%22%3E%3Cstop offset=%220%22 stop-color=%22%23D4A017%22 stop-opacity=%220.30%22/%3E%3Cstop offset=%220.55%22 stop-color=%22%238A6E2F%22 stop-opacity=%220.10%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/linearGradient%3E%3CradialGradient id=%22r%22 cx=%220.82%22 cy=%220.22%22 r=%220.7%22%3E%3Cstop offset=%220%22 stop-color=%22%23E8C040%22 stop-opacity=%220.22%22/%3E%3Cstop offset=%221%22 stop-color=%22%230A0A0F%22 stop-opacity=%220%22/%3E%3C/radialGradient%3E%3C/defs%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%230A0A0F%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22%23111118%22 opacity=%220.6%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23g)%22/%3E%3Crect width=%221200%22 height=%22630%22 fill=%22url(%23r)%22/%3E%3Cg transform=%22translate(840 150) scale(3.0)%22 fill=%22%23E8C040%22 opacity=%220.14%22%3E%3Cpath d=%22M50 8 L84 20 V46 C84 70 68 86 50 92 C32 86 16 70 16 46 V20 Z%22/%3E%3C/g%3E%3Crect x=%2280%22 y=%22270%22 width=%2264%22 height=%226%22 rx=%223%22 fill=%22%23D4A017%22/%3E%3Ctext x=%2280%22 y=%2292%22 font-family=%22ui-monospace, 'SFMono-Regular', monospace%22 font-size=%2226%22 letter-spacing=%223%22 fill=%22%238484A0%22%3EDROKIO%3C/text%3E%3Ctext x=%2280%22 y=%22356%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EFortiBleed Campaign Exploits%3C/text%3E%3Ctext x=%2280%22 y=%22420%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3EFortiGate Exposure to Harvest%3C/text%3E%3Ctext x=%2280%22 y=%22484%22 font-family=%22Georgia, 'Times New Roman', serif%22 font-size=%2248%22 font-weight=%22700%22 fill=%22%23E8E8F0%22%3E110 Million Credentials%3C/text%3E%3Crect x=%220.5%22 y=%220.5%22 width=%221199%22 height=%22629%22 fill=%22none%22 stroke=%22%232A2A3A%22 stroke-width=%221%22/%3E%3C/svg%3E)
Basado en información de The Hacker News →
Introducción
Una campaña de robo de credenciales que desde febrero de 2026 ha comprometido más de 430.000 firewalls FortiGate a nivel global demuestra que el perímetro ya no es suficiente: los atacantes apuntan a la puerta principal, no a la trampilla.
El problema
Según reportó The Hacker News, un agente de acceso inicial (IAB) de habla rusa, motivado exclusivamente por ganancias económicas, está detrás de la operación conocida como FortiBleed. Desde febrero de 2026, este actor ha recopilado listas de credenciales, identificado servicios expuestos, realizado fuerza bruta sobre sistemas accesibles y desplegado herramientas personalizadas para cosechar más de 110 millones de credenciales de firewalls FortiGate vulnerables.
Consecuencias
El impacto es doble: por un lado, la exposición masiva de credenciales de administración de firewalls, que son el punto de control crítico de la red; por otro, la posibilidad de que esos accesos se revendan a otros grupos de ransomware o APT, multiplicando el daño. Para cualquier organización con un FortiGate expuesto a Internet, el riesgo de una intrusión total y persistente es real y actual.
Causas
La causa raíz, según la información pública disponible, no es una vulnerabilidad nueva de día cero, sino una combinación de mala higiene de credenciales (contraseñas débiles o reutilizadas) y exposición innecesaria de servicios de administración del firewall a Internet. El IAB simplemente automatizó la búsqueda de equipos mal configurados.