FortiBleed: Campaña Masiva de Compromiso de Credenciales Afecta a 73,932+ Firewalls Fortinet a Nivel Global (2026)

Nombres Alternativos / Aliases

• FortiBleed (Nombre de la campaña)
• FortiGate Credential Harvesting Campaign (Por el vector de ataque)
• 45-GPU Cracking Operation (Por la infraestructura de descifrado)
• Russian-Speaking Multi-Operator Campaign (Por la atribución)
• FortiGate Configuration Leak 2026 (Por el origen de los datos)

---

Fecha de Detección / Actividad

Fecha	Evento
17 de junio de 2026	Descubrimiento inicial por Volodymyr "Bob" Diachenko; publicación de análisis por Hudson Rock, SOCRadar y Kevin Beaumont
18 de junio de 2026	Cobertura masiva en medios de seguridad (BleepingComputer, CSO, Network World)
Estado actual	Activa (las credenciales están siendo comercializadas activamente en foros criminales y Telegram)

---

Resumen Ejecutivo

Una campaña de ciberespionaje a gran escala denominada FortiBleed ha comprometido más de 73,932 direcciones URL únicas de firewalls Fortinet en 194 países, afectando a más de 21,000 dominios únicos . El ataque, atribuido a un grupo de ciberdelincuentes de habla rusa, representa aproximadamente el 50% de todos los firewalls Fortinet accesibles desde Internet según datos de Shodan .

Descubrimientos clave

Descubrimiento	Detalle
Dispositivos comprometidos	73,932+ URLs de firewall únicas
Países afectados	194
Dominios afectados	21,632+
Intentos de credenciales	1,160,000,000 contra 320,777 objetivos FortiGate
Intentos contra MSSQL	2,100,000,000 contra 163,650 servidores
Infraestructura de cracking	Clúster de 45 GPUs gestionado con Hashtopolis
Países más afectados	India, Estados Unidos, Taiwán, México, Turquía

Víctimas de alto perfil confirmadas

Organización	Sector
Samsung	Electrónica de consumo
Oracle	Software empresarial
Foxconn	Manufactura
Siemens	Manufactura industrial
Lenovo	Hardware informático
PwC	Servicios profesionales
Accenture	Servicios profesionales
Comcast	Telecomunicaciones
FedEx	Logística
Spotify	Streaming musical
Sony	Entretenimiento
Huawei	Telecomunicaciones
AT&T	Telecomunicaciones
Mercedes-Benz	Automotriz
Toyota	Automotriz
Contratista de defensa de la OTAN en Turquía	Defensa (documentos clasificados exfiltrados)

---

Actor de Amenaza (Atribución)

Categoría	Descripción
Atribución	Grupo de ciberdelincuentes rusoparlante con múltiples operadores
Tipo de Actor	Ciberdelincuencia / Initial Access Brokers (IAB) / Extorsión
Sofisticación	ALTA (a nivel operacional). El grupo demuestra:

• Operación automatizada a escala industrial
• Infraestructura de cracking de 45 GPUs
• Capacidad para interceptar hashes SSL VPN en tiempo real
• Pivote a entornos Active Directory internos
• Comercialización de acceso en foros criminales  | | Herramientas post-explotación | Chisel, Neo-reGeorg, EternalBlue  | | Motivación | Financiera (venta de acceso a redes corporativas) |

---

Vector de Ataque / Métodos de Distribución

No es una vulnerabilidad 0-day: es un problema de credenciales

"No hay signos de una nueva vulnerabilidad en el software de Fortinet. En su lugar, los atacantes escanearon Internet en busca de dispositivos Fortinet y probaron una lista seleccionada de contraseñas ya conocidas y filtradas contra cada uno, registrando cada inicio de sesión que funcionaba."

Cadena de ataque completa

Fase	Descripción
1. Recopilación de configuraciones	Los atacantes extrajeron archivos de configuración de firewalls FortiGate expuestos en Internet. El origen exacto de estos archivos (si fue por vulnerabilidades pasadas, configuraciones mal aseguradas o un vector aún desconocido) no ha sido determinado
2. Extracción de hashes	De los archivos de configuración, los atacantes obtuvieron hashes de autenticación SSL VPN y credenciales de administrador
3. Cracking offline masivo	Los hashes fueron descifrados utilizando un clúster dedicado de 45 GPUs gestionado con Hashtopolis. Esta infraestructura procesó aproximadamente 1.16 mil millones de intentos de credenciales
4. Verificación de credenciales	Las credenciales descifradas fueron probadas contra dispositivos en vivo para confirmar su validez
5. Compromiso y pivote	Con acceso a los firewalls, los atacantes se movieron lateralmente hacia entornos Active Directory internos, estableciendo acceso persistente y profundo
6. Comercialización	Las credenciales verificadas fueron empaquetadas con metadatos de víctimas (industria, ingresos, número de empleados, país) y puestas a la venta en foros criminales como un catálogo de acceso a redes

La debilidad crítica: hashes SHA-256 heredados

Factor	Explicación
Algoritmo heredado	Fortinet almacenaba contraseñas de administrador usando SHA-256 con sal en versiones antiguas de FortiOS
Nuevo estándar	Fortinet introdujo PBKDF2 para el hashing de contraseñas en FortiOS 7.2.11, 7.4.8 y 7.6.1
El problema	Al actualizar desde versiones anteriores, las contraseñas de administrador existentes permanecen almacenadas como hashes SHA-256 hasta que el administrador correspondiente inicia sesión exitosamente después de la actualización
Consecuencia	Muchas organizaciones continúan almacenando credenciales de administrador usando el mecanismo SHA-256 más débil, haciéndolas vulnerables a ataques de fuerza bruta offline

Contraseñas complejas no son protección

"Una cantidad significativa de contraseñas altamente complejas de 20 caracteres fue comprometida exitosamente, no porque fueran descifradas desde cero, sino porque ya existían en texto plano en bases de datos de infostealers previamente recolectadas."

Cuando las credenciales son robadas a nivel de endpoint antes de que se aplique el cifrado, ninguna cantidad de complejidad las protege. Esto socava fundamentalmente la política de "contraseña fuerte" como estrategia de defensa perimetral.

---

Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK

Táctica (MITRE ATT&CK)	Técnica / Subtécnica	Descripción / Implementación
Initial Access (TA0001)	Valid Accounts (T1078)	Uso de credenciales robadas/descifradas de firewalls Fortinet
Initial Access (TA0001)	External Remote Services (T1133)	Acceso VPN SSL a través de gateways Fortinet
Credential Access (TA0006)	Credentials in Files (T1552.001)	Extracción de hashes de credenciales de archivos de configuración de FortiGate
Credential Access (TA0006)	Password Cracking (T1110.002)	Cracking de hashes SHA-256 con clúster de 45 GPUs
Credential Access (TA0006)	Brute Force (T1110)	1.16B intentos contra FortiGate, 2.1B contra MSSQL
Discovery (TA0007)	Network Service Discovery (T1046)	Escaneo masivo de Internet en busca de dispositivos Fortinet expuestos
Lateral Movement (TA0008)	Remote Services (T1021)	Pivote a Active Directory y redes internas
Command and Control (TA0011)	Proxy (T1090)	Uso de herramientas de tunelización como Chisel y Neo-reGeorg
Defense Evasion (TA0005)	Impair Defenses (T1562)	Los atacantes pueden deshabilitar controles de seguridad, crear usuarios backdoor
Impact (TA0040)	Data Exfiltration (T1048)	Exfiltración de documentos clasificados de contratista de defensa de la OTAN en Turquía

---

Infraestructura Utilizada

Infraestructura de cracking

Componente	Detalle
GPUs	45 GPUs (modelo no especificado)
Orquestación	Hashtopolis (plataforma de cracking distribuido)
Volumen de procesamiento	1.16B intentos contra FortiGate, 2.1B contra MSSQL

Herramientas post-explotación observadas

Herramienta	Propósito
Chisel	Tunelización TCP/UDP sobre HTTP
Neo-reGeorg	Tunelización SOCKS sobre HTTP
EternalBlue	Explotación de vulnerabilidad SMB para movimiento lateral

Datos expuestos

Tipo de dato	Descripción
URLs de firewall	73,932 únicas
Dominios afectados	21,632+
Credenciales	Nombres de usuario, correos electrónicos, contraseñas en texto plano
Metadatos	Industria, ingresos, número de empleados de cada organización

Países más afectados

País	Número de dispositivos (estimado)
India	9,629
Estados Unidos	6,352
Taiwán	3,637
México	3,197
Turquía	3,032
Tailandia	2,939

Sectores más afectados

Sector	Número de organizaciones
IT Services	1,975
Telecomunicaciones	574
Gobierno	454
Servicios Financieros	460
Healthcare	365

---

Impacto y Riesgo

Categoría	Nivel	Descripción
Alcance	MASIVO	73,932+ dispositivos, 194 países, ~50% de todos los FortiGate expuestos a Internet
Severidad	CRÍTICA	Credenciales de administrador verificadas y comercializadas activamente
Persistencia	ALTA	Los atacantes pueden mantener acceso, crear backdoors, modificar configuraciones
Riesgo de ransomware	MUY ALTO	Grupos de ransomware como Qilin, Play, Krybit y Gunra están posicionados para explotar este acceso
Impacto en datos	MUY ALTO	Documentos clasificados de OTAN ya han sido exfiltrados

Consecuencias específicas

Consecuencia	Gravedad	Detalle
Acceso remoto a redes corporativas	Crítica	Credenciales válidas permiten conexión VPN directa
Modificación de controles de seguridad	Crítica	Los atacantes pueden deshabilitar logs, crear backdoors, cambiar reglas de firewall
Pivote a Active Directory	Crítica	Compromiso completo de la red interna
Exfiltración de datos clasificados	Crítica	Documentos de defensa de OTAN ya robados
Venta de acceso en foros criminales	Alta	Credenciales comercializadas a otros grupos de ransomware
Ataques de ransomware	Alta	Los actores tienen acceso a redes y pueden desplegar ransomware

Impacto en la credibilidad de las "contraseñas fuertes"

"Quizás la conclusión más aleccionadora de este conjunto de datos es que la complejidad de las contraseñas ofrecía protección cero. Una cantidad significativa de contraseñas altamente complejas de 20 caracteres fue comprometida exitosamente no porque fueran descifradas desde cero, sino porque ya existían en texto plano en bases de datos de infostealers previamente recolectadas."

---

Detección y Respuesta

Verificación de exposición

Hudson Rock ha lanzado un portal gratuito de verificación para que las organizaciones comprueben si sus dominios están incluidos en la base de datos: hudsonrock.com/fortinet

Recomendaciones inmediatas (prioridad CRÍTICA)

Acción	Prioridad	Descripción
Verificar exposición	CRÍTICA	Usar el portal de Hudson Rock para comprobar si el dominio está en el dataset
Rotar TODAS las credenciales	CRÍTICA	Cambiar contraseñas de administrador de FortiGate y VPN inmediatamente; la complejidad es irrelevante si ya han sido comprometidas
Forzar MFA universal	CRÍTICA	Implementar autenticación multifactor en todas las puertas de enlace externas
Auditar logs de acceso	ALTA	Revisar logs de Fortinet en busca de ubicaciones de inicio de sesión anómalas, sesiones de administrador inesperadas o volúmenes de tráfico inusuales
Restringir interfaz de administración	ALTA	Aplicar políticas local-in para limitar el acceso al panel de administración a IPs internas de confianza
Actualizar FortiOS	ALTA	Actualizar a versiones soportadas (7.2.11+, 7.4.8+, 7.6.1+)
Forzar re-hashing PBKDF2	ALTA	Después de actualizar, obligar a todos los administradores a iniciar sesión para que sus contraseñas se conviertan al nuevo estándar PBKDF2
Deshabilitar FortiCloud SSO	MEDIA	Si no es esencial, desactivar el SSO de FortiCloud

Pasos técnicos detallados

bash

# Verificar versión de FortiOS actual
get system status | grep Version

# Listar usuarios administradores
config system admin
show

# Verificar método de hashing de contraseñas
diagnose sys admin list

# Forzar re-hashing (después de actualizar)
# Todos los administradores deben iniciar sesión al menos una vez

Comprobación de indicadores de compromiso (IoC)

Indicador	Dónde buscar
Inicios de sesión de administrador anómalos	Logs de acceso de FortiGate
Ubicaciones geográficas inusuales	Logs de VPN SSL
Sesiones de administrador inesperadas	Logs de autenticación
Túneles Chisel/Neo-reGeorg	Logs de tráfico de red, inspección profunda de paquetes
Cambios en la configuración	Logs de auditoría de cambios de FortiGate
Cuentas de backdoor creadas	config system admin en FortiGate

---

Opiniones de Expertos

"La realidad incómoda es que la explotación moderna no siempre se trata de un impacto inmediato. Se trata de recolectar datos que conservan valor mucho después de que la vulnerabilidad subyacente haya sido parcheada." — Benjamin Harris, CEO de watchTowr

"Pueden iniciar sesión remotamente y obtener acceso remoto al firewall — y por lo tanto a la red. También pueden cambiar configuraciones, incluyendo controles de seguridad, y crear usuarios backdoor." — Kevin Beaumont, investigador de seguridad

"FortiBleed no es una brecha tradicional, sino un catálogo de credenciales comercializado que contiene contraseñas de administrador para ~75,000 dispositivos FortiGate en 194 países, enriquecido con metadatos de inteligencia empresarial (industria, ingresos, número de empleados) y formateado para ventas en el mercado criminal." — Anomali Threat Intelligence

"Lo que falta en novedad lo compensan en escala. El grupo roció cientos de miles de endpoints de inicio de sesión, interceptó hashes de autenticación VPN y los descifró en un clúster dedicado de 45 GPUs, ejecutando más de mil millones de intentos de credenciales. 'La escala es la sofisticación'." — Volodymyr "Bob" Diachenko, investigador de seguridad

---

Referencias y Fuentes

1. Network World. (2026, 18 de junio). FortiBleed campaign exposes 75,000 Fortinet firewalls worldwide.
2. BleepingComputer. (2026, 18 de junio). FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices.
3. Bitsight. (2026, 17 de junio). Major Security Event: Fortinet VPN Credentials and Configuration Data Exposed for 73,000 Devices.
4. The Next Web. (2026, 17 de junio). 'FortiBleed': 75,000 Fortinet firewalls' logins exposed.
5. Ampcus Cyber. (2026, 17 de junio). FortiBleed Campaign Targeted 75K Fortinet Firewalls & VPN Gateways Worldwide.
6. Anomali. (2026, 17 de junio). FortiBleed Exposes 75,000 Firewalls: What State Government CISOs Must Do Right Now.
7. iThome. (2026, 17 de junio). FortiBleed曝光逾7萬臺Fortinet設備憑證資料，臺灣受影響數量居全球第三.
8. HKCERT. (2026, 18 de junio). Security Alert - FortiBleed Credential Leak Incident.

---

Historial de Revisiones

Fecha	Versión	Autor	Cambios Realizados
2026-06-18	1.0	Fernando Vargas Hincapié	Creación inicial basada en informes de Diachenko, Hudson Rock, SOCRadar, BleepingComputer, Network World, Bitsight y otros

---

Indicadores de Compromiso (IOCs)

Herramientas post-explotación

Herramienta	Propósito	Detección
Chisel	Tunelización	Buscar tráfico HTTP inusual, procesos chisel
Neo-reGeorg	Tunelización SOCKS	Buscar tráfico HTTP con patrones específicos de tunelización
EternalBlue	Explotación SMB	Buscar tráfico SMBv1 anómalo, exploit de MS17-010

Comportamiento anómalo a monitorear

Comportamiento	Dónde buscar
Inicios de sesión de administrador desde IPs externas	Logs de autenticación de FortiGate
Sesiones VPN desde ubicaciones geográficas inusuales	Logs de VPN SSL
Modificaciones de configuración no autorizadas	Logs de auditoría de cambios de FortiGate
Creación de nuevas cuentas de administrador	config system admin en FortiGate
Desactivación de logs o controles de seguridad	Configuración de FortiGate
Tráfico de tunelización (Chisel/Neo-reGeorg)	Logs de tráfico de red
Actividad de administrador fuera de horas laborales	Logs de autenticación

Verificación de exposición

• Portal de Hudson Rock: hudsonrock.com/fortinet
• Shodan: Buscar dispositivos FortiGate con interfaz de administración expuesta a Internet

Hashes (no especificados en fuentes públicas)

Se recomienda consultar:

• Los informes de Hudson Rock y SOCRadar
• Los feeds de inteligencia de amenazas de Bitsight
• El portal de verificación de Hudson Rock para organizaciones afectadas

---

Preguntas sin respuesta

Pregunta	Estado
¿Cómo fueron obtenidos originalmente los archivos de configuración de FortiGate?	No determinado (vulnerabilidad pasada, nueva 0-day, o configuraciones expuestas)
¿Fortinet tiene una posición oficial sobre el incidente?	Fortinet declaró que los datos son "reutilización de datos de incidentes anteriores y fuerza bruta de credenciales", pero los investigadores señalan que las IPs afectadas difieren de filtraciones anteriores
¿Cuántas organizaciones han sido realmente comprometidas (no solo listadas)?	No especificado, pero al menos un contratista de defensa de la OTAN sufrió exfiltración de datos
¿Las credenciales están siendo activamente utilizadas por grupos de ransomware?	Sí, grupos como Qilin, Play, Krybit y Gunra están posicionados para explotar este acceso
¿Qué organizaciones han sido notificadas?	Hudson Rock publicó el dataset para "divulgación ética"

---

Etiquetas / Categorías

fortibleed fortinet fortigate vpn-credential-leak credential-harvesting russian-speaking-cybercrime hashed-cracking 45-gpu-cluster hashtopolis active-directory-pivot nato-defense-contractor initial-access-broker enterprise-credential-exposure shodan-scanning ssl-vpn-hash-intercept fortios-sha256-pbkdf2-migration