A metà giugno 2026 una fuga di credenziali soprannominata FortiBleed ha reso pubblici, in chiaro, circa 73.932 accessi VPN Fortinet FortiGate in 194 paesi. In superficie è una vicenda di infrastruttura aziendale, ma il modo in cui è stata assemblata è una lezione netta sulle password di tutti. Ecco cosa è successo e cosa fare davvero.
Cosa è successo
I ricercatori di sicurezza (la scoperta è attribuita a Bob Diachenko) hanno trovato un set di dati contenente nomi utente, email e password in chiaro per circa 73.932 dispositivi firewall e SSL-VPN Fortinet FortiGate unici, distribuiti in 194 paesi e più di 21.000 domini - secondo alcune stime circa la metà dei firewall Fortinet attualmente esposti a internet. Le organizzazioni colpite, a quanto riferito, sembravano un appello aziendale dei principali settori. La CISA ha esortato i clienti Fortinet colpiti a terminare immediatamente le sessioni VPN attive e reimpostare le credenziali.
Come è stato costruito - riciclato, non hackerato
Questa è la parte importante: gli operatori non hanno violato la crittografia di Fortinet. Secondo le fonti, hanno assemblato l'elenco a partire da:
- Precedenti dump di violazioni Fortinet - credenziali esposte in incidenti anteriori.
- Log dei malware infostealer - software che raccoglie silenziosamente le password salvate nei browser e nei client VPN delle macchine infette.
Hanno poi testato automaticamente quelle credenziali contro ogni dispositivo FortiGate raggiungibile, registrando ogni successo. In parole povere: password rubate e riutilizzate, riciclate su scala industriale. Nessun exploit esotico - solo il prevedibile frutto del riutilizzo delle credenziali e degli accessi raccolti dai malware.
Perché conta anche se non hai mai toccato un dispositivo Fortinet
Perché FortiBleed non riguardava davvero Fortinet - riguardava password riutilizzate e rubate. Gli stessi log degli infostealer che hanno alimentato questo elenco contengono abitualmente accessi per email personali, conti bancari, account di gioco e social. L'attacco ha funzionato perché le credenziali vengono riutilizzate tra sistemi e raccolte di nascosto dai malware. Quel rischio è universale.
Cosa fare
La difesa è la stessa a ogni scala:
- Smetti di riutilizzare le password. Ogni account dovrebbe avere una password lunga e unica, così una fuga non può aprire le altre. Un gestore di password rende tutto realistico invece che impossibile da ricordare.
- Attiva l'autenticazione a due fattori. Con la 2FA (idealmente un'app di autenticazione o una chiave hardware - non l'SMS), una password rubata da sola non farà entrare un aggressore.
- Affama gli infostealer. Mantieni aggiornati sistema operativo e browser, evita software pirata e download dubbi e non conservare password sensibili in file di testo o in archivi del browser non protetti.
- Se gestisci un FortiGate, segui ora il consiglio della CISA: termina le sessioni attive, reimposta le credenziali del dispositivo e cambia ogni password riutilizzata altrove.
In sintesi
FortiBleed è una delle dimostrazioni più grandi e pubbliche di una verità banale: la maggior parte degli „hack" sono solo password riutilizzate e rubate provate in un posto nuovo. Non puoi controllare la violazione di un fornitore, ma puoi rendere le tue credenziali inutili da riciclare - password uniche, 2FA e una configurazione resistente agli infostealer. È tutto qui.
★ Audit Cure53 2024 · ✓ Plan gratuit · Cross-platform
Blinda i tuoi account → NordPassPassword forti e uniche · scanner di violazioni · piano gratuito→Domande frequenti
Che cos'è FortiBleed?
FortiBleed è il nome dato a una vasta campagna di esposizione di credenziali divulgata a metà giugno 2026, che riguarda i firewall Fortinet FortiGate e i loro gateway SSL-VPN. I ricercatori (la scoperta è attribuita a Bob Diachenko) hanno trovato un set di dati con nomi utente, email e password in chiaro per circa 73.932 dispositivi Fortinet unici in 194 paesi e oltre 21.000 domini - secondo alcune stime circa la metà dei firewall Fortinet attualmente esposti a internet. È un incidente di infrastruttura aziendale, ma il modo in cui è stato costruito contiene lezioni per le password di tutti.
Come hanno ottenuto le credenziali gli aggressori?
Secondo le fonti, gli operatori non hanno violato la crittografia di Fortinet. Hanno assemblato l'elenco da precedenti dump di violazioni Fortinet e dai log dei malware infostealer - software che raccoglie silenziosamente le credenziali salvate nei browser e nei client VPN delle macchine infette - e poi hanno testato automaticamente quelle credenziali contro ogni dispositivo FortiGate raggiungibile, registrando ogni accesso riuscito. In altre parole, è riutilizzo di credenziali e riciclo di password rubate su scala industriale, non un nuovo exploit sofisticato.
La mia password era nella fuga di FortiBleed?
FortiBleed riguarda specificamente le credenziali dei dispositivi Fortinet FortiGate/SSL-VPN, quindi colpisce principalmente le organizzazioni che gestiscono queste appliance. Se la tua azienda usa FortiGate, il team IT/sicurezza dovrebbe seguire le indicazioni della CISA: terminare immediatamente le sessioni VPN attive e reimpostare le credenziali. Come privato non puoi controllare direttamente questo set di dati, ma la causa di fondo - password rubate dagli infostealer e riutilizzate - significa che la risposta corretta è la stessa igiene che applicheresti dopo qualsiasi violazione.
Cosa dovrei fare per proteggermi?
Tre cose. Primo, smetti di riutilizzare le password - assegna a ogni account una password lunga e unica, così una fuga non può sbloccare gli altri (un gestore di password lo rende pratico). Secondo, attiva l'autenticazione a due fattori, idealmente con un'app o una chiave hardware, così una password rubata da sola non basta. Terzo, proteggiti dagli infostealer: mantieni aggiornati dispositivo e browser, evita software pirata e download sospetti e non salvare password sensibili in chiaro. Se usi un FortiGate colpito, reimposta ora e cambia ogni credenziale riutilizzata altrove.
Perché una fuga da firewall conta per le password comuni?
Perché FortiBleed non riguardava davvero Fortinet - riguardava password riutilizzate e rubate. Gli stessi log degli infostealer che hanno alimentato questo elenco contengono anche accessi per email personali, conti bancari e account social. La difesa è identica a qualsiasi scala: password uniche per ogni sito, autenticazione a due fattori e impedire ai malware di raccogliere credenziali dal tuo browser. FortiBleed è un promemoria enorme e molto pubblico del perché queste abitudini contano.
