Ver el código de «FortiBleed: Campaña Masiva de Compromiso de Credenciales Afecta a 73,932+ Firewalls Fortinet a Nivel Global (2026)»

== Nombres Alternativos / Aliases ==

* FortiBleed (Nombre de la campaña)
* FortiGate Credential Harvesting Campaign (Por el vector de ataque)
* 45-GPU Cracking Operation (Por la infraestructura de descifrado)
* Russian-Speaking Multi-Operator Campaign (Por la atribución)
* FortiGate Configuration Leak 2026 (Por el origen de los datos)

----

== Fecha de Detección / Actividad ==
{| class="wikitable"
!Fecha
!Evento
|-
|17 de junio de 2026
|Descubrimiento inicial por Volodymyr "Bob" Diachenko; publicación de análisis por Hudson Rock, SOCRadar y Kevin Beaumont
|-
|18 de junio de 2026
|Cobertura masiva en medios de seguridad (BleepingComputer, CSO, Network World)
|-
|Estado actual
|Activa (las credenciales están siendo comercializadas activamente en foros criminales y Telegram) 
|}
----

== Resumen Ejecutivo ==
Una campaña de ciberespionaje a gran escala denominada FortiBleed ha comprometido más de 73,932 direcciones URL únicas de firewalls Fortinet en 194 países, afectando a más de 21,000 dominios únicos . El ataque, atribuido a un grupo de ciberdelincuentes de habla rusa, representa aproximadamente el 50% de todos los firewalls Fortinet accesibles desde Internet según datos de Shodan .

=== Descubrimientos clave ===
{| class="wikitable"
!Descubrimiento
!Detalle
|-
|Dispositivos comprometidos
|73,932+ URLs de firewall únicas 
|-
|Países afectados
|194 
|-
|Dominios afectados
|21,632+ 
|-
|Intentos de credenciales
|1,160,000,000 contra 320,777 objetivos FortiGate 
|-
|Intentos contra MSSQL
|2,100,000,000 contra 163,650 servidores 
|-
|Infraestructura de cracking
|Clúster de 45 GPUs gestionado con Hashtopolis 
|-
|Países más afectados
|India, Estados Unidos, Taiwán, México, Turquía 
|}

=== Víctimas de alto perfil confirmadas ===
{| class="wikitable"
!Organización
!Sector
|-
|Samsung
|Electrónica de consumo 
|-
|Oracle
|Software empresarial 
|-
|Foxconn
|Manufactura 
|-
|Siemens
|Manufactura industrial 
|-
|Lenovo
|Hardware informático 
|-
|PwC
|Servicios profesionales 
|-
|Accenture
|Servicios profesionales 
|-
|Comcast
|Telecomunicaciones 
|-
|FedEx
|Logística 
|-
|Spotify
|Streaming musical 
|-
|Sony
|Entretenimiento 
|-
|Huawei
|Telecomunicaciones 
|-
|AT&T
|Telecomunicaciones 
|-
|Mercedes-Benz
|Automotriz 
|-
|Toyota
|Automotriz 
|-
|Contratista de defensa de la OTAN en Turquía
|Defensa (documentos clasificados exfiltrados) 
|}
----

== Actor de Amenaza (Atribución) ==
{| class="wikitable"
!Categoría
!Descripción
|-
|Atribución
|Grupo de ciberdelincuentes rusoparlante con múltiples operadores 
|-
|Tipo de Actor
|Ciberdelincuencia / Initial Access Brokers (IAB) / Extorsión
|-
|Sofisticación
|ALTA (a nivel operacional). El grupo demuestra:
|}

* Operación automatizada a escala industrial
* Infraestructura de cracking de 45 GPUs 
* Capacidad para interceptar hashes SSL VPN en tiempo real
* Pivote a entornos Active Directory internos 
* Comercialización de acceso en foros criminales  |  | Herramientas post-explotación | Chisel, Neo-reGeorg, EternalBlue  |  | Motivación | Financiera (venta de acceso a redes corporativas) |

----

== Vector de Ataque / Métodos de Distribución ==

=== No es una vulnerabilidad 0-day: es un problema de credenciales ===
<blockquote>''"No hay signos de una nueva vulnerabilidad en el software de Fortinet. En su lugar, los atacantes escanearon Internet en busca de dispositivos Fortinet y probaron una lista seleccionada de contraseñas ya conocidas y filtradas contra cada uno, registrando cada inicio de sesión que funcionaba."'' </blockquote>

=== Cadena de ataque completa ===
{| class="wikitable"
!Fase
!Descripción
|-
|1. Recopilación de configuraciones
|Los atacantes extrajeron archivos de configuración de firewalls FortiGate expuestos en Internet. El origen exacto de estos archivos (si fue por vulnerabilidades pasadas, configuraciones mal aseguradas o un vector aún desconocido) no ha sido determinado 
|-
|2. Extracción de hashes
|De los archivos de configuración, los atacantes obtuvieron hashes de autenticación SSL VPN y credenciales de administrador 
|-
|3. Cracking offline masivo
|Los hashes fueron descifrados utilizando un clúster dedicado de 45 GPUs gestionado con Hashtopolis. Esta infraestructura procesó aproximadamente 1.16 mil millones de intentos de credenciales 
|-
|4. Verificación de credenciales
|Las credenciales descifradas fueron probadas contra dispositivos en vivo para confirmar su validez 
|-
|5. Compromiso y pivote
|Con acceso a los firewalls, los atacantes se movieron lateralmente hacia entornos Active Directory internos, estableciendo acceso persistente y profundo 
|-
|6. Comercialización
|Las credenciales verificadas fueron empaquetadas con metadatos de víctimas (industria, ingresos, número de empleados, país) y puestas a la venta en foros criminales como un catálogo de acceso a redes 
|}

=== La debilidad crítica: hashes SHA-256 heredados ===
{| class="wikitable"
!Factor
!Explicación
|-
|Algoritmo heredado
|Fortinet almacenaba contraseñas de administrador usando SHA-256 con sal en versiones antiguas de FortiOS
|-
|Nuevo estándar
|Fortinet introdujo PBKDF2 para el hashing de contraseñas en FortiOS 7.2.11, 7.4.8 y 7.6.1 
|-
|El problema
|Al actualizar desde versiones anteriores, las contraseñas de administrador existentes permanecen almacenadas como hashes SHA-256 hasta que el administrador correspondiente inicia sesión exitosamente después de la actualización 
|-
|Consecuencia
|Muchas organizaciones continúan almacenando credenciales de administrador usando el mecanismo SHA-256 más débil, haciéndolas vulnerables a ataques de fuerza bruta offline 
|}

=== Contraseñas complejas no son protección ===
<blockquote>''"Una cantidad significativa de contraseñas altamente complejas de 20 caracteres fue comprometida exitosamente, no porque fueran descifradas desde cero, sino porque ya existían en texto plano en bases de datos de infostealers previamente recolectadas."''</blockquote>Cuando las credenciales son robadas a nivel de endpoint antes de que se aplique el cifrado, ninguna cantidad de complejidad las protege. Esto socava fundamentalmente la política de "contraseña fuerte" como estrategia de defensa perimetral.
----

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Initial Access (TA0001)
|Valid Accounts (T1078)
|Uso de credenciales robadas/descifradas de firewalls Fortinet 
|-
|Initial Access (TA0001)
|External Remote Services (T1133)
|Acceso VPN SSL a través de gateways Fortinet 
|-
|Credential Access (TA0006)
|Credentials in Files (T1552.001)
|Extracción de hashes de credenciales de archivos de configuración de FortiGate 
|-
|Credential Access (TA0006)
|Password Cracking (T1110.002)
|Cracking de hashes SHA-256 con clúster de 45 GPUs 
|-
|Credential Access (TA0006)
|Brute Force (T1110)
|1.16B intentos contra FortiGate, 2.1B contra MSSQL 
|-
|Discovery (TA0007)
|Network Service Discovery (T1046)
|Escaneo masivo de Internet en busca de dispositivos Fortinet expuestos 
|-
|Lateral Movement (TA0008)
|Remote Services (T1021)
|Pivote a Active Directory y redes internas 
|-
|Command and Control (TA0011)
|Proxy (T1090)
|Uso de herramientas de tunelización como Chisel y Neo-reGeorg 
|-
|Defense Evasion (TA0005)
|Impair Defenses (T1562)
|Los atacantes pueden deshabilitar controles de seguridad, crear usuarios backdoor 
|-
|Impact (TA0040)
|Data Exfiltration (T1048)
|Exfiltración de documentos clasificados de contratista de defensa de la OTAN en Turquía 
|}
----

== Infraestructura Utilizada ==

=== Infraestructura de cracking ===
{| class="wikitable"
!Componente
!Detalle
|-
|GPUs
|45 GPUs (modelo no especificado) 
|-
|Orquestación
|Hashtopolis (plataforma de cracking distribuido) 
|-
|Volumen de procesamiento
|1.16B intentos contra FortiGate, 2.1B contra MSSQL 
|}

=== Herramientas post-explotación observadas ===
{| class="wikitable"
!Herramienta
!Propósito
|-
|Chisel
|Tunelización TCP/UDP sobre HTTP 
|-
|Neo-reGeorg
|Tunelización SOCKS sobre HTTP 
|-
|EternalBlue
|Explotación de vulnerabilidad SMB para movimiento lateral 
|}

=== Datos expuestos ===
{| class="wikitable"
!Tipo de dato
!Descripción
|-
|URLs de firewall
|73,932 únicas 
|-
|Dominios afectados
|21,632+ 
|-
|Credenciales
|Nombres de usuario, correos electrónicos, contraseñas en texto plano 
|-
|Metadatos
|Industria, ingresos, número de empleados de cada organización 
|}

=== Países más afectados ===
{| class="wikitable"
!País
!Número de dispositivos (estimado)
|-
|India
|9,629 
|-
|Estados Unidos
|6,352 
|-
|Taiwán
|3,637 
|-
|México
|3,197 
|-
|Turquía
|3,032 
|-
|Tailandia
|2,939 
|}

=== Sectores más afectados ===
{| class="wikitable"
!Sector
!Número de organizaciones
|-
|IT Services
|1,975 
|-
|Telecomunicaciones
|574 
|-
|Gobierno
|454 
|-
|Servicios Financieros
|460 
|-
|Healthcare
|365 
|}
----

== Impacto y Riesgo ==
{| class="wikitable"
!Categoría
!Nivel
!Descripción
|-
|Alcance
|MASIVO
|73,932+ dispositivos, 194 países, ~50% de todos los FortiGate expuestos a Internet 
|-
|Severidad
|CRÍTICA
|Credenciales de administrador verificadas y comercializadas activamente 
|-
|Persistencia
|ALTA
|Los atacantes pueden mantener acceso, crear backdoors, modificar configuraciones 
|-
|Riesgo de ransomware
|MUY ALTO
|Grupos de ransomware como Qilin, Play, Krybit y Gunra están posicionados para explotar este acceso 
|-
|Impacto en datos
|MUY ALTO
|Documentos clasificados de OTAN ya han sido exfiltrados 
|}

=== Consecuencias específicas ===
{| class="wikitable"
!Consecuencia
!Gravedad
!Detalle
|-
|Acceso remoto a redes corporativas
|Crítica
|Credenciales válidas permiten conexión VPN directa 
|-
|Modificación de controles de seguridad
|Crítica
|Los atacantes pueden deshabilitar logs, crear backdoors, cambiar reglas de firewall 
|-
|Pivote a Active Directory
|Crítica
|Compromiso completo de la red interna 
|-
|Exfiltración de datos clasificados
|Crítica
|Documentos de defensa de OTAN ya robados 
|-
|Venta de acceso en foros criminales
|Alta
|Credenciales comercializadas a otros grupos de ransomware 
|-
|Ataques de ransomware
|Alta
|Los actores tienen acceso a redes y pueden desplegar ransomware 
|}

=== Impacto en la credibilidad de las "contraseñas fuertes" ===
<blockquote>''"Quizás la conclusión más aleccionadora de este conjunto de datos es que la complejidad de las contraseñas ofrecía protección cero. Una cantidad significativa de contraseñas altamente complejas de 20 caracteres fue comprometida exitosamente no porque fueran descifradas desde cero, sino porque ya existían en texto plano en bases de datos de infostealers previamente recolectadas."''</blockquote>
----

== Detección y Respuesta ==

=== Verificación de exposición ===
Hudson Rock ha lanzado un portal gratuito de verificación para que las organizaciones comprueben si sus dominios están incluidos en la base de datos: <code>hudsonrock.com/fortinet</code> 

=== Recomendaciones inmediatas (prioridad CRÍTICA) ===
{| class="wikitable"
!Acción
!Prioridad
!Descripción
|-
|Verificar exposición
|CRÍTICA
|Usar el portal de Hudson Rock para comprobar si el dominio está en el dataset 
|-
|Rotar TODAS las credenciales
|CRÍTICA
|Cambiar contraseñas de administrador de FortiGate y VPN inmediatamente; la complejidad es irrelevante si ya han sido comprometidas 
|-
|Forzar MFA universal
|CRÍTICA
|Implementar autenticación multifactor en todas las puertas de enlace externas 
|-
|Auditar logs de acceso
|ALTA
|Revisar logs de Fortinet en busca de ubicaciones de inicio de sesión anómalas, sesiones de administrador inesperadas o volúmenes de tráfico inusuales 
|-
|Restringir interfaz de administración
|ALTA
|Aplicar políticas local-in para limitar el acceso al panel de administración a IPs internas de confianza 
|-
|Actualizar FortiOS
|ALTA
|Actualizar a versiones soportadas (7.2.11+, 7.4.8+, 7.6.1+) 
|-
|Forzar re-hashing PBKDF2
|ALTA
|Después de actualizar, obligar a todos los administradores a iniciar sesión para que sus contraseñas se conviertan al nuevo estándar PBKDF2 
|-
|Deshabilitar FortiCloud SSO
|MEDIA
|Si no es esencial, desactivar el SSO de FortiCloud 
|}

=== Pasos técnicos detallados ===
bash
 # Verificar versión de FortiOS actual
 get system status | grep Version
 
 # Listar usuarios administradores
 config system admin
 show
 
 # Verificar método de hashing de contraseñas
 diagnose sys admin list
 
 # Forzar re-hashing (después de actualizar)
 # Todos los administradores deben iniciar sesión al menos una vez

=== Comprobación de indicadores de compromiso (IoC) ===
{| class="wikitable"
!Indicador
!Dónde buscar
|-
|Inicios de sesión de administrador anómalos
|Logs de acceso de FortiGate
|-
|Ubicaciones geográficas inusuales
|Logs de VPN SSL
|-
|Sesiones de administrador inesperadas
|Logs de autenticación
|-
|Túneles Chisel/Neo-reGeorg
|Logs de tráfico de red, inspección profunda de paquetes
|-
|Cambios en la configuración
|Logs de auditoría de cambios de FortiGate
|-
|Cuentas de backdoor creadas
|<code>config system admin</code> en FortiGate
|}
----

== Opiniones de Expertos ==
<blockquote>''"La realidad incómoda es que la explotación moderna no siempre se trata de un impacto inmediato. Se trata de recolectar datos que conservan valor mucho después de que la vulnerabilidad subyacente haya sido parcheada."''

— Benjamin Harris, CEO de watchTowr </blockquote><blockquote>''"Pueden iniciar sesión remotamente y obtener acceso remoto al firewall — y por lo tanto a la red. También pueden cambiar configuraciones, incluyendo controles de seguridad, y crear usuarios backdoor."''

— Kevin Beaumont, investigador de seguridad </blockquote><blockquote>''"FortiBleed no es una brecha tradicional, sino un catálogo de credenciales comercializado que contiene contraseñas de administrador para ~75,000 dispositivos FortiGate en 194 países, enriquecido con metadatos de inteligencia empresarial (industria, ingresos, número de empleados) y formateado para ventas en el mercado criminal."''

— Anomali Threat Intelligence </blockquote><blockquote>''"Lo que falta en novedad lo compensan en escala. El grupo roció cientos de miles de endpoints de inicio de sesión, interceptó hashes de autenticación VPN y los descifró en un clúster dedicado de 45 GPUs, ejecutando más de mil millones de intentos de credenciales. 'La escala es la sofisticación'."''

— Volodymyr "Bob" Diachenko, investigador de seguridad </blockquote>
----

== Referencias y Fuentes ==

# Network World. (2026, 18 de junio). ''FortiBleed campaign exposes 75,000 Fortinet firewalls worldwide''. 
# BleepingComputer. (2026, 18 de junio). ''FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices''. 
# Bitsight. (2026, 17 de junio). ''Major Security Event: Fortinet VPN Credentials and Configuration Data Exposed for 73,000 Devices''. 
# The Next Web. (2026, 17 de junio). ''<nowiki/>'FortiBleed': 75,000 Fortinet firewalls' logins exposed''. 
# Ampcus Cyber. (2026, 17 de junio). ''FortiBleed Campaign Targeted 75K Fortinet Firewalls & VPN Gateways Worldwide''. 
# Anomali. (2026, 17 de junio). ''FortiBleed Exposes 75,000 Firewalls: What State Government CISOs Must Do Right Now''. 
# iThome. (2026, 17 de junio). ''FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三''. 
# HKCERT. (2026, 18 de junio). ''Security Alert - FortiBleed Credential Leak Incident''. 

----

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-06-18
|1.0
|Fernando Vargas Hincapié
|Creación inicial basada en informes de Diachenko, Hudson Rock, SOCRadar, BleepingComputer, Network World, Bitsight y otros
|}
----

== Indicadores de Compromiso (IOCs) ==

=== Herramientas post-explotación ===
{| class="wikitable"
!Herramienta
!Propósito
!Detección
|-
|Chisel
|Tunelización
|Buscar tráfico HTTP inusual, procesos <code>chisel</code>
|-
|Neo-reGeorg
|Tunelización SOCKS
|Buscar tráfico HTTP con patrones específicos de tunelización
|-
|EternalBlue
|Explotación SMB
|Buscar tráfico SMBv1 anómalo, exploit de MS17-010
|}

=== Comportamiento anómalo a monitorear ===
{| class="wikitable"
!Comportamiento
!Dónde buscar
|-
|Inicios de sesión de administrador desde IPs externas
|Logs de autenticación de FortiGate
|-
|Sesiones VPN desde ubicaciones geográficas inusuales
|Logs de VPN SSL
|-
|Modificaciones de configuración no autorizadas
|Logs de auditoría de cambios de FortiGate
|-
|Creación de nuevas cuentas de administrador
|<code>config system admin</code> en FortiGate
|-
|Desactivación de logs o controles de seguridad
|Configuración de FortiGate
|-
|Tráfico de tunelización (Chisel/Neo-reGeorg)
|Logs de tráfico de red
|-
|Actividad de administrador fuera de horas laborales
|Logs de autenticación
|}

=== Verificación de exposición ===

* Portal de Hudson Rock: <code>hudsonrock.com/fortinet</code> 
* Shodan: Buscar dispositivos FortiGate con interfaz de administración expuesta a Internet

=== Hashes (no especificados en fuentes públicas) ===
Se recomienda consultar:

* Los informes de Hudson Rock y SOCRadar
* Los feeds de inteligencia de amenazas de Bitsight
* El portal de verificación de Hudson Rock para organizaciones afectadas

----

== Preguntas sin respuesta ==
{| class="wikitable"
!Pregunta
!Estado
|-
|¿Cómo fueron obtenidos originalmente los archivos de configuración de FortiGate?
|No determinado (vulnerabilidad pasada, nueva 0-day, o configuraciones expuestas) 
|-
|¿Fortinet tiene una posición oficial sobre el incidente?
|Fortinet declaró que los datos son "reutilización de datos de incidentes anteriores y fuerza bruta de credenciales", pero los investigadores señalan que las IPs afectadas difieren de filtraciones anteriores 
|-
|¿Cuántas organizaciones han sido realmente comprometidas (no solo listadas)?
|No especificado, pero al menos un contratista de defensa de la OTAN sufrió exfiltración de datos 
|-
|¿Las credenciales están siendo activamente utilizadas por grupos de ransomware?
|Sí, grupos como Qilin, Play, Krybit y Gunra están posicionados para explotar este acceso 
|-
|¿Qué organizaciones han sido notificadas?
|Hudson Rock publicó el dataset para "divulgación ética" 
|}
----

== Etiquetas / Categorías ==
 fortibleed fortinet fortigate vpn-credential-leak credential-harvesting russian-speaking-cybercrime hashed-cracking 45-gpu-cluster hashtopolis active-directory-pivot nato-defense-contractor initial-access-broker enterprise-credential-exposure shodan-scanning ssl-vpn-hash-intercept fortios-sha256-pbkdf2-migration