El dispositivo que protege su red se convirtió en el dispositivo que espía su red. FortiBleed, descubierto en junio de 2026 cuando el servidor operacional del atacante quedó expuesto, reveló una operación de escala industrial: 430 mil firewalls FortiGate mapeados como objetivos, 86 mil+ con credenciales comprometidas verificadas, 19 mil+ siendo usados activamente como sniffers de tráfico. El firewall que debería filtrar ataques pasó a capturar credenciales en tiempo real. Analizamos los datos y la señal es clara: esto no es un bug de código, es una falla estructural de higiene de credenciales.
La escala: 430 mil firewalls, 86 mil+ credenciales, 19 mil+ sniffers activos
Los números son los que asustan. Según los datos expuestos en el servidor operacional del atacante, 430 mil firewalls FortiGate fueron mapeados como objetivos potenciales. De ellos, 86 mil+ tuvieron credenciales comprometidas verificadas: el atacante confirmó que las credenciales funcionaban. Y 19 mil+ estaban siendo usados activamente como sniffers de tráfico, capturando credenciales en tiempo real de los flujos que pasaban por ellos.
No es un ataque puntual. Es una operación industrializada que transformó la infraestructura de seguridad de la víctima en su propia infraestructura de espionaje. Cada firewall comprometido se convierte en un punto de escucha permanente, y recolecta más credenciales que alimentan más scanning.
La técnica: FortigateSniffer y el comando legítimo que se vuelve arma
La técnica es lo que diferencia a FortiBleed de los ataques convencionales. Según el análisis de la operación, una herramienta en Golang llamada FortigateSniffer abusa de un comando legítimo de FortiOS: diagnose sniffer packet. Ese comando existe para diagnóstico de red; el firewall lo ejecuta como parte de su funcionalidad normal.
FortigateSniffer monitorea 24 protocolos: Kerberos, LDAP, SMB, RADIUS, NTLM, MySQL, FTP, Telnet, RDP, SMTP y otros. Cero malware. El firewall ejecuta su propio diagnóstico de red, solo que el atacante lee la salida vía SSH. La herramienta opera solo de 07:00 a 18:00 hora de Moscú, una evasión del horario comercial que reduce la probabilidad de detección por equipos fuera de horario. El GeoIP filter restringe el sniffing a rangos específicos, limitando la exposición a redes objetivo. Según los datos, 6.127 dispositivos tuvieron cerca del 90% de éxito de validación SSH.
La infraestructura de cracking: 45 GPUs, bot de Telegram y loop autoalimentado
El cracking offline es orquestado por un clúster de 45 GPUs vía Vast.ai, coordinado por un bot de Telegram llamado HASHBOT. Según los datos de la operación, el atacante no solo rompe contraseñas: industrializó el proceso. HASHBOT gestiona el pipeline de cracking y alimenta los resultados de vuelta al scanning.
El loop es autoalimentado: las credenciales recolectadas por los sniffers alimentan más scanning, que compromete más firewalls, que se vuelven más sniffers, que recolectan más credenciales. Cada firewall comprometido no es solo una víctima, es un nuevo sensor en la red de espionaje del atacante.
Los números: 110 millones de credenciales, pero el detalle importa
Según los datos expuestos, 110 millones de credenciales fueron identificadas en 659 pipelines de recolección. Pero el detalle importa: el 81% son tokens MySQL (89 millones). Los operacionalmente significativos suman cerca de 16 millones: 14,8 millones RADIUS, 924K NTLM, 130K Kerberos. Esos son los que realmente permiten acceso a infraestructura crítica.
El perfil de las cuentas es revelador: el 63,3% eran admin default o genéricas, 35% admin genérico y 28,3% cuentas built-in de Fortinet. No es cracking sofisticado. Es higiene de credenciales. Un contratista de defensa de la OTAN (Turquía) tuvo documentos clasificados y copias de seguridad DFS exfiltradas. La CISA emitió un advisory de emergencia el 18/06. Fortinet publicó respuesta el 19/06.
No es una nueva vulnerabilidad, es una falla de higiene
Fortinet lo confirmó públicamente: "This is not a new Fortinet vulnerability." Las CVEs anteriores (CVE-2026-24858, CVE-2025-59718, CVE-2022-42475, CVE-2018-13379) crearon pools de credenciales que fueron agregados con el tiempo. El atacante no necesitó un zero-day: necesitó credenciales que ya estaban comprometidas.
El PBKDF2 introducido a finales de 2025 solo protegió a los admins que hicieron login después del patch. El campo old-password en los config backups mantuvo hashes legacy: las contraseñas antiguas permanecieron vulnerables incluso después del patch. Y contraseñas de 25 caracteres aparecieron en el dataset por infostealers en las workstations, no por cracking. La complejidad de contraseña sola no basta cuando el atacante recolecta la credencial antes de que llegue al firewall.
El loop autoalimentado: la amenaza estructural
El loop autoalimentado es la amenaza estructural. Cada firewall comprometido se convierte en un punto de escucha que recolecta más credenciales, que alimentan más scanning. Es una operación industrializada que se sostiene sola. Según Mysterium VPN, el atacante es probablemente SantaAd, un IAB ruso (Initial Access Broker) que vende acceso desde US$ 60 mil.
El modelo de negocio es claro: comprometa firewalls con credenciales filtradas, úselos para recolectar más credenciales, venda acceso a la infraestructura comprometida. El costo de entrada es bajo: las credenciales default y las cuentas built-in representan el 63,3% del total, y el retorno es alto: acceso a redes corporativas enteras.
CISA y Fortinet: respuestas oficiales
La CISA emitió un advisory de emergencia el 18 de junio de 2026. Fortinet publicó respuesta oficial el 19 de junio. Ambas organizaciones coinciden en un punto: la exposición de interfaces de gestión a internet es el problema estructural. No hay patch para credenciales default. No hay hotfix para cuentas built-in que nunca fueron rotadas. La corrección es arquitectural, no de código.
Conclusión: no se puede aplicar un patch a un problema de credenciales default
Lo repetimos: usted no puede aplicar un patch para corregir un problema de credenciales default. FortiBleed no explota un bug de código, explota una falla de higiene que persiste hace años. Las CVEs anteriores crearon pools de credenciales. Las cuentas built-in nunca fueron rotadas. Las interfaces de gestión permanecieron expuestas a internet. El PBKDF2 protegió solo a quienes hicieron login después del patch. Los infostealers recolectaron contraseñas de 25 caracteres en las workstations antes de que llegaran al firewall.
La corrección es credenciales + MFA + eliminar las interfaces de gestión de internet. No existe atajo. En Tech86 ayudamos a empresas a auditar y corregir exactamente este tipo de falla estructural, antes de que el firewall que debería proteger la red se convierta en el dispositivo que espía la red.