FortiBleed: campaña masiva contra firewalls Fortinet
Una campaña activa bautizada como FortiBleed está atacando de forma automatizada dispositivos firewall Fortinet alrededor del mundo. Según distintos análisis públicos, los atacantes han apuntado a más de 320.000 dispositivos Fortinet y han logrado confirmar alrededor de 75.000 credenciales válidas contra interfaces de administración y portales de VPN SSL.
Entre las organizaciones afectadas se mencionan grandes empresas globales como Samsung, Oracle y Siemens, además de gobiernos y operadores de infraestructura crítica.
Qué es realmente FortiBleed
De acuerdo con múltiples reportes, FortiBleed no es una vulnerabilidad tipo CVE ni un zero-day confirmado, sino una campaña de exposición y validación masiva de credenciales enfocada en productos Fortinet, principalmente FortiGate con VPN SSL y consolas de administración expuestas a Internet.
Investigaciones de Hudson Rock, Arctic Wolf y otros equipos de inteligencia describen un conjunto de datos que incluye:
- Cerca de 73.932 URLs de firewalls Fortinet involucradas.
- Más de 21.000 dominios afectados.
- Usuario, correo electrónico, contraseñas en texto claro y metadatos de los dispositivos.
- Actividad observada en más de 190 países.
Cómo funciona la campaña FortiBleed
La operación ha sido descrita como un bucle autoalimentado. El flujo técnico, reconstruido por investigadores, sigue tres grandes fases:
1. Reconocimiento y escaneo masivo
Los atacantes utilizan escáneres automatizados para localizar en Internet dispositivos Fortinet expuestos. Esto incluye:
- Portales de VPN SSL accesibles públicamente.
- Interfaces web de administración de FortiGate y otros equipos Fortinet.
2. Ataques de credenciales a gran escala
Sobre cada dispositivo identificado, los atacantes prueban credenciales contra las interfaces de login usando:
- Listas de contraseñas filtradas en brechas anteriores de Fortinet.
- Credenciales robadas por infostealers (malware que extrae contraseñas de navegadores y aplicaciones).
Cada inicio de sesión exitoso se agrega a una base de datos de credenciales verificadas, asociadas a un firewall Fortinet específico.
3. Conversión del firewall en punto de espionaje
Una vez que los atacantes obtienen acceso, el firewall comprometido puede ser usado como:
- Listening post o punto de escucha, inspeccionando el tráfico que atraviesa el equipo.
- Fuente de nuevas credenciales y datos internos de la red.
- Plataforma para movimientos laterales y ataques posteriores.
El tráfico capturado alimenta de nuevo los repositorios de credenciales, fortaleciendo el bucle de la campaña.
Riesgos para las organizaciones
El impacto potencial es severo, porque el firewall y el VPN SSL son puertas de entrada privilegiadas:
- Compromiso total de la red interna mediante acceso VPN con credenciales válidas.
- Robo de información sensible que transita por el firewall.
- Posible despliegue de ransomware y otros ataques de alto impacto.
- Uso del dispositivo como parte de una infraestructura de ataque contra terceros.
Acciones inmediatas recomendadas
Si su organización utiliza firewalls o VPN Fortinet expuestos a Internet, las recomendaciones convergen en los siguientes pasos urgentes:
- Identificar todos los activos Fortinet expuestos: FortiGate VPN SSL, interfaces web de administración y APIs.
- Rotar todas las credenciales de cuentas administrativas (GUI, CLI, API) y de todos los usuarios VPN, incluidos servicios y túneles sitio a sitio.
- Habilitar y exigir MFA en todas las interfaces posibles (administración y VPN).
- Restringir el acceso a la administración: limitar por IP, usar VPN de administración separada o segmentación fuerte.
- Revisar logs de accesos sospechosos, inicios de sesión desde ubicaciones inusuales y cambios de configuración no autorizados.
- Eliminar cuentas obsoletas y revisar minuciosamente la lista de usuarios SSL VPN.
- Verificar si el dominio aparece en herramientas públicas de búsqueda relacionadas con FortiBleed, como la de Hudson Rock, entendiendo que no son una fuente de certeza absoluta.
Conclusión
FortiBleed demuestra cómo la combinación de dispositivos perimetrales expuestos, contraseñas reutilizadas y datos robados por infostealers puede escalar a una campaña global de compromiso de firewalls. Aun sin un zero-day de por medio, el riesgo es equivalente al de una brecha crítica.
La defensa pasa por una gestión estricta de credenciales, reducción de superficie de exposición, monitoreo continuo y aplicación rigurosa de MFA y buenas prácticas en la administración de dispositivos perimetrales.
