Los ciberdelincuentes han comprometido decenas de miles de firewalls y VPN de Fortinet utilizados por importantes empresas de todo el mundo, según dos empresas de ciberseguridad.
La campaña de piratería generalizada, que está en curso y ha sido denominada FortiBleed, no parece implicar el abuso de ninguna vulnerabilidad desconocida en los dispositivos objetivo, sino más bien una cuestión más básica: las empresas pueden no cambiar las contraseñas del firewall ni asegurarse de que los piratas informáticos no conozcan las credenciales que utilizan para los sistemas sensibles expuestos en Internet.
En esta campaña, los piratas informáticos utilizan primero herramientas automatizadas para escanear Internet en busca de firewalls y VPN de Fortinet expuestos. Luego, van irrumpiendo en los dispositivos gracias a listas de contraseñas previamente conocidas. En ese punto, los ciberdelincuentes pueden robar datos más confidenciales de las empresas víctimas, escribieron las firmas de ciberseguridad Hudson Rock y SOCRadar en sus informes que publicaron esta semana.
“Una vez que un dispositivo se ve comprometido, [the hackers] Úselo como puesto de escucha, monitoreando el tráfico que pasa y recopilando cualquier credencial adicional que fluya. Luego, esas contraseñas recién recopiladas se devuelven al escáner para comprometer aún más dispositivos. El sistema se alimenta a sí mismo”, escribió SOCRadar.
Hudson Rock dijo que encontraron evidencia que sugiere que más de 73.000 URL únicas de Fortinet han sido pirateadas, mientras que SOCRadar dijo que el total de dispositivos pirateados es más de 30.000.
Según Hudson Rock, las empresas pirateadas incluyen: Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens y PwC.
Un portavoz de Lenovo acusó recibo de la solicitud de comentarios de TechCrunch, pero no respondió. Ninguna de las otras empresas respondió a una solicitud de comentarios.
Según Hudson Rock y SOCRadar, los países con los dispositivos más afectados son India, Estados Unidos, Taiwán y México. Pero ambas empresas afirman que hay víctimas en todo el mundo. En cuanto a las industrias, las más afectadas son las de servicios de TI, materiales de construcción y telecomunicaciones, según Hudson Rock. Las agencias gubernamentales también se encuentran entre las víctimas, según SOCRadar. Ambas empresas de ciberseguridad dijeron que el grupo detrás de la campaña de piratería parece ser de habla rusa.
Fortinet no respondió a una solicitud de comentarios.
Los informes de Hudson Rock y SOCRadar se basan en el descubrimiento de una lista de credenciales para dispositivos Fortinet y empresas asociadas. Esta campaña de piratería fue reportada por primera vez por el investigador de seguridad Bob Diachenko durante el fin de semana. El investigador independiente de ciberseguridad Kevin Beaumont dijo en una publicación de blog el miércoles que analizó y confirmó que los datos «son legítimos».
En los últimos años, varias campañas de piratería se han dirigido a dispositivos Fortinet y los han comprometido, generalmente abusando de las vulnerabilidades de esos sistemas. En cambio, en este caso, los piratas informáticos se basan en contraseñas filtradas, un ataque más simple y menos sofisticado.
Cuando compra a través de enlaces en nuestros artículos, podemos ganar una pequeña comisión. Esto no afecta nuestra independencia editorial.