Una exhaustiva campaña de ciberespionaje denominada "FortiBleed" ha comprometido silenciosamente más de 73,932 URLs únicas de firewalls de Fortinet en 194 países. Esta operación, descubierta por el investigador Volodymyr "Bob" Diachenko y analizada por Hudson Rock, representa una acción a escala industrial y altamente automatizada dirigida contra dispositivos FortiGate y pasarelas SSL VPN a nivel global.

Una exhaustiva campaña de ciberespionaje, ahora denominada "FortiBleed", ha comprometido silenciosamente más de 73.932 URLs únicas de firewalls de Fortinet en 194 países.

Descubierta originalmente por el investigador de seguridad Volodymyr “Bob” Diachenko y analizada posteriormente por Hudson Rock, este conjunto de datos revela una operación a escala industrial y altamente automatizada dirigida a dispositivos FortiGate y pasarelas SSL VPN a una escala global sin precedentes.

Los actores de amenazas ejecutaron un número estimado de 1.160 millones de intentos basados en credenciales contra más de 320.000 objetivos FortiGate, mientras lanzaban simultáneamente otros 2.100 millones de intentos de fuerza bruta contra más de 160.000 servidores MSSQL, resultando en 21.632 dominios comprometidos únicos.

Esta campaña se atribuye a un grupo cibercriminal de habla rusa y múltiples operadores, cuya metodología va mucho más allá del simple relleno de credenciales (credential stuffing).

El grupo rastreó sistemáticamente internet en busca de instancias expuestas de Fortinet, probándolas contra vastos repositorios de filtraciones de credenciales históricas recolectadas por malware de tipo infostealer.

Una vez que se establece un punto de apoyo inicial, los atacantes se desplazan directamente hacia entornos internos de Active Directory, permitiendo un acceso profundo y persistente a la red que sobrevive a los controles de seguridad rutinarios.

Uno de los vectores técnicos más alarmantes de la campaña es la interceptación activa de hashes de autenticación de SSL VPN, que posteriormente son descifrados fuera de línea utilizando un clúster dedicado de 45 GPU gestionado a través de Hashtopolis.

Esto significa que incluso las organizaciones que creen que sus credenciales cifradas están seguras están activamente expuestas. Una vez vulnerado el perímetro, los operadores monitorizan el tráfico que transita para recolectar inicios de sesión adicionales, creando un ciclo auto-reforzado de acceso no autorizado.

El alcance de las víctimas confirmadas afecta prácticamente a todos los sectores de la economía global. La investigación de Diachenko confirmó compromisos totales de red en organizaciones de Japón, Taiwán, Vietnam, Irak y Turquía; lo más crítico es que incluyó a un contratista de defensa de la OTAN en Turquía, del cual se exfiltraron con éxito documentos de defensa clasificados.

La base de datos de credenciales verificadas de los atacantes incluye algunas de las empresas más grandes del planeta:

• Tecnología y Fabricación: Foxconn, Samsung, Siemens, Lenovo, Oracle
• Servicios Profesionales: PwC, Accenture
• Telecomunicaciones: Comcast
• Y miles de entidades gubernamentales y proveedores de infraestructuras críticas

Quizás la conclusión más desalentadora de este conjunto de datos es que la complejidad de las contraseñas no ofreció protección alguna. Un volumen significativo de contraseñas muy complejas de 20 caracteres fue comprometido con éxito, no porque fueran descifradas desde cero, sino porque ya existían en texto plano dentro de bases de datos de infostealers recolectadas previamente.

Cuando las credenciales son robadas a nivel de dispositivo final antes de que se aplique el cifrado, ninguna cantidad de complejidad las salva. Esto debilita fundamentalmente la política de "contraseñas fuertes" como estrategia de defensa perimetral.

Hudson Rock lanzó un portal especializado en línea diseñado específicamente para que las organizaciones verifiquen fácilmente si sus dominios están incluidos en la base de datos.

Pasos de Mitigación

Si gestionas dispositivos Fortinet en tu organización, debes tratar esto como una amenaza activa y crítica y actuar inmediatamente:

• Forzar la rotación de credenciales: Restablece sin demora todas las contraseñas de la VPN de Fortinet y de la interfaz de administración; la complejidad es irrelevante si las credenciales ya se han filtrado.
• Implementar MFA universal: Aplica la autenticación multifactor en todas las pasarelas externas para neutralizar las credenciales robadas en texto plano.
• Auditar los registros de la pasarela: Revisa los registros de acceso de Fortinet en busca de ubicaciones de inicio de sesión anómalas, sesiones de administración inesperadas o volúmenes de tráfico inusuales.
• Restringir la exposición de la interfaz de gestión: Aplica políticas de "local-in" para restringir el acceso al panel de administración únicamente a IPs internas confiables y desactiva FortiCloud SSO si no es esencial.

La campaña FortiBleed es un recordatorio crudo de que la seguridad perimetral es tan fuerte como las credenciales que la protegen y, en un mundo saturado de datos recolectados por infostealers, el perímetro nunca ha sido más frágil.