FortiBleed: FBI y Servicio Secreto, campaña activa en FortiGate

El 6 de octubre de 2026 el FBI y el Servicio Secreto de Estados Unidos publicaron un aviso conjunto sobre FortiBleed, la campaña de robo de credenciales contra los firewalls Fortinet FortiGate y las pasarelas SSL VPN expuestas en Internet. El mensaje principal es que la campaña sigue activa: los atacantes continúan escaneando los dispositivos accesibles desde Internet con credenciales ya comprometidas. No hay una nueva vulnerabilidad ni una CVE: el problema son las credenciales y, por eso, advierten las agencias, actualizar y cambiar las contraseñas puede no ser suficiente.

Qué ha pasado

FortiBleed salió a la luz en junio, cuando los operadores de la campaña dejaron expuesto por error uno de sus servidores de backend, con herramientas, scripts y datos. Según BleepingComputer contenía nombres de usuario y contraseñas en claro asociados a 73.932 direcciones de firewalls en 194 países. El aviso cita la verificación de la empresa de threat intelligence SOCRadar: más de 86.644 dispositivos comprometidos en 194 países. El CISO de SOCRadar dijo a CyberScoop que la operación en su conjunto habría apuntado a entre 400.000 y 450.000 firewalls, y precisó que las cifras recogidas en momentos distintos no son del todo comparables.

Las novedades del aviso se refieren sobre todo a dos aspectos:

• en algunos incidentes los atacantes dejaron fuera a los administradores legítimos, borrando las cuentas existentes o cambiando su contraseña;
• la cadena de ataque de FortiBleed se ha observado como punto de entrada para afiliados de ransomware, a través de initial access brokers que revenden los accesos. Los medios citan INC/Lynx y Payload (Infosecurity Magazine los enumera como tres grupos: INC, Lynx y Payload). Ya en julio SOCRadar había vinculado la campaña a INC y Lynx y, según The Register, contado al menos 12 ataques de ransomware confirmados con origen en FortiBleed.

Detalles técnicos: la cadena de ataque

A partir del aviso y del material hallado en el servidor, las fuentes reconstruyen estas fases:

1. Escaneo automático de Internet en busca de portales SSL VPN de FortiGate expuestos.
2. Credential stuffing y password spraying con credenciales de filtraciones anteriores de Fortinet y de los registros de infostealers.
3. Extracción de otros datos de autenticación de los dispositivos comprometidos, entre ellos los hashes de las contraseñas, que luego se descifran offline en un clúster de GPU (alquiladas, según CSO Online) con Hashcat y Hashtopolis.
4. Selección de objetivos: scripts que validan las credenciales, descartan los honeypots, identifican la organización y la clasifican por facturación y estructura de red. Según BleepingComputer el servidor también contenía configuraciones VPN funcionales y listas de objetivos, señal de que los accesos se preparaban para su venta.
5. Persistencia: creación de nuevas cuentas de administrador en el firewall; en algunos casos, según CSO Online, también el uso de SSH donde el puerto estaba expuesto.
6. Movimiento lateral: enumeración de Active Directory y password spraying interno para encontrar cuentas privilegiadas.
7. Bloqueo de los administradores: eliminación de las cuentas originales o cambio de su contraseña, para dificultar la respuesta y mantener el acceso.

En la fase 3 pesa un detalle: guardar las contraseñas de administrador con el antiguo formato SHA-256 hace viable el descifrado a gran escala. Las agencias recomiendan PBKDF2; Security Affairs informa de que Fortinet lo aconseja para las contraseñas de administrador en FortiOS 7.2.11 y posteriores.

MITRE ATT&CK: el aviso cita T1531 (Account Access Removal) para el bloqueo de las cuentas. Las demás fases corresponden a T1133 (External Remote Services), T1110.004 (Credential Stuffing), T1110.003 (Password Spraying), T1110.002 (Password Cracking), T1078 (Valid Accounts), T1136 (Create Account) y T1087.002 (Domain Account Discovery).

Indicadores publicados

Según Security Affairs, el aviso señala 45.154.12[.]132 como servidor de mando y control, 154.202.59[.]169 y 103.27.186[.]156 como nodos proxy y 45.155.250[.]158 como relay de beacons. Entre los nombres de las cuentas halladas en los dispositivos comprometidos figuran admin, fortiAdmin e itadmin. Las agencias piden verificar los indicadores antes de bloquearlos: parte de la infraestructura puede haberse asignado de forma dinámica o temporal.

Impacto para las empresas europeas e italianas

Con 194 países afectados, la campaña no es solo un asunto de Estados Unidos: cualquier organización con un FortiGate o una SSL VPN accesibles desde Internet es un objetivo potencial. El riesgo va más allá del firewall: un acceso VPN válido es una entrada a la red interna, y los accesos recopilados se revenden a grupos de ransomware. Cuando las credenciales se han descifrado offline, como señala CSO Online, el inicio de sesión funciona al primer intento y no deja accesos fallidos que detectar.

Para las entidades sujetas a NIS2, la compromisión de un firewall o de una VPN es un incidente que debes valorar para la notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN), que para los incidentes significativos exige una alerta temprana en 24 horas. La misma atención vale para el sector sanitario, donde un ransomware puede interrumpir servicios esenciales.

Qué hacer ya

1. Reduce la exposición: limita la administración desde Internet a sistemas de confianza, también con una local-in policy, o mejor elimínala por completo.
2. Cierra las sesiones y cambia las credenciales: termina todas las sesiones administrativas y VPN activas y restablece las contraseñas de administrador y de VPN de los sistemas expuestos.
3. Activa una MFA resistente al phishing en todos los accesos remotos y las cuentas de administrador.
4. Revisa la configuración: busca usuarios del firewall y de la VPN que no conozcas, cambios no autorizados y claves REST API desconocidas o inesperadas.
5. Analiza los registros de firewall, VPN, autenticación y controladores de dominio en busca de movimiento lateral, y compáralos con los indicadores del aviso.
6. Pasa a PBKDF2 para guardar las contraseñas de administrador.
7. Si encuentras una compromisión: aísla los hosts afectados, haz threat hunting para delimitar la intrusión y planifica la expulsión del atacante (el aviso remite a la CISA Eviction Strategies Tool). Las agencias desaconsejan pagar rescates.

Cómo ayuda ARXDOME

ARX Expose muestra lo que tu empresa expone en Internet, incluidos puertos abiertos y productos reconocidos, y señala las cuentas de la empresa implicadas en brechas: te ayuda a descubrir un portal VPN o una interfaz de gestión accesibles desde fuera. ARX Sentry recoge los registros de los firewalls y, con el agente, los eventos de ordenadores y servidores: las páginas del SOC sobre identidades muestran accesos privilegiados, ráfagas de intentos y cambios en las cuentas, y el mapa del NOC los errores de las VPN. Con ARX Horizon puedes buscar desde el portal los indicadores de compromiso y la reputación de las direcciones.

Última actualización: 8 de octubre de 2026