FortiBleed: 73.932 credenciales VPN de Fortinet filtradas - qué significa para ti (2026)

A mediados de junio de 2026, una filtración de credenciales apodada FortiBleed dejó al descubierto unas 73.932 credenciales VPN de Fortinet FortiGate - en texto plano - en 194 países. En la superficie es una historia de infraestructura empresarial, pero cómo se armó es una lección contundente sobre las contraseñas de todos. Esto es lo que pasó y qué hacer.

Qué pasó

Investigadores (el hallazgo se atribuye a Bob Diachenko) encontraron un conjunto de datos con nombres de usuario, correos y contraseñas en texto plano de unos 73.932 dispositivos Fortinet FortiGate y SSL-VPN únicos, que abarcan 194 países y más de 21.000 dominios - según algunas estimaciones, cerca de la mitad de los firewalls Fortinet expuestos a internet. CISA instó a los clientes afectados a terminar las sesiones VPN activas y restablecer credenciales de inmediato.

Cómo se construyó - reciclada, no hackeada

Esta es la parte importante: los operadores no rompieron el cifrado de Fortinet. Según los informes, armaron la lista a partir de:

• Volcados de brechas previas de Fortinet - credenciales expuestas en incidentes anteriores.
• Logs de malware infostealer - software que extrae en silencio las contraseñas guardadas en navegadores y clientes VPN de máquinas infectadas.

Luego probaron automáticamente esas credenciales contra cada dispositivo FortiGate alcanzable y registraron cada éxito. En pocas palabras: contraseñas robadas y reutilizadas, recicladas a escala industrial. Ningún exploit exótico - solo el resultado previsible de la reutilización y de credenciales cosechadas por malware.

Por qué importa aunque nunca hayas tocado un equipo Fortinet

Porque FortiBleed no iba realmente sobre Fortinet - iba sobre contraseñas reutilizadas y robadas. Los mismos logs de infostealers que alimentaron esta lista contienen habitualmente inicios de sesión de correo personal, banca, juegos y redes sociales. El ataque funcionó porque las credenciales se reutilizan entre sistemas y se cosechan en silencio por malware. Ese riesgo es universal.

Qué hacer

La defensa es la misma a cualquier escala:

• Deja de reutilizar contraseñas. Cada cuenta debe tener una contraseña larga y única para que una filtración no abra las demás. Un gestor de contraseñas lo hace realista en vez de imposible de recordar.
• Activa la verificación en dos pasos. Con 2FA (una app de autenticación o llave de hardware, idealmente - no SMS), una contraseña robada sola no deja entrar al atacante.
• Mata de hambre a los infostealers. Mantén el SO y el navegador actualizados, evita software pirata y descargas turbias, y no guardes contraseñas sensibles en archivos de texto plano ni almacenes de navegador sin protección.
• Si gestionas un FortiGate, sigue la guía de CISA ahora: termina las sesiones activas, restablece las credenciales del dispositivo, y rota cualquiera de esas contraseñas reutilizadas en otro lugar.

Para recordar

FortiBleed es una de las demostraciones más grandes y públicas de una verdad aburrida: la mayoría de los "hackeos" son solo contraseñas reutilizadas y robadas que se prueban en otro sitio. No controlas la brecha de un proveedor, pero puedes hacer que tus propias credenciales no sirvan para reciclar - contraseñas únicas, 2FA y una configuración resistente a infostealers. Ese es todo el juego.