Una campaña masiva pone en jaque la seguridad de firewalls y VPNs a nivel mundial
La comunidad de ciberseguridad se encuentra en alerta tras la revelación de una campaña de robo de credenciales a gran escala denominada FortiBleed. Según informes recientes validados por la Agencia de Seguridad de Infraestructura y Ciberseguridad (CISA) de Estados Unidos, se ha recopilado una base de datos con más de 86.000 credenciales operativas de dispositivos Fortinet expuestos a Internet, lo que representa aproximadamente el 50% de todos los firewalls de la marca accesibles vía web.
¿Qué es FortiBleed y cómo afecta a las empresas?
El incidente, detectado originalmente en junio de 2026, no se limita a una vulnerabilidad de software específica, sino a una operación coordinada por actores de amenazas —presumiblemente de habla rusa— que han utilizado scripts automatizados para recolectar y probar nombres de usuario y contraseñas. La base de datos verificada incluye accesos de 194 países, afectando desde pequeñas empresas hasta infraestructuras críticas y entidades gubernamentales de alto nivel.
Desde una perspectiva técnica, los atacantes han empleado métodos sofisticados para capitalizar estas credenciales:
- Intercepción de autenticación SSL VPN: Captura de datos de sesión para extraer hashes de contraseñas.
- Cracking de alto rendimiento: Uso de clústeres de GPUs (unidades de procesamiento gráfico) para descifrar contraseñas mediante fuerza bruta a una velocidad sin precedentes.
- Movimiento lateral: Una vez obtenido el acceso al firewall o VPN, los atacantes pivotan hacia los entornos internos de Active Directory para tomar control total de la red corporativa.
El riesgo de las credenciales no rotadas
Uno de los hallazgos más preocupantes de los investigadores, entre ellos Kevin Beaumont y firmas como SOCRadar y Hudson Rock, es que muchas de estas credenciales fueron comprometidas en incidentes previos y nunca fueron cambiadas. Esto subraya una debilidad crítica en la higiene cibernética empresarial: la falta de políticas estrictas de rotación de claves y la persistencia de accesos antiguos en dispositivos perimetrales.
Recomendaciones estratégicas para la alta dirección
Dada la magnitud de FortiBleed, CISA y los expertos de Intedya instan a las organizaciones que utilicen tecnología Fortinet a implementar de inmediato las siguientes medidas de endurecimiento (hardening):
- Reseteo inmediato de credenciales: Cambiar todas las contraseñas de administrador y de usuarios de VPN.
- Terminación de sesiones activas: Forzar el cierre de todas las conexiones actuales para invalidar posibles tokens robados.
- Implementación de MFA resistente al phishing: El doble factor de autenticación ya no es opcional; debe ser la norma para cualquier acceso remoto.
- Actualización de algoritmos de almacenamiento: Asegurarse de utilizar el algoritmo PBKDF2 para el almacenamiento de logins de administración.
- Restricción del acceso de gestión: Limitar el acceso a la interfaz de administración del dispositivo únicamente a direcciones IP internas o mediante redes de gestión aisladas.
En conclusión, FortiBleed es un recordatorio de que la seguridad perimetral no termina con la instalación de un firewall. La gestión de identidades y la vigilancia continua de los registros de acceso son pilares fundamentales para proteger la continuidad del negocio en un panorama de amenazas cada vez más agresivo.
Fuentes
- SecurityWeek — FortiBleed: 86,000 Fortinet Device Credentials Compromised
https://www.securityweek.com/fortibleed-86000-fortinet-device-credentials-compromised/