Un chercheur a trouvé un serveur mal sécurisé qui contenait de vrais identifiants administrateur pour des dizaines de milliers de pare-feux d’entreprise, accessibles à qui savait où regarder. Cette fuite, baptisée FortiBleed, vient d’être reliée à deux groupes de rançongiciel qui partagent en réalité la même équipe.

Encore une fois, les victimes sont des entreprises qui utilisent des pare-feux et passerelles VPN SSL Fortinet FortiGate, pas des particuliers avec une appli VPN grand public. Mais cette campagne montre bien comment des attaquants transforment une faille ancienne et jamais corrigée en une opération de vol d’identifiants à grande échelle.

Ce qu’est réellement FortiBleed

En juin 2026, le chercheur en sécurité Bob Diachenko a découvert une base de données non protégée contenant ce qui ressemblait à de vrais identifiants FortiGate : noms d’utilisateur, adresses e-mail et mots de passe en clair. BleepingComputer a rapporté un premier décompte de 73 932 URLs d’appareils. Le chercheur Kevin Beaumont a vérifié un échantillon des données de son côté et a confirmé que certains identifiants étaient authentiques.

Le 19 juin, le nombre confirmé d’appareils touchés était monté à environ 86 644, répartis dans 194 pays, soit près de la moitié de tous les pare-feux FortiGate accessibles depuis Internet. Parmi les victimes citées dans la base de données figureraient Chevron, Samsung, Foxconn, Toyota et plusieurs autres grandes entreprises.

La cause profonde remonte à bien avant la fuite elle-même. Une grande partie de la collecte d’identifiants repose sur CVE-2022-40684, une faille de traversée de répertoire dans FortiOS que Fortinet a corrigée en octobre 2022. Près de quatre ans plus tard, une bonne partie du parc n’avait toujours pas appliqué le correctif. C’est exactement la brèche que les attaquants ont exploitée.

Comment les identifiants ont vraiment été craqués

L’ampleur de cette campagne est ce qui la distingue d’une simple fuite. Selon des analyses techniques publiées ensuite, les opérateurs ont scanné environ 59,3 millions d’hôtes accessibles depuis Internet à la recherche de panneaux d’administration FortiGate exposés, puis ont lancé 1,16 milliard de tentatives de connexion par identifiants contre 320 777 cibles FortiGate identifiées.

Là où le bourrage d’identifiants classique n’a pas fonctionné, ils ont pris une voie plus patiente. La poignée de main du VPN SSL de FortiGate peut laisser fuiter des hachages d’authentification sans qu’une connexion réussisse. Les attaquants ont intercepté ces hachages et les ont soumis à un cluster de 45 GPU géré via Hashtopolis, un outil open source de craquage de mots de passe distribué, pour retrouver les mots de passe en clair hors ligne. Ce n’est pas un pirate isolé avec un ordinateur portable. C’est une opération industrielle bâtie spécifiquement pour transformer un “on n’a pas réussi à se connecter” en “on n’a plus besoin de se connecter”.

Le lien avec les rançongiciels Lynx et INC

Le lien qui donne à FortiBleed toute son importance au-delà d’une simple base de données volée est apparu début juillet, quand BleepingComputer a rapporté que des chercheurs avaient relié l’infrastructure de vol d’identifiants au rançongiciel Lynx. La société de renseignement sur les menaces SOCRadar est allée plus loin en attribuant directement la campagne à des membres des groupes de rançongiciel en tant que service INC et Lynx, après avoir découvert que les mêmes opérateurs avaient accès aux panneaux de négociation utilisés par les deux groupes.

Ce chevauchement n’a rien d’un hasard. Lynx est apparu mi-2024 et de nombreux chercheurs pensent qu’il s’agit d’un simple rebranding du groupe de rançongiciel INC plutôt que d’une équipe réellement nouvelle. The Hacker News a détaillé comment le groupe a déployé un outil de capture de paquets sur mesure, surnommé “FortiGate Sniffer”, directement sur les pare-feux compromis, afin d’intercepter les identifiants VPN et administrateurs depuis le trafic réseau en direct, en plus des hachages craqués.

Au moment des reportages suivants, les chiffres avaient encore grimpé. Tech Times a rapporté que l’ampleur réelle de l’opération atteignait plus de 430 000 appareils FortiGate dans le monde, avec des outils de capture de trafic installés sur environ 19 000 d’entre eux, et des indices pointant vers une équipe d’environ 20 personnes aux rôles bien définis. Ce n’était pas une fuite isolée. Ça ressemble plutôt au début d’une chaîne d’approvisionnement pour rançongiciels : collecter des accès en masse d’abord, décider ensuite qui mérite d’être rançonné.

Ce que la CISA demande aux entreprises

L’alerte de la CISA du 18 juin demande à toute entreprise utilisant des appareils FortiGate ou des passerelles VPN SSL de traiter cette affaire comme urgente. Les recommandations principales :

  • Mettre fin immédiatement à toutes les sessions VPN SSL et administratives actives
  • Réinitialiser tous les mots de passe VPN Fortinet et administrateurs, en priorité sur les systèmes exposés à Internet
  • Activer l’authentification multifacteur sur tous les comptes administrateurs et VPN
  • Vérifier que les appareils utilisent PBKDF2 pour stocker les identifiants admin et retirer les algorithmes de hachage hérités plus faibles
  • Mettre à jour vers le dernier firmware FortiGate
  • Examiner les journaux à la recherche d’accès administrateur inattendus, de comptes inconnus ou de modifications de configuration que personne ne se souvient avoir faites

Rien de très original là-dedans. C’est la même liste de contrôle qui suit chacun de ces incidents, et celle que les entreprises ignorent jusqu’à ce qu’une intrusion les y force.

Passerelle VPN d’entreprise et appli VPN grand public : toujours pas la même chose

Nous avions déjà fait ce constat avec la faille zero-day Check Point VPN reliée au groupe de rançongiciel Qilin en juin, et il s’applique tout autant ici. Un VPN SSL FortiGate est une passerelle d’accès distant d’entreprise. Il accepte des connexions entrantes depuis les employés et se trouve juste devant le réseau de l’entreprise, ce qui explique pourquoi craquer ses identifiants vaut la peine de construire un cluster de 45 GPU.

Une appli VPN grand public fonctionne dans l’autre sens. Vous vous connectez en sortant vers le serveur d’un fournisseur pour chiffrer votre propre trafic, et il n’y a aucun réseau d’entreprise derrière à rançonner. FortiBleed ne dit rien sur la sécurité de NordVPN, Proton VPN ou de n’importe quel autre service grand public. Produit différent, menace différente, même sigle.

Ce que ça change si vous êtes juste un utilisateur VPN grand public

Si vous n’avez jamais touché à un appareil FortiGate, l’exposition directe est nulle. Mais le schéma mérite d’être retenu : les protocoles VPN SSL sur des firmwares vieillissants sont un aimant pour ce genre d’attaque, parce qu’ils n’ont jamais été conçus pour résister à un milliard de tentatives de craquage dirigées contre eux. Côté grand public, l’équivalent de cette erreur, c’est de rester sur un protocole dépassé comme PPTP ou L2TP longtemps après l’apparition de meilleures options. Si votre fournisseur utilise encore ces protocoles par défaut, c’est un signal d’alarme à prendre au sérieux.

Les protocoles modernes comme WireGuard évitent une bonne partie de ce problème par conception : surface d’attaque plus réduite, cryptographie moderne, aucune bizarrerie de poignée de main vieille de plusieurs décennies à exploiter. Notre comparatif WireGuard contre OpenVPN explique lequel choisir et pourquoi ce choix compte plus qu’on ne le pense en général. Un fournisseur comme NordVPN utilise par défaut NordLynx, sa propre implémentation de WireGuard, et c’est le genre de choix par défaut qui vieillit bien.

Envie de comparer tous les VPN côte à côte ? Consultez notre tableau comparatif complet avec les scores sur 18 critères.

Un schéma qui se répète

Les appareils Fortinet produisent un flux continu de CVE exploitées depuis des années. Ivanti Connect Secure a eu sa propre vague de failles zero-day. Pulse Secure et Citrix ont eu chacun leur tour avant ça. Les équipements en périphérie de réseau sont exposés sur Internet par définition, détiennent les clés de tout ce qui se trouve derrière eux, et leur mise à jour demande une fenêtre de maintenance que personne ne veut planifier. Cette combinaison explique pourquoi ils reviennent sans cesse dans les chronologies de rançongiciels, et pourquoi une CVE vieille de quatre ans comme CVE-2022-40684 peut encore faire des dégâts en 2026.

La vérité qui dérange, c’est que FortiBleed n’était pas un zero-day. C’était une faille connue et corrigée qu’une grande partie du parc mondial de pare-feux n’a jamais pris la peine de réparer, restée là assez longtemps pour que quelqu’un construise une infrastructure de craquage industrielle autour.

Notre verdict

FortiBleed ressemble moins à un incident isolé qu'à une chaîne d'approvisionnement : collecter des identifiants en masse d'abord, les transmettre à des groupes de rançongiciel ensuite. Le cluster de craquage à 45 GPU et l'ampleur de 430 000 appareils montrent combien d'infrastructure les attaquants sont prêts à construire autour d'une seule faille non corrigée, une fois qu'elle a prouvé sa rentabilité. Si vous utilisez des appareils FortiGate, la liste de contrôle de la CISA n'est pas optionnelle. Si vous êtes un utilisateur VPN grand public, cette histoire ne vous concerne pas directement, mais elle confirme la même règle : des protocoles dépassés laissés actifs sont exactement ce qui transforme une CVE corrigée en une brèche qui dure des années.

Sources : BleepingComputer sur la fuite initiale | Alerte de la CISA | BleepingComputer sur le lien avec le rançongiciel Lynx | The Hacker News sur l’attribution à INC et Lynx | Tech Times sur l’ampleur à 430 000 appareils