FortiBleed, l’attacco che ha bucato 75.000 firewall Fortinet

C’è una nuova storia brutta nel mondo della cybersecurity, e questa volta riguarda uno dei nomi più diffusi nelle reti aziendali di tutto il mondo. Si chiama FortiBleed, ed è una campagna di attacco su scala industriale che ha preso di mira i dispositivi Fortinet esposti su internet, riuscendo a compromettere le credenziali di accesso di decine di migliaia di sistemi.

Il nome lo dice già tutto: FortiBleed è il nuovo incubo per chi amministra firewall FortiGate.

Seguici su Telegram per rimanere aggiornato

Come è partita l’indagine

A scoprire tutto è stato il ricercatore di sicurezza informatica Volodymyr “Bob” Diachenko, che ha trovato su un server pubblicamente accessibile un archivio strutturato di credenziali rubate. L’archivio conteneva username, indirizzi email e password in chiaro, oltre a metadati sulle organizzazioni colpite. Da lì, due società di threat intelligence, Hudson Rock e SOCRadar, hanno approfondito l’analisi e ricostruito l’entità dell’attacco.

I numeri fanno impressione. FortiBleed ha preso di mira oltre 320.000 dispositivi FortiGate su internet, eseguendo circa 1,16 miliardi di tentativi basati su credenziali. Contemporaneamente, gli stessi attaccanti hanno lanciato 2,1 miliardi di tentativi brute force contro più di 160.000 server MSSQL. Il risultato: 73.932 URL unici di firewall e VPN Fortinet compromessi, su 21.632 domini distinti in 194 paesi.

Come funzionava l’attacco

L’operazione ha le caratteristiche di un gruppo criminale ben organizzato, con risorse tecniche non banali. Secondo le analisi, si tratta di un gruppo russo-parlante che opera con automazione industriale. Il metodo è sistematico: prima raccolgono le credenziali da database di leak storici, poi le testano in modo massivo contro i dispositivi FortiGate esposti.

Nelle intrusioni più avanzate, il gruppo è andato oltre. Ha intercettato gli hash di autenticazione delle VPN SSL, li ha craccati usando un cluster di 45 GPU dedicate, e poi si è mosso lateralmente all’interno delle reti colpite fino a raggiungere gli ambienti Active Directory. Non è un attacco opportunistico: è una campagna di compromissione profonda.

Un fattore che ha reso tutto questo possibile riguarda il modo in cui Fortinet memorizzava le password. Per anni, i dispositivi hanno usato SHA-256 con salt, un metodo relativamente debole contro attacchi offline. Fortinet ha aggiornato il sistema a PBKDF2 con salt randomizzato all’inizio del 2025, ma il cambiamento si attivava solo dopo che l’amministratore eseguiva il login post-aggiornamento. Il risultato è che moltissimi dispositivi continuano a usare il vecchio schema, rendendoli vulnerabili.

Chi è stato colpito

Il ricercatore Kevin Beaumont ha verificato che i dati contenuti nel leak sono reali e che la maggior parte dei dispositivi è ancora online. Ha stimato che l’insieme di credenziali compromesse rappresenta circa il 50% di tutti i firewall Fortinet attualmente esposti su internet. Tra le organizzazioni colpite figurano nomi di primo piano a livello globale: Samsung, Siemens, Foxconn, Oracle, Accenture, DHL e Infosys, solo per citarne alcune.

Non è una storia che riguarda solo le grandi aziende straniere. Il CERT-AGID ha confermato che FortiBleed ha interessato anche la Pubblica Amministrazione italiana, con dispositivi Fortinet di enti italiani inclusi nel dataset. Diachenko ha segnalato compromissioni in Giappone, Taiwan, Vietnam, Iraq e Turchia, incluso un appaltatore della difesa turco collegato alla NATO da cui sarebbero stati sottratti documenti classificati.

Cosa fare adesso

Se la tua organizzazione usa dispositivi Fortinet, non c’è molto da aspettare. Le raccomandazioni degli esperti sono chiare:

resettare immediatamente tutte le credenziali amministrative e VPN, attivare l’autenticazione multifattore (MFA)su tutte le interfacce, limitare l’accesso alle sole interfacce di gestione e segmentare le reti interne. È indispensabile anche verificare attentamente i log di accesso degli ultimi mesi.

Hudson Rock ha messo a disposizione un tool gratuito per controllare se le credenziali della propria organizzazione sono presenti nel dataset di FortiBleed. Vale la pena verificarlo prima che lo facciano altri.

La situazione

FortiBleed non è il primo grande attacco contro Fortinet, e probabilmente non sarà l’ultimo. La differenza rispetto ai casi precedenti è la scala, l’automazione e il livello di accesso raggiunto dagli attaccanti. Avere un firewall esposto su internet con credenziali deboli o non aggiornate, in questo momento, è un rischio concreto. Miliardo e mezzo di tentativi su 320.000 bersagli non è un’operazione improvvisata: è un’industria.

Ti è piaciuto questo articolo?

Seguici per restare aggiornato su tech, smartphone e streaming – senza perderti nulla.

Google News Telegram YouTube Facebook Instagram