FortiGate diventa una catena di raccolta e rivendita credenziali
Il punto non è solo la compromissione del firewall. Una volta dentro un FortiGate, l'attaccante lo trasforma in un nodo che ascolta il traffico di autenticazione, estrae password e hash, poi li monetizza fuori dal dispositivo; la correzione del bordo non cancella l'accesso già raccolto. Con FortiGate gestiti da MSP e provider IT, l'effetto si estende anche ai clienti a valle.
SOCRadar stima che FortiBleed abbia preso di mira oltre 430.000 FortiGate in tutto il mondo e abbia prodotto più di 110 milioni di credenziali; i target attivi sono oltre 19.000. Il report lega la campagna a un initial access broker a movente finanziario e a un flusso automatizzato con FortigateSniffer, cracking su GPU affittate e orchestrazione via Telegram, con uso successivo delle credenziali contro Active Directory e altri servizi.
Il cambio di scala conta: non è più solo un singolo sniffer su Fortinet, ma una pipeline multi-vendor che industrializza il furto di accesso. Per chi opera firewall per conto terzi, la compromissione dell'appliance può diventare subito un problema di identità e di accesso downstream, non un incidente confinato al perimetro.