Alerta: FortiBleed sigue siendo una campaña activa, puede bloquear usuarios o desencadenar ataques de ransomware.

⟫ 06/10/2026 ⟫ Tim Starks

Fuente: CyberScoop

**FortiBleed: Una Amenaza Persistente para la Ciberseguridad Global**

La campaña FortiBleed, que compromete credenciales y está dirigida a los firewalls y gateways VPN de Fortinet, representa una amenaza en curso que puede dejar a los usuarios fuera de sus cuentas de Fortinet y, además, facilitar ataques de ransomware. Esta advertencia fue emitida por el FBI y el Servicio Secreto de Estados Unidos en un comunicado publicado el martes. La importancia de esta situación radica en que afecta a organizaciones de todo el mundo, especialmente aquellas que confían en la infraestructura de seguridad de Fortinet para proteger sus datos y operaciones.

La alerta establece que las organizaciones afectadas pueden encontrarse bloqueadas de sus sistemas si los actores de amenaza deshabilitan cuentas o cambian contraseñas. Esta situación requiere pasos de remediación más allá de las simples actualizaciones de seguridad y restablecimientos de contraseñas. Además, se ha observado que la cadena de ataque de FortiBleed actúa como un punto de entrada inicial para afiliados de ransomware, lo que amplía el alcance de la amenaza y sugiere un modus operandi bien estructurado.

Cuando se descubrió por primera vez la campaña a principios de este año, la empresa SOCRadar verificó más de 86,644 dispositivos comprometidos en 194 países. Ensar Seker, director de seguridad de la información de SOCRadar, comunicó a CyberScoop que, tras una investigación más exhaustiva, se identificó que más de 400,000 o 450,000 firewalls fueron objetivos de esta operación más amplia. Esta cifra alarmante resalta la magnitud del ataque, que se ha revelado más grave y extenso de lo que se comprendía inicialmente.

Los atacantes, al obtener acceso a las cuentas, pueden deshabilitar perfiles o cambiar contraseñas, lo que hace que las medidas estándar de restablecimiento de contraseñas y parches resulten insuficientes. La alerta gubernamental también advierte que los 'brokers' de acceso inicial están aprovechando la campaña FortiBleed para ofrecer acceso a afiliados de ransomware, incluidos grupos como INC/Lynx y Payload. Esto indica que la amenaza no solo se limita a la exposición de credenciales, sino que puede ser la puerta de entrada a ataques mucho más devastadores.

El informe del FBI y el Servicio Secreto subraya que FortiBleed sigue siendo una amenaza activa, con atacantes que utilizan credenciales robadas para acceder a dispositivos Fortinet expuestos, crear nuevas cuentas de administración y, en algunos casos, bloquear a los propietarios legítimos de estos dispositivos. Esta dinámica no solo pone en riesgo la integridad de la infraestructura de las organizaciones, sino que también abre la posibilidad de ataques de ransomware, lo que agrava la urgencia de la situación.

En respuesta a esta amenaza, el FBI y el Servicio Secreto recomiendan a los clientes de Fortinet que restrinjan la gestión externa o eliminen completamente la administración a través de Internet. Otras medidas incluyen el restablecimiento de credenciales, la implementación de autenticación multifactor, la revisión de usuarios de firewalls y VPN en busca de cambios no autorizados, la revisión de registros para detectar posibles movimientos laterales y la habilitación de un almacenamiento seguro de credenciales.

Por último, las agencias federales están solicitando cualquier información e indicadores de compromiso que las organizaciones puedan compartir, incluyendo direcciones IP y cualquier nombre de usuario utilizado por los atacantes. Esta cooperación es fundamental para fortalecer la defensa contra la creciente amenaza de FortiBleed y garantizar la seguridad de la infraestructura crítica en un entorno digital cada vez más vulnerable.

En resumen, la situación actual con FortiBleed no solo es un llamado a la acción para las organizaciones que utilizan productos de Fortinet, sino también una advertencia sobre la evolución de las tácticas de los atacantes en el ámbito de la ciberseguridad. La necesidad de una vigilancia constante y medidas proactivas es más crucial que nunca en la lucha contra estas amenazas cibernéticas.

◢ DATA BREACHES ◣

Alert: FortiBleed remains active campaign, can lock out users or lead to ransomware attacks

⟫ 06/10/2026 ⟫ Tim Starks

Source: CyberScoop

FortiBleed, a credential compromise campaign targeting Fortinet firewalls and VPN gateways, is an ongoing threat that can lock users out of their Fortinet accounts and also lead to ransomware attacks, the FBI and Secret Service said in an alert published Tuesday. “Affected organizations may find themselves locked out of their systems if threat actors disable accounts or change passwords, requiring remediation steps beyond standard patching and password resets,”the alert states. “In addition, the FortiBleed attack chain has been observed as an initial entry point for ransomware affiliates.” When it was first uncovered earlier this year, SOCRadar verified more than86,644 compromised devicesacross 194 countries. Ensar Seker, chief information security officer of the company, told CyberScoop that “in our later investigation, we identified more than 400,000 or 450,000 firewalls targeted by the wider operation.” There are different aspects of the operation that make comparisons imprecise over time, but overall the numbers “show the campaign is broader and more serious than we understood at the beginning,” Seker said. The attackers can disable accounts or change passwords to lock users out with the access they gain, making standard password resets and patching insufficient, the government alert reads. The alert also warns that initial access brokers are making use of the FortiBleed attack to provide access to ransomware affiliates, including INC/Lynx and Payload. The government warning provides additional confirmation about the most worrisome elements of FortiBleed, Seker said. “What stands out for me is that FortiBleed is still an active threat, and attackers are using stolen credentials to access the exposed Fortinet devices, create new administration accounts, and in some cases, lock the real owners out,” he said. “The FBI and the Secret Service also confirm that the success can lead to ransomware attacks as well.” The FBI and Secret Service recommend that Fortinet customers restrict external management or remove internet administration entirely, reset credentials, set up multifactor authentication, review firewall and VPN users for unauthorized changes, review logs for potential lateral movement, and enable secure credential storage. The agencies are seeking any information and indicators of compromise that organizations can share, including IP addresses and any usernames the attackers use. The postAlert: FortiBleed remains active campaign, can lock out users or lead to ransomware attacksappeared first onCyberScoop.

← VOLVER A CIBERSEGURIDAD