Una campagna su larga scala soprannominata FortiBleed ha portato alla compromissione di 86.644 dispositivi FortiGate esposti su Internet, distribuiti in 194 Paesi. La conferma arriva dalla CISA, l'agenzia statunitense per la cybersicurezza, che ha invitato con urgenza tutte le organizzazioni che utilizzano firewall e gateway SSL VPN di Fortinet a verificare i propri sistemi e a rigenerare immediatamente le credenziali. Secondo gli analisti la regia dell'operazione è riconducibile ad attori di lingua russa.
Come funziona l'attacco
FortiBleed non sfrutta una singola vulnerabilità clamorosa, ma un meccanismo paziente e progressivo che si autoalimenta. Gli aggressori scansionano la Rete alla ricerca di dispositivi FortiGate raggiungibili e provano contro ciascuno una lista curata di password note. Ogni accesso riuscito viene registrato in un database di credenziali funzionanti, che a oggi conta oltre 86.000 voci verificate.
Una volta ottenuto il controllo di un firewall, gli attaccanti lo trasformano in un punto di ascolto: monitorano il traffico SSL VPN che vi transita e raccolgono ogni nuova credenziale che passa di lì. Le password appena catturate vengono poi reimmesse nello scanner per compromettere altri dispositivi, in un ciclo che amplifica la portata della campagna a ogni iterazione.
Il peso delle credenziali deboli
L'analisi del materiale trafugato mette in luce un problema strutturale di gestione degli account. Gli account amministrativi generici rappresentano circa il 35% delle credenziali compromesse, mentre gli account di sistema predefiniti di Fortinet pesano per un ulteriore 28,3%. In altre parole, oltre sei accessi compromessi su dieci derivano da utenze standard, spesso lasciate con configurazioni di default o protette da password facilmente indovinabili.
Cosa fare adesso
La raccomandazione della CISA è di non dare per scontato che un dispositivo sia al sicuro solo perché aggiornato. Le organizzazioni che gestiscono apparati Fortinet esposti dovrebbero ripristinare tutte le password degli account, dare priorità alle utenze amministrative e a quelle di sistema, e rigenerare i certificati e i segreti eventualmente memorizzati sui dispositivi. È inoltre opportuno revisionare i log alla ricerca di accessi anomali, limitare l'esposizione delle interfacce di gestione su Internet e attivare, dove possibile, l'autenticazione a più fattori sulle VPN.
FortiBleed conferma una tendenza ormai consolidata: i dispositivi perimetrali, pensati per proteggere le reti, sono diventati uno dei bersagli preferiti dagli aggressori proprio perché si trovano in prima linea e, troppo spesso, conservano credenziali riutilizzabili altrove.
