FBI : FortiBleed, les courtiers en accès verrouillent les pare-feu

Le FBI et le Secret Service des États-Unis ont publié, dans la semaine du 6 octobre 2026, une alerte conjointe sur FortiBleed, la campagne qui vise depuis juin les pare-feu FortiGate et les portails SSL VPN de Fortinet exposés sur Internet. Selon la couverture de SecurityWeek, les attaquants s’appuient sur des identifiants déjà compromis et sur la force brute, non sur une nouvelle vulnérabilité.

L’alerte décrit un circuit complet de courtage d’accès : balayage des portails SSL VPN exposés, collecte d’identifiants dans les journaux d’infostealers et les fuites antérieures, cassage hors ligne des identifiants hachés, vérification de ceux qui fonctionnent, puis vente de configurations VPN valides et de listes de cibles à d’autres acteurs de la menace. La nouveauté est le verrouillage : les attaquants changent les mots de passe des comptes d’origine ou les suppriment, ce qui bloque le propriétaire, maintient la persistance et facilite les mouvements latéraux.

SecurityWeek, qui a rendu compte de l’alerte le 8 octobre, cite le décompte de SOCRadar d’environ 86 644 équipements compromis confirmés dans 194 pays, et relève que des équipements compromis il y a des mois restent dans l’inventaire des acteurs. Les mesures recommandées comprennent la restriction des accès d’administration, la réinitialisation de tous les mots de passe VPN et administrateur Fortinet, une authentification multifacteur résistante à l’hameçonnage, et une revue des utilisateurs, des configurations, des clés d’API et des journaux.

Pourquoi c’est important Les courtiers en accès initial sont l’offre du marché du rançongiciel. Des identifiants vendus en juin peuvent servir en octobre, et un scan de vulnérabilités propre dit peu de chose d’un équipement dont le mot de passe figurait déjà dans un journal d’infostealer. Surveiller les annonces des courtiers permet d’apprendre qu’un périmètre est à vendre avant qu’un acheteur ne s’en serve.