FortiBleed : 73 932 identifiants VPN Fortinet fuités — ce que ça change pour vous (2026)

À la mi-juin 2026, une fuite d'identifiants surnommée FortiBleed a mis au grand jour environ 73 932 identifiants VPN Fortinet FortiGate — en clair — dans 194 pays. En surface, c'est une affaire d'infrastructure d'entreprise, mais sa fabrication est une leçon brutale sur les mots de passe de tout le monde. Voici ce qui s'est passé et quoi faire.

Ce qui s'est passé

Des chercheurs (la découverte est attribuée à Bob Diachenko) ont trouvé un jeu de données contenant en clair des noms d'utilisateur, e-mails et mots de passe pour environ 73 932 appareils Fortinet FortiGate et SSL-VPN uniques, couvrant 194 pays et plus de 21 000 domaines — soit, selon certaines estimations, près de la moitié des pare-feux Fortinet exposés sur internet. La CISA a exhorté les clients concernés à mettre fin aux sessions VPN actives et réinitialiser les identifiants immédiatement.

Comment elle a été bâtie — recyclée, pas piratée

C'est le point important : les opérateurs n'ont pas cassé le chiffrement de Fortinet. Selon les rapports, ils ont constitué la liste à partir de :

• Anciens dumps de fuites Fortinet — des identifiants exposés lors d'incidents antérieurs.
• Logs de malwares infostealers — des logiciels qui récupèrent silencieusement les mots de passe enregistrés dans les navigateurs et clients VPN des machines infectées.

Puis ils ont testé automatiquement ces identifiants contre chaque appareil FortiGate accessible et noté chaque succès. En clair : des mots de passe volés et réutilisés, recyclés à l'échelle industrielle. Aucun exploit exotique — juste la conséquence prévisible de la réutilisation et des identifiants moissonnés par malware.

Pourquoi ça compte même si vous n'avez jamais touché un boîtier Fortinet

Parce que FortiBleed ne portait pas vraiment sur Fortinet — mais sur des mots de passe réutilisés et volés. Les mêmes logs d'infostealers qui ont alimenté cette liste contiennent couramment des identifiants d'e-mail personnel, de banque, de jeux et de réseaux sociaux. L'attaque a fonctionné parce que les identifiants sont réutilisés d'un système à l'autre et discrètement moissonnés par des malwares. Ce risque est universel.

Que faire

La défense est la même à toutes les échelles :

• Cessez de réutiliser vos mots de passe. Chaque compte doit avoir un mot de passe long et unique pour qu'une fuite n'ouvre pas les autres. Un gestionnaire de mots de passe rend cela réaliste plutôt qu'impossible à mémoriser.
• Activez la double authentification. Avec la 2FA (une appli d'authentification ou une clé matérielle, idéalement — pas le SMS), un mot de passe volé seul ne fait pas entrer l'attaquant.
• Affamez les infostealers. Gardez OS et navigateur à jour, évitez logiciels piratés et téléchargements douteux, et ne conservez pas vos mots de passe sensibles dans des fichiers en clair ou des stockages de navigateur non protégés.
• Si vous exploitez un FortiGate, suivez la CISA maintenant : fin des sessions actives, réinitialisation des identifiants, et rotation de tout mot de passe réutilisé ailleurs.

À retenir

FortiBleed est l'une des démonstrations les plus vastes et publiques d'une vérité ennuyeuse : la plupart des « piratages » ne sont que des mots de passe réutilisés et volés, ré-essayés ailleurs. Vous ne contrôlez pas la fuite d'un fournisseur, mais vous pouvez rendre vos propres identifiants inutiles à recycler — mots de passe uniques, 2FA, et une configuration résistante aux infostealers. C'est tout l'enjeu.