La rottura non è più solo il furto di credenziali FortiGate. Quel materiale sta diventando una pipeline di monetizzazione verso il ransomware: lo stesso accesso può passare dal gateway all’account di dominio, poi alla cifratura e all’estorsione. La risposta standard che si ferma alla messa in sicurezza del firewall perde il punto di handoff.
SOCRadar collega FortiBleed a INC e Lynx, e riferisce che un operatore legato all’infrastruttura è stato visto dentro i pannelli di negoziazione di entrambi i gruppi. Il report parla di 354 intrusioni completate, 409 target con accesso admin e almeno 12 deployment di ransomware, con centinaia di endpoint cifrati; cita anche un possibile ruolo di Nextcloud in alcuni casi, ma non come elemento necessario della campagna.
Per chi gestisce FortiGate o altri gateway esposti, il rischio non finisce con la revoca dell’accesso iniziale. Se quelle credenziali hanno già aperto la strada a dominio e VPN, vanno trattate come un ingresso già monetizzabile da chi opera dietro il ransomware.