Campagne massive de compromission des équipements FortiGate

Fortinet développe des équipements de sécurité réseau, dont les pare-feux FortiGate, destinés à protéger les réseaux contre les intrusions et les attaques. Ils intègrent une fonctionnalité VPN SSL permettant aux utilisateurs d'établir des connexions distantes sécurisées via le protocole SSL/TLS. Le 16 juin 2026, les chercheurs de SOCRadar ont identifié l'infrastructure opérationnelle d'un groupe d'attaquants menant une campagne de compromission ciblant des équipements appartenant à des entreprises, des opérateurs de télécommunications, des établissements de santé, des universités et des infrastructures critiques. L'attaque repose sur un processus entièrement automatisé : balayage d'Internet pour identifier les interfaces VPN et d'administration Fortinet accessibles, puis utilisation d'identifiants issus de compromissions antérieures pour mener des attaques par force brute et par bourrage d'identifiants (credential stuffing). Les couples identifiant/mot de passe valides sont vérifiés automatiquement, puis les équipements compromis servent de points d'écoute pour intercepter et collecter d'autres identifiants transitant sur le réseau. Ces nouveaux identifiants sont ensuite réinjectés dans le cycle d'attaque, ce qui permet à la campagne de s'étendre en continu. Cette compromission permettrait à un acteur malveillant d'utiliser un accès administrateur légitime pour s'introduire dans les réseaux internes et prendre le contrôle total du périmètre de sécurité.

• Équipements Fortinet FortiGate (pare-feux NGFW et passerelles VPN SSL) exposés sur Internet et/ou utilisant des mots de passe par défaut ou des identifiants issus de compromissions antérieures.