25 de Junio de 2026

FortiBleed pone en el punto de mira a FortiGate para robar credenciales a gran escala

FortiBleed centra sus ataques en FortiGate para la sustración de credenciales a gran medida.

La campaña denominada FortiBleed está enfocada en dispositivos Fortinet FortiGate accesibles desde Internet con el objetivo de obtener credenciales de acceso y facilitar futuras intrusiones en redes corporativas. Los atacantes emplean técnicas de fuerza bruta, ataques de diccionario y credential stuffing, por lo que resulta fundamental reforzar la autenticación y renovar las contraseñas comprometidas.

FortiBleed ha situado a los equipos perimetrales de Fortinet, especialmente los dispositivos FortiGate y los servicios VPN asociados, como objetivo principal de una operación masiva de robo de credenciales. La campaña se dirige específicamente a sistemas expuestos a Internet y busca obtener nombres de usuario y contraseñas válidos para acceder a los entornos corporativos sin necesidad de recurrir a malware avanzado ni a métodos especialmente complejos.

Según las alertas detectadas, la actividad sigue un patrón habitual en este tipo de amenazas: grandes volúmenes de intentos automatizados de autenticación que combinan fuerza bruta, ataques de diccionario y credential stuffing contra portales accesibles desde el exterior. Los ciberdelincuentes prueban de forma sistemática múltiples combinaciones de credenciales, reutilizando con frecuencia datos obtenidos en filtraciones anteriores, hasta encontrar accesos válidos a servicios SSL VPN o incluso a las interfaces de administración.

Las consecuencias pueden ir más allá del acceso inicial. Cuando una cuenta comprometida permite entrar en un firewall o en una pasarela VPN y la misma contraseña se utiliza en otros sistemas, los atacantes pueden desplazarse lateralmente por la infraestructura y comprometer recursos adicionales. Además, una vez dentro, es habitual que intenten asegurar su permanencia mediante modificaciones de configuración, creación de nuevas cuentas o incorporación de reglas que faciliten accesos posteriores.

Para mitigar el riesgo, se recomienda actuar con rapidez. Es prioritario cambiar las contraseñas vinculadas a cuentas de administración, VPN y servicios asociados a FortiGate, así como habilitar la autenticación multifactor (MFA) en todos los accesos remotos posibles. También es aconsejable reducir la superficie de exposición limitando el acceso público a las interfaces de administración, aplicando controles mediante ACL o utilizando VPN dedicadas para tareas de gestión.

La revisión detallada de los registros resulta igualmente esencial. Los equipos de seguridad deben identificar incrementos inusuales de intentos fallidos de autenticación, patrones compatibles con credential stuffing y conexiones procedentes de ubicaciones o direcciones IP sospechosas. La implementación de mecanismos de bloqueo automático y limitación de solicitudes puede ayudar a frenar este tipo de ataques automatizados. Asimismo, conviene eliminar cuentas en desuso, evitar credenciales compartidas y reforzar las políticas de contraseñas.

Cuando existe la posibilidad de que las credenciales hayan sido reutilizadas en otros sistemas, el alcance del incidente puede ampliarse considerablemente. En estos casos, es recomendable revisar los accesos remotos de toda la organización, identificar posibles credenciales expuestas y forzar cambios de contraseña en los sistemas internos afectados. Posteriormente, será necesario incrementar la monitorización para detectar actividades sospechosas, como inicios de sesión desde ubicaciones atípicas, cambios inesperados en la configuración o la creación de nuevas cuentas con privilegios administrativos.

Más información

Regresar
Scroll al inicio