FortiBleed : 430 000 FortiGate ciblés, INC Ransom et Lynx déploient un sniffer de credentials

Les faits

La campagne baptisée FortiBleed par les chercheurs en sécurité représente l’une des opérations d’accès initial à grande échelle les plus documentées de l’année 2026. Selon les données publiées par BleepingComputer et DarkReading début juillet 2026, plus de 430 000 appareils FortiGate ont été ciblés dans le cadre de cette campagne coordonnée, exploitant des vulnérabilités présentes dans FortiOS, le système d’exploitation propriétaire de Fortinet. L’ampleur de cette opération dépasse les incidents FortiGate précédents, notamment la vague d’exploitation de 2023-2024 qui avait déjà compromis des dizaines de milliers d’appareils à l’échelle mondiale.

L’outil central de cette campagne est un sniffer réseau personnalisé, surnommé « FortiGate Sniffer » par les chercheurs, déployé sur les appareils compromis pour intercepter les credentials VPN SSL en transit. Ce composant malveillant s’installe directement dans le flux de traitement des authentifications FortiGate et capture les identifiants, mots de passe et tokens de session au moment où ils sont présentés lors des connexions VPN. Les données capturées sont transmises à une infrastructure de commande et contrôle composée d’environ 500 serveurs identifiés par les équipes de threat intelligence, répartis dans plusieurs juridictions pour compliquer les opérations de démantèlement.

Les chiffres publiés décrivent plusieurs niveaux d’exploitation. Environ 19 000 appareils ont vu le sniffer FortiGate déployé avec succès. Parmi eux, 11 000 restaient toujours compromis après que Fortinet et ses partenaires ont commencé à notifier les clients affectés. Dans 409 cas, les attaquants ont confirmé un accès administrateur complet à l’appareil. Dans 354 cas, la chaîne complète a été établie : accès VPN, mouvement latéral vers les contrôleurs de domaine Active Directory, et obtention des droits de domain admin. Ce dernier niveau de compromission donne aux attaquants un contrôle quasi-total sur l’environnement Windows de la victime, incluant la possibilité d’exfiltrer le fichier NTDS.dit contenant tous les hashes de mots de passe du domaine.

Le groupe derrière FortiBleed opère comme un Initial Access Broker (IAB) structuré, comptant environ 20 membres avec des rôles définis : scanners, exploiteurs, opérateurs du sniffer, et courtiers assurant la vente des accès ou la coordination avec des groupes ransomware. Cette structure reflète la professionnalisation croissante de l’écosystème cybercriminel, où la division du travail optimise l’efficacité des opérations. Le groupe FortiBleed a établi des partenariats opérationnels documentés avec deux groupes ransomware : INC Ransom, actif depuis la mi-2023 sous un modèle Ransomware-as-a-Service, et Lynx, apparu à la mi-2024 et considéré par plusieurs analystes comme un rebrand direct d’INC Ransom partageant du code commun et des affiliés.

Douze déploiements de ransomware ont été confirmés à ce stade, ayant abouti au chiffrement de centaines d’endpoints dans les environnements victimes. Ces déploiements ne représentent cependant que la partie émergée de l’iceberg : les 354 environnements avec accès domain admin établi constituent autant de bombes à retardement potentielles. Les attaquants n’ont pas encore déclenché le chiffrement dans ces environnements, soit par choix tactique — attente du moment optimal — soit parce que l’accès est d’abord monetisé via la revente sur des marchés darknet avant le déploiement ransomware.

Un second vecteur d’exploitation latérale a été documenté : un zero-day dans Nextcloud, la solution open-source de stockage et de collaboration en ligne. Bien que les détails techniques n’aient pas encore été divulgués publiquement par les chercheurs, son exploitation dans le contexte de FortiBleed illustre la stratégie de pivotage multi-vecteurs adoptée par les attaquants : une fois dans le réseau via le FortiGate compromis, ils exploitent d’autres failles non patchées pour étendre leur emprise avant que l’alerte initiale ne soit traitée. Nextcloud est largement déployé dans les organisations européennes soucieuses de souveraineté numérique, ce qui confère à ce vecteur un impact particulier pour les entreprises françaises.

Le mécanisme de persistance le plus caractéristique de cette campagne est la création d’un compte backdoor avec le nom d’utilisateur « adminin » sur les appareils FortiGate compromis. Ce compte, délibérément similaire au compte « admin » légitime, vise à passer inaperçu lors d’audits superficiels des comptes locaux. Ce marqueur est aujourd’hui un indicateur de compromission (IoC) primaire à rechercher en priorité sur tout FortiGate qui aurait pu être exposé. En parallèle, les attaquants téléchargent les fichiers de configuration complets des appareils, qui contiennent des informations critiques sur la topologie réseau, les règles de filtrage, et parfois des credentials en clair ou faiblement chiffrés utilisés pour des intégrations avec d’autres systèmes.

Fortinet a publié plusieurs avis de sécurité via son portail PSIRT (Product Security Incident Response Team) couvrant les vulnérabilités exploitées dans cette campagne. La complexité pour les organisations victimes réside dans le fait que la simple application du patch ne suffit pas si l’appareil a déjà été compromis : les comptes backdoor, les sniffers déployés, et les configurations exfiltrées persistent indépendamment du correctif. Une réponse à incident complète est nécessaire pour les appareils potentiellement touchés, incluant une réinitialisation d’usine et une réinstallation depuis une image propre.

Impact et exposition

Tout appareil FortiGate fonctionnant avec une version non corrigée de FortiOS et exposant des services VPN SSL sur internet est potentiellement concerné. L’impact va bien au-delà du simple pare-feu compromis : via les accès VPN interceptés et les droits domain admin obtenus dans 354 cas confirmés, les attaquants disposent d’un accès complet à l’ensemble de l’infrastructure Windows des organisations victimes. Les MSP gérant des parcs FortiGate pour plusieurs clients présentent un risque de rebond vers l’ensemble de leur portefeuille clients. Les secteurs particulierèrement exposés incluent les entreprises de taille intermédiaire utilisant FortiGate comme passerelle VPN principale, et les administrations publiques françaises équipées de solutions Fortinet.

Recommandations

• Appliquer immédiatement les mises à jour FortiOS disponibles sur le portail PSIRT de Fortinet pour toutes les versions affectées
• Rechercher immédiatement le compte « adminin » sur tous les appareils FortiGate et le supprimer s’il est trouvé — sa présence confirme la compromission et déclenche une procédure de réponse à incident complète
• Auditer les logs d’authentification VPN SSL pour des connexions anormales (horaires inhabituels, géolocalisations inattendues, volumes de trafic atypiques)
• Révoquer et renouveler tous les credentials VPN et clés de configuration, en partant du principe qu’ils ont été exfiltrés si l’appareil a pu être exposé
• Pour les appareils suspectés compromis : isolation réseau immédiate, réinitialisation d’usine, réinstallation depuis une image propre avant reconnexion
• Mettre à jour Nextcloud vers la dernière version disponible et restreindre son exposition réseau