¿Qué ha ocurrido?
Relleno de credenciales con contraseñas filtradas
Ataques de password spraying a gran escala
Intentos automatizados de inicio de sesión por fuerza bruta
Exposición en Internet de las interfaces de administración y VPN de Fortinet
Uso de datos de configuración filtrados con anterioridad
Una vez dentro, los atacantes extrajeron los archivos de configuración de los equipos.
Alcance del ataque
Más de 30.000 equipos comprometidos confirmados (estimación mínima)
Hasta 75.000 u 80.000 firewalls potencialmente afectados
Impacto en sectores de infraestructuras críticas
Presencia en 194 países
Decenas de miles de credenciales válidas recopiladas
Cadena de ataque
Escaneo de Internet en busca de portales Fortinet expuestos
Ataques de relleno de credenciales y de fuerza bruta
Inicio de sesión correcto en las interfaces VPN o de firewall
Extracción de los archivos de configuración
Reutilización de las credenciales para ampliar el acceso
Por qué es importante
Acceso VPN a las redes internas
Movimientos laterales dentro de las organizaciones
Exposición de las integraciones con Active Directory
Exfiltración de datos
Acceso persistente a través de sistemas de confianza
Ningún zero-day confirmado
Ningún zero-day de Fortinet confirmado
Ninguna brecha en la propia Fortinet
Problema principal: interfaces expuestas y credenciales débiles
Medidas de defensa
Restablecer todas las credenciales
Activar la MFA en todas partes
Impedir el acceso desde Internet a las interfaces de administración
Revisar los registros en busca de inicios de sesión sospechosos
Revisar las configuraciones y las copias de seguridad
Dar por hecho el compromiso si la interfaz estaba expuesta públicamente
ConnectMyAssets y la prevención
ConnectMyAssets ayuda a reducir este tipo de riesgo al mejorar la visibilidad sobre los equipos expuestos.
Descubrimiento continuo de los equipos expuestos a Internet
Detección de servicios olvidados o expuestos
Identificación de la TI en la sombra
Inventario de equipos centralizado
Detección más rápida de los cambios de exposición
Lo que hay que retener
Este incidente demuestra que:
Los errores de configuración tienen más impacto que la explotación de vulnerabilidades
Las lagunas de visibilidad generan riesgos de seguridad importantes
La higiene de las credenciales sigue siendo fundamental
