Uno de los elementos más preocupantes de FortiBleed es la escala y automatización utilizada por los atacantes.

No estamos frente a un ataque tradicional donde un grupo intenta comprometer una organización específica.

La operación demuestra un modelo mucho más cercano al utilizado por actores avanzados: primero identificar masivamente dispositivos expuestos en Internet, luego validar accesos y finalmente utilizar los equipos comprometidos como puntos de observación dentro de las redes corporativas.

De acuerdo con el análisis publicado por SOCRadar, la operación incluyó:

• escaneo masivo de Internet con aproximadamente 59.3 millones de hosts analizados;
• identificación de cerca de 437,000 dispositivos FortiGate expuestos;
• cientos de millones de intentos automatizados contra accesos SSH;
• más de 2 mil millones de intentos contra paneles web;
• más de 80,000 dispositivos FortiGate comprometidos;
• captura de tráfico en más de 16,000 redes corporativas;
• extracción de más de 105 millones de credenciales mediante múltiples protocolos.

La conclusión es clara:

Los atacantes no estaban buscando una víctima. Estaban construyendo un inventario global de objetivos.

El verdadero problema: las credenciales que nunca cambiaron

Uno de los aspectos más llamativos de FortiBleed es que la campaña no depende únicamente de explotar una vulnerabilidad desconocida.

Los análisis publicados indican que gran parte del acceso habría sido posible mediante:

• credenciales filtradas previamente;
• contraseñas reutilizadas;
• cuentas administrativas que nunca fueron rotadas;
• accesos VPN expuestos hacia Internet.

Esto cambia completamente la conversación.

Muchas organizaciones pueden tener:

• firewall de última generación;
• antivirus empresarial;
• herramientas avanzadas de monitoreo;

pero si una cuenta administrativa sigue utilizando una contraseña que apareció en una filtración anterior, el atacante puede entrar como un usuario legítimo.

¿Por qué esto importa para Perú?

Para el ecosistema peruano de ciberseguridad esta campaña debe verse como una alerta.

Muchas organizaciones del país utilizan dispositivos Fortinet para proteger:

• conexiones VPN;
• accesos remotos;
• centros de datos;
• servicios institucionales;
• redes corporativas.

Esto incluye empresas privadas, universidades, proveedores tecnológicos y entidades públicas.

El riesgo no es únicamente que un atacante “entre al firewall”.

El verdadero riesgo es que un atacante convierta ese firewall en un punto de observación.

Desde un dispositivo perimetral comprometido podría intentar:

• conocer la arquitectura interna;
• identificar servidores críticos;
• capturar nuevas credenciales;
• modificar controles de seguridad;
• preparar movimientos laterales;
• mantener persistencia.

El firewall como punto estratégico del atacante

Tradicionalmente pensamos:

“Si el firewall está activo, estamos protegidos”.

Pero la realidad actual es diferente.

El firewall también es un activo crítico que debe ser protegido.

Un atacante que controla un firewall no necesita atacar cientos de equipos internos.

Puede utilizar el mismo dispositivo que protege la organización para descubrir cómo funciona la organización.

Por eso la pregunta moderna no es:

¿Tenemos firewall?

La pregunta correcta es:

¿Tenemos visibilidad sobre lo que ocurre dentro y alrededor de nuestro firewall?

Recomendaciones para organizaciones peruanas

Ante campañas como FortiBleed, las organizaciones deberían considerar:

Revisar inmediatamente credenciales administrativas

No asumir que una contraseña fuerte significa una contraseña segura.

Se debe:

• cambiar credenciales administrativas;
• rotar usuarios VPN;
• eliminar cuentas antiguas;
• evitar cuentas compartidas.

Activar MFA en todos los accesos críticos

Especialmente:

• administradores del firewall;
• accesos VPN;
• cuentas privilegiadas.

Una contraseña robada no debería permitir acceso directo.

Revisar exposición en Internet

Las interfaces administrativas de seguridad no deberían estar expuestas sin restricciones.

Se recomienda:

• limitar accesos por IP;
• separar redes administrativas;
• utilizar VPN de administración;
• aplicar controles adicionales.

Integrar los firewalls al SOC

Los firewalls deben generar información de seguridad.

Un SOC debe monitorear:

• accesos administrativos;
• cambios de configuración;
• nuevos usuarios;
• conexiones anómalas;
• intentos de autenticación sospechosos.

La gran lección de FortiBleed

La ciberseguridad moderna ya no se trata únicamente de instalar más herramientas.

Se trata de asumir que:

todo dispositivo expuesto será observado, analizado e intentado comprometer.

FortiBleed deja una enseñanza importante:

Una contraseña compleja puede proteger contra un atacante que intenta adivinarla.

Pero no protege contra un atacante que ya la tiene.

Por eso las organizaciones deben evolucionar desde una estrategia basada en “proteger la puerta” hacia una estrategia basada en:

detectar, responder y limitar el impacto cuando alguien logra entrar.