Entre junio y julio de 2026 se documentó la mayor exposición de credenciales de firewalls Fortinet de la historia. La bautizaron FortiBleed: unos 75.000 dispositivos FortiGate de 194 países con usuarios y contraseñas válidas de administración y SSL VPN en manos de terceros. Chile quedó entre los diez países más afectados. Y lo más incómodo del caso es que no hubo ninguna vulnerabilidad explotada, ningún día cero y ningún parche pendiente. Los atacantes no encontraron una puerta rota: probaron millones de llaves robadas hasta que muchas abrieron.
Si administras un FortiGate con SSL VPN o con la interfaz de gestión publicada en Internet: rota hoy las credenciales de administración y de VPN, habilita doble factor y revisa los registros de acceso. No esperes a confirmar si estás en la filtración. Rotar credenciales cuesta una tarde; un acceso no autorizado cuesta bastante más.
Qué pasó exactamente
En junio de 2026, el investigador Volodymyr "Bob" Diachenko encontró un servidor expuesto que contenía credenciales VPN válidas en texto plano. Al tirar del hilo, el análisis de varias firmas de inteligencia de amenazas reveló la magnitud real de la operación: 73.932 URLs de firewalls pertenecientes a 21.632 dominios únicos, repartidos en 194 países. Entre las organizaciones alcanzadas aparecen nombres como Samsung, Siemens, Foxconn, Oracle, Accenture, Chevron y Mercedes-Benz.
El nombre evoca a Heartbleed, pero el mecanismo no tiene nada que ver. Aquí no falló el código de Fortinet: falló la manera en que miles de organizaciones configuraron y mantuvieron sus equipos. Y eso tiene una consecuencia práctica que a muchos equipos de TI se les pasó por alto.
No hay parche que instalar
Como FortiBleed no es una vulnerabilidad, no existe un CVE asociado ni una versión de FortiOS que lo corrija. Quien se quedó esperando que Fortinet publicara una actualización para cerrar el tema, sigue esperando.
Esto invierte la lógica con la que solemos trabajar. Estamos acostumbrados a que la respuesta ante un incidente sea "¿ya salió el parche?". Acá la respuesta es otra: si las credenciales de tu organización están en ese conjunto de datos, siguen siendo válidas después de actualizar. La remediación pasa por rotar claves y sumar factores de autenticación, no por instalar firmware nuevo.
Cómo entraron: cinco pasos, ningún exploit
El análisis técnico de la campaña, atribuida a intermediarios de acceso inicial de habla rusa, reconstruye una cadena de cinco etapas:
| Etapa | Qué hicieron |
|---|---|
| 1. Reconocimiento | Escaneo masivo de Internet con Masscan y Shodan para ubicar FortiGate expuestos, ordenando los objetivos por tamaño y facturación de cada organización. |
| 2. Acceso inicial | Credential stuffing y fuerza bruta contra cuentas de administración y SSL VPN, con claves provenientes de filtraciones anteriores y de registros de malware infostealer. Se contabilizaron cerca de 1.160 millones de intentos de autenticación. |
| 3. Escucha del tráfico | Ya dentro, desplegaron una herramienta propia que abusaba de diagnose sniffer packet, un comando de diagnóstico nativo de FortiOS, para capturar pasivamente tráfico de autenticación de 24 protocolos. |
| 4. Descifrado offline | Los hashes capturados (NTLM, Kerberos, RADIUS) se descifraron fuera de línea en un clúster de 45 GPU gestionado con Hashtopolis. |
| 5. Movimiento lateral | Con las claves descifradas se movieron hacia Active Directory y sistemas internos, dejaron persistencia y sacaron información de recursos compartidos. |
Fíjate en la tercera etapa, porque ahí está el cambio de escala. El firewall dejó de ser el objetivo final y pasó a ser un puesto de observación privilegiado: al estar en el camino de todo el tráfico corporativo, un FortiGate comprometido ve pasar las autenticaciones de la organización entera. No te robaron un equipo, te robaron el lugar desde donde se ve todo.
El detalle que dejó expuestos incluso a los que sí actualizaban
Este punto merece atención especial, porque explica por qué organizaciones prolijas con su firmware terminaron igual de expuestas.
Fortinet reemplazó el viejo esquema de almacenamiento de contraseñas basado en SHA-256 —relativamente fácil de descifrar por fuerza bruta con GPU— por PBKDF2, con sal aleatoria y miles de iteraciones, a partir de FortiOS 7.2.11, 7.4.8 y 7.6.1. Una mejora real. El problema está en cómo se aplica:
Tras actualizar el firmware, la contraseña de un administrador sigue guardada como hash SHA-256 hasta que ese administrador vuelve a iniciar sesión. Actualizar no regenera los hashes por sí solo.
El resultado fue que miles de equipos con la última versión instalada conservaban hashes vulnerables al descifrado offline. A eso se suma una opción de retrocompatibilidad que podía preservar hashes SHA-256 antiguos dentro de los respaldos de configuración del super_admin.
Traducido a lo operativo: actualizaste, marcaste la tarea como hecha, dormiste tranquilo y seguías abierto. La acción que faltaba —forzar el reingreso de todas las cuentas administrativas después de actualizar— no aparece en ningún changelog y no la hace el equipo solo.
Chile en el top 10: qué dominios aparecen
Chile integra el grupo de los diez países con mayor cantidad de dispositivos afectados, junto a India, Estados Unidos, Taiwán, México, Turquía, Tailandia, Colombia, Malasia y Emiratos Árabes Unidos.
El investigador chileno conocido como chum1ng0 revisó el conjunto de datos y publicó los dominios nacionales que figuran en él: Entel Ejército, Claro Chile, PC Factory, Copec, Consalud, RutaPass, Universidad Alberto Hurtado, Maui and Sons, VTR, Varsovienne, Universidad de O'Higgins, Saba Chile, Contopsa, Ultraport, Mercado Americano y otros. Telecomunicaciones, retail, energía, salud, educación superior y operaciones portuarias: el corte es transversal a la economía chilena.
Una precisión necesaria: que un dominio figure en el conjunto de datos significa que se hallaron credenciales asociadas a él, no que la organización haya sido necesariamente vulnerada. Muchas de esas claves pueden estar rotadas hace tiempo. La lista sirve como señal de exposición, no como confirmación de compromiso.
La concentración regional no es casualidad. FortiGate es uno de los firewalls más desplegados en el segmento corporativo y de empresa mediana en América Latina, y buena parte de esos equipos publicó el portal SSL VPN a Internet durante la pandemia sin volver a revisar esa exposición cuando la gente regresó a la oficina.
La respuesta internacional fue inmediata. El CISA, la agencia de ciberseguridad del gobierno de Estados Unidos, publicó el 18 de junio de 2026 una alerta instando a los clientes de Fortinet a endurecer sus equipos: cerrar todas las sesiones activas de SSL VPN y de administración, restablecer las contraseñas de VPN y administrativas —en especial las de sistemas expuestos a Internet— y aplicar políticas de contraseñas robustas. Son, en esencia, las mismas medidas que veremos más abajo.
Cómo saber si estás afectado
No hay una forma infalible de confirmarlo desde afuera, pero sí hay señales que puedes revisar hoy en tu FortiGate:
- Cuentas administrativas que no creaste. Los análisis documentaron nombres como
admininyfgtsecure. Revisa la lista completa de administradores y sus perfiles. - Accesos exitosos desde países inesperados. Filtra los registros de autenticación de SSL VPN y de la interfaz de gestión por origen geográfico.
- Ráfagas de intentos fallidos seguidas de un ingreso exitoso. Es la firma clásica del credential stuffing que encontró una clave válida.
- Cambios de configuración no documentados, sobre todo en políticas, rutas, túneles VPN o cuentas de administración.
- Sesiones administrativas activas que no correspondan a tu equipo de TI.
Si aparece cualquiera de estas señales, trátalo como un incidente confirmado y activa tus procedimientos de respuesta. Un FortiGate comprometido no es un equipo con un problema: es una puerta abierta al resto de la red.
Qué hacer esta semana
Ordenado de mayor a menor urgencia:
- Rota todas las credenciales administrativas y de SSL VPN del FortiGate, sin excepciones: incluye cuentas de servicio y de solo lectura.
- Rota también las credenciales de Active Directory si el equipo estuvo expuesto. Los hashes NTLM y Kerberos que capturó el sniffer permiten descifrado posterior.
- Habilita doble factor en todos los accesos administrativos y de VPN. Es la medida que rompe la cadena completa: sin segundo factor, una contraseña filtrada equivale a un acceso concedido.
- Saca la interfaz de gestión de Internet. La administración del firewall no debería ser alcanzable desde una IP pública: restríngela a la red interna o a una VPN de administración.
- Restringe el portal SSL VPN por geolocalización y por grupos de usuarios, y evalúa migrar a ZTNA cuando sea viable.
- Fuerza el reingreso de los administradores después de actualizar FortiOS, para regenerar los hashes con PBKDF2 y eliminar los SHA-256 residuales.
- Actualiza a una versión con soporte vigente (FortiOS 7.4.10 o 7.6.7 en adelante al momento de esta publicación) y revisa los advisories recientes del PSIRT de Fortinet.
- Audita cuentas y configuración buscando persistencia: administradores desconocidos, claves SSH agregadas, túneles no documentados y scripts automatizados.
Si no tienes registros suficientes: cuando la retención de logs no cubre el período de la campaña (junio de 2026 en adelante), asume el compromiso y rota credenciales igual. La ausencia de evidencia no es evidencia de ausencia.
La lección: el firewall no se hardeniza solo
FortiBleed no ocurrió por una falla de Fortinet en el sentido clásico. Ocurrió por una suma de decisiones que, una por una, parecían razonables: publicar el portal VPN para que la gente trabajara desde la casa, no exigir segundo factor porque incomodaba a los usuarios, reutilizar contraseñas entre sistemas, dejar la administración accesible desde afuera "por si hay que entrar de urgencia", y no forzar el recambio de hashes tras las actualizaciones porque nadie sabía que había que hacerlo.
Ninguna de esas decisiones es un error grave por sí sola. Juntas, dejaron 75.000 firewalls abiertos.
El punto de fondo es este: el mejor firewall del mercado, con la licencia al día y el último firmware instalado, no te protege si nadie está encima de la configuración. El equipo es la herramienta; la seguridad es la práctica. Un FortiGate bien dimensionado con una configuración descuidada termina siendo una puerta de entrada con la llave puesta.
En FirewallsChile hacemos auditorías de configuración y hardening de equipos FortiGate: revisión de exposición perimetral, implementación de doble factor, endurecimiento de accesos administrativos y revisión de registros. Si administras equipos Fortinet y quieres saber cuál es tu exposición real, escríbenos y coordinamos una revisión.
Referencias
- CISA — Urges Hardening Fortinet Devices After Reports of Credential Exposure
- Kudelski Security — Fortinet "FortiBleed" Global Compromise & Active Exploitation
- Picus Security — FortiBleed: Inside the Campaign That Cracked 75,000 Fortinet Firewalls
- Help Net Security — 74,000 Fortinet firewall credentials exposed in FortiBleed data leak
- chum1ng0 — Dominios chilenos identificados en el conjunto de datos