Un investigador encontró un servidor mal protegido con credenciales de administrador reales para decenas de miles de firewalls corporativos, ahí para quien supiera dónde buscar. Esa filtración, ahora llamada FortiBleed, acaba de vincularse a dos operaciones de ransomware que comparten el mismo núcleo de gente.
Otra vez, las víctimas son empresas que usan firewalls y pasarelas VPN SSL Fortinet FortiGate, no personas con una app VPN de consumo. Pero la campaña sirve como caso de estudio de cómo los atacantes convierten un fallo viejo y sin parchear en un robo de credenciales a escala industrial.
Qué es FortiBleed en realidad
En junio de 2026, el investigador de seguridad Bob Diachenko descubrió una base de datos sin proteger que contenía lo que parecían credenciales reales de FortiGate: nombres de usuario, direcciones de correo y contraseñas en texto plano. BleepingComputer informó un recuento inicial de 73.932 URLs de dispositivos. El investigador Kevin Beaumont revisó de forma independiente una muestra de los datos y confirmó que algunas de las credenciales eran auténticas.
Para el 19 de junio, el número confirmado de dispositivos afectados había subido a unos 86.644 en 194 países, casi la mitad de todos los FortiGate accesibles desde internet en el mundo. Entre las víctimas mencionadas en la base de datos figurarían Chevron, Samsung, Foxconn, Toyota y otras grandes empresas.
La causa de fondo se remonta a mucho antes de la filtración. Gran parte de la recolección de credenciales se apoya en CVE-2022-40684, un fallo de path traversal en FortiOS que Fortinet parcheó en octubre de 2022. Casi cuatro años después, buena parte de la flota de dispositivos todavía no había aplicado ese parche, y esa es exactamente la brecha que aprovecharon los atacantes.
Cómo se descifraron realmente las credenciales
La escala de esta campaña es lo que la separa de una filtración normal. Según análisis técnicos posteriores, los operadores escanearon unos 59,3 millones de hosts accesibles desde internet buscando paneles de administración de FortiGate expuestos, y luego lanzaron 1.160 millones de intentos de inicio de sesión con credenciales contra 320.777 objetivos FortiGate identificados.
Donde el relleno de credenciales normal no funcionó, tomaron un camino más paciente. El protocolo de enlace de la VPN SSL de FortiGate puede filtrar hashes de autenticación sin necesidad de un inicio de sesión exitoso. Los atacantes interceptaron esos hashes y los introdujeron en un clúster de 45 GPU gestionado con Hashtopolis, un framework de código abierto para descifrado distribuido de contraseñas, para recuperar las contraseñas en texto plano fuera de línea. Esto no es un hacker solitario con un portátil. Es una operación industrial construida específicamente para convertir un inicio de sesión fallido en una contraseña válida igualmente.
La conexión con el ransomware Lynx e INC
El vínculo que hace que FortiBleed importe más allá de una simple base de datos filtrada llegó a principios de julio, cuando BleepingComputer informó que investigadores habían vinculado la infraestructura de robo de credenciales con el ransomware Lynx. La empresa de inteligencia de amenazas SOCRadar fue más lejos y atribuyó la campaña directamente a miembros de los grupos de ransomware como servicio INC y Lynx, después de descubrir que los mismos operadores tenían acceso a los paneles de negociación de ambos grupos.
Ese solapamiento no es casualidad. Lynx apareció a mediados de 2024 y muchos investigadores creen que en realidad es un cambio de marca de la banda de ransomware INC, más que un equipo nuevo de verdad. The Hacker News detalló cómo el grupo desplegó una herramienta propia de captura de paquetes, apodada “FortiGate Sniffer”, directamente en los firewalls comprometidos, para interceptar credenciales VPN y de administrador desde el tráfico de red en vivo, además de los hashes ya descifrados.
Para cuando llegaron los siguientes reportes, las cifras habían vuelto a crecer. Tech Times informó que el alcance real de la operación llegaba a más de 430.000 dispositivos FortiGate en todo el mundo, con herramientas de captura de tráfico instaladas en unos 19.000 de ellos, y con indicios de un equipo de unas 20 personas con roles definidos. Esto no fue una filtración aislada. Parece más bien el inicio de una cadena de suministro para el ransomware: primero recolectar accesos a gran escala, después decidir a quién vale la pena extorsionar.
Lo que la CISA pide a las organizaciones
La alerta de la CISA del 18 de junio pide a cualquier organización que use dispositivos FortiGate o pasarelas VPN SSL que trate esto como urgente. Las recomendaciones principales:
- Cerrar de inmediato todas las sesiones activas de VPN SSL y administración
- Restablecer todas las contraseñas VPN y de administrador de Fortinet, priorizando los sistemas expuestos a internet
- Activar la autenticación multifactor en todas las cuentas de administrador y VPN
- Confirmar que los dispositivos usan PBKDF2 para almacenar las credenciales de administrador y eliminar los algoritmos de hash antiguos más débiles
- Actualizar al firmware más reciente de FortiGate
- Revisar los registros en busca de accesos de administrador inesperados, cuentas desconocidas o cambios de configuración que nadie recuerda haber hecho
Nada de esto es raro. Es la misma lista de comprobación que sigue a cada uno de estos incidentes, y la misma que las organizaciones ignoran hasta que una brecha las obliga a actuar.
Pasarela VPN corporativa y app VPN de consumo: siguen sin ser lo mismo
Ya hicimos este planteamiento con el zero-day de Check Point VPN vinculado al grupo de ransomware Qilin en junio, y aplica igual aquí. Una VPN SSL de FortiGate es una pasarela de acceso remoto corporativa. Acepta conexiones entrantes de empleados y se sitúa justo delante de la red de la empresa, por eso descifrar sus credenciales justifica construir un clúster de 45 GPU.
Una app VPN de consumo funciona al revés. Te conectas de salida al servidor de un proveedor para cifrar tu propio tráfico, y no hay ninguna red corporativa detrás que alguien pueda secuestrar. FortiBleed no dice nada sobre si NordVPN, Proton VPN o cualquier otro servicio de consumo es seguro de usar. Producto distinto, modelo de amenaza distinto, mismas tres letras nada más.
Qué significa esto si solo usas una VPN de consumo
Si nunca has tocado un dispositivo FortiGate, la exposición directa aquí es cero. Pero vale la pena quedarse con el patrón: los protocolos VPN SSL en firmware antiguo son un imán para este tipo de ataque, porque nunca se diseñaron para resistir mil millones de intentos de descifrado dirigidos contra ellos. En el lado del consumidor, el error equivalente es seguir con un protocolo anticuado como PPTP o L2TP mucho después de que existan mejores opciones. Si tu proveedor sigue usando esos protocolos por defecto, es una señal de alerta que conviene tomar en serio.
Los protocolos modernos como WireGuard evitan buena parte de este problema por diseño: menor superficie de ataque, criptografía moderna, sin rarezas de protocolo de enlace de hace décadas que explotar. Nuestra comparativa de WireGuard frente a OpenVPN explica cuál elegir y por qué importa más de lo que la mayoría cree. Un proveedor como NordVPN usa por defecto NordLynx, su propia implementación de WireGuard, y ese es el tipo de configuración por defecto que envejece bien.
¿Quieres comparar todos los VPN uno al lado del otro? Consulta nuestra tabla comparativa completa con puntuaciones en 18 criterios.
Un patrón que se repite
Los dispositivos Fortinet llevan años generando un flujo constante de CVEs explotadas. Ivanti Connect Secure tuvo su propia ola de zero-days. Pulse Secure y Citrix tuvieron cada uno su turno antes de eso. Los dispositivos de borde están expuestos a internet por definición, guardan las llaves de todo lo que hay detrás, y actualizarlos requiere una ventana de mantenimiento que nadie quiere programar. Esa combinación explica por qué siguen apareciendo en las cronologías de ransomware, y por qué una CVE de cuatro años como CVE-2022-40684 todavía puede hacer daño en 2026.
La verdad incómoda es que FortiBleed no fue un zero-day. Fue un fallo conocido y ya parcheado que gran parte de la flota mundial de firewalls nunca se molestó en corregir, y que quedó ahí el tiempo suficiente para que alguien construyera una infraestructura de descifrado industrial a su alrededor.
FortiBleed se parece menos a un incidente aislado que a una cadena de suministro: primero recolectar credenciales a gran escala, después entregarlas a bandas de ransomware. El clúster de descifrado de 45 GPU y el alcance de 430.000 dispositivos muestran cuánta infraestructura están dispuestos a construir los atacantes alrededor de una sola vulnerabilidad sin parchear, una vez que demuestra ser rentable. Si administras dispositivos FortiGate, la lista de la CISA no es opcional. Si solo usas una VPN de consumo, esta historia no te afecta directamente, pero confirma la misma regla de siempre: los protocolos anticuados que se dejan activos son justo lo que convierte una CVE ya parcheada en una brecha de años.
Fuentes: BleepingComputer sobre la filtración inicial | Alerta de la CISA | BleepingComputer sobre el vínculo con el ransomware Lynx | The Hacker News sobre la atribución a INC y Lynx | Tech Times sobre el alcance de 430.000 dispositivos