FortiBleed: FBI e Secret Service, campagna attiva sui FortiGate

Il 6 ottobre 2026 l’FBI e il Secret Service statunitense hanno pubblicato un avviso congiunto su FortiBleed, la campagna di furto di credenziali contro i firewall Fortinet FortiGate e i gateway SSL VPN esposti su Internet. Il messaggio principale è che la campagna è ancora attiva: gli attaccanti continuano a scansionare i dispositivi raggiungibili da Internet usando credenziali già compromesse. Non c’è una nuova vulnerabilità né una CVE: il problema sono le credenziali, e per questo, avvertono le agenzie, aggiornare e cambiare le password potrebbe non bastare.

Cosa è successo

FortiBleed è emersa a giugno, quando gli operatori della campagna hanno lasciato esposto per errore un loro server di backend, con strumenti, script e dati. Secondo BleepingComputer conteneva nomi utente e password in chiaro associati a 73.932 indirizzi di firewall in 194 paesi. L’avviso cita la verifica della società di threat intelligence SOCRadar: oltre 86.644 dispositivi compromessi in 194 paesi. Il CISO di SOCRadar ha detto a CyberScoop che l’operazione nel suo complesso avrebbe preso di mira tra 400.000 e 450.000 firewall, precisando che i numeri raccolti in momenti diversi non sono del tutto confrontabili.

Le novità dell’avviso riguardano soprattutto due aspetti:

• in alcuni incidenti gli attaccanti hanno chiuso fuori gli amministratori legittimi, cancellando gli account esistenti o cambiandone la password;
• la catena di attacco di FortiBleed è stata osservata come punto di ingresso per affiliati ransomware, tramite initial access broker che rivendono gli accessi. Le testate citano INC/Lynx e Payload (Infosecurity Magazine li elenca come tre gruppi: INC, Lynx e Payload). Già a luglio SOCRadar aveva collegato la campagna a INC e Lynx e, secondo The Register, contato almeno 12 attacchi ransomware confermati partiti da FortiBleed.

Dettagli tecnici: la catena di attacco

Dall’avviso e dai materiali trovati sul server, le fonti ricostruiscono queste fasi:

1. Scansione automatica di Internet alla ricerca di portali SSL VPN FortiGate esposti.
2. Credential stuffing e password spraying con credenziali di precedenti fughe di dati Fortinet e dei log degli infostealer.
3. Estrazione di altri dati di autenticazione dai dispositivi compromessi, tra cui gli hash delle password, poi craccati offline con un cluster di GPU (noleggiate, secondo CSO Online) che usa Hashcat e Hashtopolis.
4. Selezione degli obiettivi: script che validano le credenziali, scartano gli honeypot, identificano l’organizzazione e la classificano per fatturato e struttura della rete. Secondo BleepingComputer il server conteneva anche configurazioni VPN funzionanti e liste di obiettivi, segno che gli accessi venivano preparati per la vendita.
5. Persistenza: creazione di nuovi account amministrativi sul firewall; in alcuni casi, secondo CSO Online, anche l’uso di SSH dove la porta era esposta.
6. Movimento laterale: enumerazione di Active Directory e password spraying interno per trovare account privilegiati.
7. Blocco degli amministratori: cancellazione o cambio di password degli account originali, per ostacolare la risposta e mantenere l’accesso.

Sulla fase 3 pesa un dettaglio: la conservazione delle password amministrative con il vecchio formato SHA-256 rende praticabile il cracking su larga scala. Le agenzie raccomandano PBKDF2; Security Affairs riporta che Fortinet lo consiglia per le password amministrative su FortiOS 7.2.11 e successive.

MITRE ATT&CK: l’avviso cita T1531 (Account Access Removal) per il blocco degli account. Le altre fasi corrispondono a T1133 (External Remote Services), T1110.004 (Credential Stuffing), T1110.003 (Password Spraying), T1110.002 (Password Cracking), T1078 (Valid Accounts), T1136 (Create Account) e T1087.002 (Domain Account Discovery).

Indicatori pubblicati

Secondo Security Affairs, l’avviso indica 45.154.12[.]132 come server di comando e controllo, 154.202.59[.]169 e 103.27.186[.]156 come nodi proxy e 45.155.250[.]158 come relay dei beacon. Tra i nomi degli account trovati sui dispositivi compromessi compaiono admin, fortiAdmin e itadmin. Le agenzie chiedono di verificare gli indicatori prima di bloccarli: parte dell’infrastruttura può essere stata assegnata in modo dinamico o temporaneo.

Impatto per le aziende europee e italiane

Con 194 paesi coinvolti, la campagna non riguarda solo gli Stati Uniti: ogni organizzazione con un FortiGate o una SSL VPN raggiungibili da Internet è un potenziale bersaglio. Il rischio va oltre il firewall: un accesso VPN valido è un ingresso nella rete interna, e gli accessi raccolti vengono rivenduti a gruppi ransomware. Quando le credenziali sono state craccate offline, come osserva CSO Online, l’accesso riesce al primo tentativo e non lascia accessi falliti da notare.

Per i soggetti NIS2, la compromissione di un firewall o di una VPN è un incidente da valutare per la notifica allo CSIRT Italia dell’ACN, che per gli incidenti significativi prevede un preallarme entro 24 ore. La stessa attenzione vale per la sanità, dove un ransomware può interrompere servizi essenziali.

Cosa fare subito

1. Riduci l’esposizione: limita l’amministrazione da Internet ai soli sistemi fidati, anche con una local-in policy, o meglio eliminala del tutto.
2. Chiudi le sessioni e cambia le credenziali: termina tutte le sessioni amministrative e VPN attive e reimposta le password amministrative e VPN dei sistemi esposti.
3. Attiva l’MFA resistente al phishing su tutti gli accessi remoti e gli account amministrativi.
4. Controlla la configurazione: cerca utenti del firewall e della VPN che non conosci, modifiche non autorizzate e chiavi REST API sconosciute o inattese.
5. Analizza i log di firewall, VPN, autenticazione e domain controller alla ricerca di movimento laterale, e confrontali con gli indicatori dell’avviso.
6. Passa a PBKDF2 per la conservazione delle password amministrative.
7. Se trovi una compromissione: isola gli host coinvolti, fai threat hunting per capire l’estensione dell’intrusione e pianifica l’eliminazione dell’attaccante (l’avviso rimanda al CISA Eviction Strategies Tool). Le agenzie sconsigliano di pagare riscatti.

Come aiuta ARXDOME

ARX Expose mostra cosa la tua azienda espone su Internet, comprese porte aperte e prodotti riconosciuti, e segnala gli account aziendali coinvolti in violazioni: aiuta a scoprire un portale VPN o un’interfaccia di gestione raggiungibili da fuori. ARX Sentry raccoglie i log dei firewall e, con l’agent, gli eventi di computer e server: le pagine del SOC sulle identità mostrano accessi privilegiati, raffiche di tentativi e modifiche agli account, e la mappa del NOC gli errori delle VPN. Con ARX Horizon puoi cercare dal portale gli indicatori di compromissione e la reputazione degli indirizzi.

Ultimo aggiornamento: 8 ottobre 2026