Firewalls de Fortinet, afectados por una campaña masiva de recolección de credenciales

Ciberdelincuentes han comprometido decenas de miles de firewalls y redes privadas virtuales (VPN) de Fortinet en una campaña de hackeo en curso en todo el mundo. La campaña, denominada FortiBleed, al parecer no implica el abuso de ninguna vulnerabilidad desconocida en los dispositivos afectados. En cambio, la operación se basa en un problema más básico: es posible que las empresas no estén cambiando las contraseñas del firewall, lo que deja las credenciales expuestas a ataques de fuerza bruta.

Según informes publicados esta semana por las firmas de ciberseguridad Hudson Rock y SOCRadar, los atacantes utilizan herramientas automatizadas para escanear internet en busca de dispositivos expuestos, irrumpiendo en ellos mediante listas de contraseñas previamente conocidas. SOCRadar, una firma de ciberseguridad, explicó que el sistema se alimenta a sí mismo: “Una vez que un dispositivo es comprometido, [los hackers] lo utilizan como puesto de escucha, monitoreando el tráfico que pasa a través de él y recopilando cualquier credencial adicional que fluya. Esas contraseñas recién recopiladas se introducen de nuevo en el escáner para comprometer aún más dispositivos. El sistema se alimenta a sí mismo”.

Fortinet ha reconocido la actividad. Tiffany Curci, portavoz de Fortinet, declaró que la empresa está al tanto de una campaña de recolección de credenciales de terceros reportada que apunta a firewalls y puertas de enlace VPN de Fortinet. La empresa añadió que su análisis indica que los datos involucrados son una redistribución de datos de incidentes previos, así como ataques de fuerza bruta a credenciales, y que no están relacionados con ningún incidente o aviso reciente.

La escala de la campaña es considerable. Hudson Rock informó haber encontrado evidencia que sugiere que más de 73,000 URL únicas de Fortinet han sido hackeadas, mientras que SOCRadar declaró que el número total de dispositivos hackeados es superior a 30,000. Los países con la mayor cantidad de dispositivos afectados son India, Estados Unidos, Taiwán y México, aunque ambas firmas señalaron que hay víctimas en todo el mundo. La brecha afecta a empresas de diversos sectores, incluidos servicios de TI y agencias gubernamentales. Ambas empresas de ciberseguridad declararon que el grupo detrás de la campaña de hackeo parece ser de habla rusa. La campaña fue reportada por primera vez por el investigador de seguridad Bob Diachenko durante el fin de semana. El miércoles, el investigador independiente de ciberseguridad Kevin Beaumont analizó los datos y confirmó que son legítimos.

Según Hudson Rock, las organizaciones hackeadas incluyen:

• Accenture
• Comcast
• Foxconn
• Lenovo
• Oracle
• Samsung
• Siemens
• PwC

Por qué importa

Este incidente subraya un cambio crítico en el riesgo empresarial: los atacantes están eludiendo las defensas de seguridad al explotar una higiene de contraseñas básica, convirtiendo la infraestructura de red estándar en un punto débil para las organizaciones en todo el mundo.