El ataque FortiBleed se ha convertido en la mayor emergencia de ciberseguridad de este fin de semana: una campaña masiva que dejó al descubierto las credenciales de administrador de aproximadamente 86,000 firewalls FortiGate de Fortinet repartidos en 194 países, entre ellos México. La Agencia de Ciberseguridad y Seguridad de Infraestructura de Estados Unidos (CISA) lanzó una alerta urgente y pidió a las organizaciones afectadas reaccionar de inmediato.
Lo más inquietante es que no se trata de una falla teórica. Investigadores de seguridad confirmaron que los atacantes ya poseen credenciales válidas y funcionales para decenas de miles de dispositivos que protegen redes corporativas, hospitales, escuelas y entidades de gobierno en todo el mundo.
Qué es el ataque FortiBleed y por qué es tan grave
El ataque FortiBleed es una operación de robo y descifrado de credenciales dirigida contra los firewalls y puertas de enlace VPN SSL de Fortinet, uno de los fabricantes de equipos de seguridad de red más usados del planeta. Estos equipos son la primera línea de defensa de muchas empresas: si un atacante obtiene la contraseña de administrador, prácticamente tiene la llave maestra de toda la red interna.
Según el análisis de firmas de seguridad y los reportes recogidos por BleepingComputer, la filtración incluye nombres de usuario, correos electrónicos y contraseñas en texto plano, además de datos de las organizaciones afectadas como su sector, ingresos y número de empleados.
Expertos en seguridad advirtieron que la mayoría de los dispositivos comprometidos siguen en línea y accesibles desde internet, lo que mantiene la ventana de ataque abierta mientras los administradores no cambien sus contraseñas.
Las cifras del ataque FortiBleed
La escala de la campaña es enorme. Estos son los datos clave reportados por CISA y firmas especializadas:
- 86,644 credenciales válidas confirmadas en dispositivos Fortinet expuestos a internet.
- 194 países afectados, con India, Estados Unidos, Taiwán, México y Turquía entre los más golpeados.
- Cerca del 50% de todos los firewalls Fortinet expuestos a internet, según sondeos del buscador Shodan.
- 1,160 millones de intentos de credenciales contra más de 320,000 objetivos FortiGate.
- Un clúster de 45 GPU usado para descifrar los hashes de las contraseñas.
La operación se atribuye a un grupo cibercriminal de habla rusa que opera con varios participantes y una metodología que va mucho más allá del simple relleno de credenciales.
Cómo funciona técnicamente el ataque
El origen del ataque FortiBleed está en cómo Fortinet almacenaba las contraseñas. La compañía introdujo el hashing moderno PBKDF2 en versiones recientes de FortiOS, sustituyendo el antiguo método basado en SHA-256.
El problema de las actualizaciones a medias
El detalle crítico es que, al actualizar desde versiones anteriores, las contraseñas de administrador se mantienen guardadas con el viejo hash hasta que el administrador inicia sesión de nuevo. Muchas organizaciones nunca completaron ese paso, por lo que sus credenciales quedaron almacenadas con un método mucho más fácil de romper.
Los atacantes interceptaron la autenticación de las VPN SSL, capturaron esos hashes débiles y los descifraron en masa con potencia de GPU. Con las contraseñas en mano, pudieron entrar a los dispositivos y, desde ahí, pivotar hacia el resto de la red interna.
Qué recomienda CISA para protegerse
La alerta oficial de CISA pide a todas las organizaciones con equipos FortiGate y puertas de enlace VPN SSL actuar sin demora. Estas son las medidas prioritarias:
- Terminar todas las sesiones activas de VPN y de administración.
- Restablecer las contraseñas de todos los administradores y usuarios.
- Activar autenticación multifactor resistente a phishing.
- Forzar el rehasheo iniciando sesión tras la actualización de FortiOS.
- Restringir el acceso de gestión para que no quede expuesto a la internet pública.
Para usuarios y empresas en México, la recomendación es revisar de inmediato si su equipo de red es un Fortinet FortiGate y, en caso afirmativo, contactar a su área de TI o proveedor de seguridad para aplicar estos pasos cuanto antes.
Por qué esto te importa aunque no uses Fortinet
El ataque FortiBleed es un recordatorio de que la seguridad de una empresa depende de su eslabón más débil. Si tu banco, tu hospital o tu proveedor de servicios usa un firewall comprometido, tus datos personales también podrían estar en riesgo. La lección es clara: las actualizaciones de seguridad no terminan al instalarlas, sino al completar todos los pasos posteriores que el fabricante indica.
Preguntas frecuentes
¿Qué es exactamente el ataque FortiBleed?
Es una campaña de robo y descifrado de credenciales que comprometió cerca de 86,000 firewalls Fortinet FortiGate expuestos a internet en 194 países. Los atacantes obtuvieron contraseñas de administrador válidas que les permiten controlar las redes protegidas por esos equipos.
¿Cómo saber si mi dispositivo Fortinet está afectado?
Debes verificar la versión de FortiOS y si actualizaste desde una versión anterior sin volver a iniciar sesión como administrador. CISA recomienda asumir el riesgo, restablecer todas las contraseñas, terminar las sesiones activas y activar la autenticación multifactor de inmediato.
¿Quién está detrás del ataque FortiBleed?
Los reportes apuntan a un grupo cibercriminal de habla rusa que opera con varios participantes. Usaron un clúster de 45 GPU para descifrar los hashes y lanzaron más de 1,160 millones de intentos de credenciales contra dispositivos FortiGate en todo el mundo.
Conclusión
El ataque FortiBleed deja en evidencia lo frágil que puede ser la seguridad cuando una actualización queda a medio camino. Con decenas de miles de firewalls aún accesibles y credenciales en manos de atacantes, la respuesta debe ser inmediata: cambiar contraseñas, activar la autenticación multifactor y cerrar el acceso de gestión a internet. En ciberseguridad, las horas cuentan, y este es uno de esos momentos en los que actuar hoy puede evitar un desastre mañana.
