótese de instruções complexas de fornecedores ou limitações de software. Uma resposta não explica os demais casos; ausência de resposta tampouco comprova descuido.

O registro necessário começa depois da detecção

Os dados por endereço devem permanecer reservados. Cada caso pode guardar horário, ponto de observação, versão da sonda, classe das respostas TCP e BGP, método e confiança do vínculo entre interface, roteador e AS. Depois entram o contato responsável por roteamento ou abuso, o horário de entrega e eventuais correções de atribuição.

O parecer do operador separa intenção de defeito: exceção deliberada e limitada; ACL antiga; filtro incorreto; plataforma sem suporte; interface aposentada; atribuição errada; ou outra causa documentada. Se houver mudança, o registro precisa de responsável e prazo. A nova medição deve repetir condições comparáveis e adicionar outra origem quando o filtro baseado na fonte for relevante.

O público pode receber números versionados: avisos entregues, confirmações, pareceres concluídos, atribuições corrigidas, exposições encerradas e casos aguardando novo teste. Assim, a comunidade saberá se o alerta levou a ação sem ganhar um catálogo de reconhecimento ofensivo.

Fontes