FortiBleed non è soltanto una nuova storia su credenziali Fortinet esposte. È un segnale molto più concreto: gli accessi ai firewall FortiGate stanno diventando una commodity nel mercato criminale.
Negli incidenti di questo tipo, l’attenzione iniziale si concentra quasi sempre sui numeri: quanti dispositivi, quanti domini, quanti paesi, quante credenziali. Ma il vero punto non è solo la dimensione del leak. Il punto è ciò che accade dopo.
Quando gli accessi VPN e amministrativi a dispositivi perimetrali iniziano a comparire nei forum underground, il rischio cambia natura. Non siamo più davanti a un semplice dataset esposto. Siamo davanti a una filiera di monetizzazione.
Perché FortiGate è un bersaglio così appetibile
Un accesso FortiGate non è paragonabile a una password email qualunque.
Un firewall o gateway SSL VPN si trova spesso nel punto più delicato dell’infrastruttura: tra Internet e la rete interna. In molte aziende gestisce accessi remoti, policy di rete, autenticazione VPN, segmentazione, routing e accessi amministrativi.
Per un attaccante, una credenziale valida su FortiGate può significare:
- ingresso nel perimetro aziendale senza sfruttare un malware;
- accesso VPN apparentemente legittimo;
- possibilità di muoversi verso servizi interni;
- accesso a sistemi Active Directory;
- opportunità di persistence o creazione di nuovi account;
- rivendita dell’accesso a ransomware group o Initial Access Broker.
Questo spiega perché gli accessi FortiGate abbiano un valore così alto nei mercati criminali. Non vendono solo una credenziale. Vendono una possibile porta d’ingresso alla rete.
Gli annunci underground: da accessi singoli a stock nazionali
Il monitoraggio di fonti underground mostra un aumento evidente delle inserzioni legate a FortiGate e Fortinet.
Nel periodo aprile-giugno 2026 sono comparsi annunci relativi a diversi paesi e segmenti aziendali, tra cui Francia, Stati Uniti, Grecia, Finlandia, Vietnam, Argentina, India, Messico ed Emirati Arabi Uniti.
Alcuni esempi osservati:
- “FRANCE FORTIGATE 1115 ACCESS”;
- “USA FORTIGATE 6355 ACCESS”;
- “[FortiBleed] FortiGate / Fortinet Access 35k IP”;
- “FortiGate / Fortinet Access 35k IP”;
- “Greece – FortiGate”;
- “Finland – FortiGate”;
- “FORTIGATE VPN ACCESS (Vietnam)”;
- “Fortigate VPN [Argentina 62M$]”;
- “Fortigate Access {1.6B$ India Corp}”;
- “FORTIGATE ACCESS CORP [$873.8 Million] Mexico”;
- “FORTIGATE VPN ACCESS [UAE $283.3 million]”;
- “FORTIGATE VPN ACCESS [$426 Million Corp revenue] India”.
Il dettaglio più interessante è la scala. Non si parla soltanto di singoli accessi corporate ad alto valore. In alcuni casi gli annunci fanno riferimento a migliaia di accessi o decine di migliaia di IP.
Questo è un cambio di modello. L’accesso FortiGate non viene più venduto solo come target specifico. Viene impacchettato, segmentato e proposto come inventario.
FortiBleed come acceleratore del mercato
Non è possibile attribuire automaticamente ogni inserzione underground a FortiBleed. Sarebbe una semplificazione sbagliata.
Tuttavia, il contesto è chiaro: l’interesse criminale verso FortiGate era già alto prima della piena esposizione mediatica del caso e si è ulteriormente intensificato dopo la diffusione delle analisi pubbliche.
Questo rende FortiBleed un acceleratore.
Da un lato esiste un dataset di credenziali Fortinet/FortiGate di grande scala. Dall’altro esiste un mercato già pronto ad assorbire, rivendere e riutilizzare accessi VPN e amministrativi. Il risultato è un ecosistema in cui la compromissione di un firewall può essere monetizzata più volte: dal primo attore che raccoglie le credenziali, dal broker che le valida, dal venditore che le segmenta e dal gruppo che le usa per l’intrusione finale.
La catena è semplice:
raccolta credenziali → cracking → validazione → classificazione → vendita → accesso iniziale → movimento laterale.
In questo schema, FortiGate diventa il punto di ingresso industrializzato.
Il ruolo del cracking distribuito
Uno degli elementi tecnicamente più rilevanti riguarda la possibile infrastruttura usata per gestire il cracking delle credenziali.
Nel contesto FortiBleed sono stati citati strumenti e workflow compatibili con attività di password cracking distribuito, tra cui Hashcat e Hashtopolis. Quest’ultimo è particolarmente interessante perché consente di orchestrare agenti multipli e distribuire workload di cracking su più nodi.
In un contesto legittimo, Hashtopolis può essere usato per audit di sicurezza e verifica della robustezza delle password. In un contesto criminale, lo stesso tipo di infrastruttura può essere usato per trasformare hash raccolti da configurazioni o autenticazioni in credenziali in chiaro.
La differenza non è nello strumento. È nel contesto operativo.
Il triage Hashtopolis: 437 candidati e tre livelli di confidenza
Durante l’attività di analisi sono stati presi in considerazione 437 candidati Hashtopolis emersi da fonti di esposizione Internet e da correlazioni infrastrutturali.
Il dataset è stato suddiviso in più livelli di priorità:
- 1 elemento critical;
- 36 elementi high;
- 61 elementi medium;
- 339 elementi low.
Questa distribuzione non deve essere letta come una lista di server FortiBleed. È una mappa di esposizione e correlazione. La differenza è importante.
Un host Hashtopolis esposto non è automaticamente un nodo criminale. Può essere un laboratorio legittimo, un ambiente di test, un’infrastruttura di training, un sistema di audit password o un deployment lasciato online per errore.
Il valore del triage sta nel separare ciò che è un IOC forte da ciò che è una semplice correlazione tecnica.
85.11.187.8: un IOC ad alta priorità nel contesto FortiBleed
Tra gli elementi emersi, l’indirizzo IP 85.11.187.8 è quello più rilevante.
L’IP figura nel contesto CTI/OSINT legato a FortiBleed ed è stato trattato come indicatore ad alta priorità. Non come prova autosufficiente dell’intera operazione, ma come nodo da osservare con particolare attenzione.
La sua rilevanza deriva dalla combinazione di più fattori: presenza nel contesto FortiBleed, superficie esposta anomala, segnali compatibili con infrastrutture usate per raccolta credenziali o attività operative, e un servizio web non pienamente funzionante che restituisce un errore di connessione al database.
Un dettaglio particolarmente sensibile riguarda la presenza di una sessione grafica accessibile senza autenticazione. In un contesto ordinario sarebbe già un problema grave. In un contesto associato a credential collection e cracking distribuito, diventa un elemento di forte interesse investigativo.
Il punto non è attribuire automaticamente l’intero ambiente a un singolo attore. Il punto è che 85.11.187.8 rappresenta un indicatore ad alta priorità all’interno del perimetro FortiBleed e merita monitoraggio continuo.
Hashtopolis 0.14.8: la correlazione più forte
Oltre all’IOC principale, il triage ha evidenziato un gruppo di host con una correlazione tecnica più forte rispetto al resto del dataset.
In particolare, alcuni pannelli presentano lo stesso profilo Hashtopolis:
- versione 0.14.8;
- commit 617878e;
- asset statici classici coerenti;
- comportamento visibile compatibile con lo stesso profilo applicativo.
Gli host più rilevanti in questo gruppo sono:
- 176.109.182.36:8080;
- hashtopolis.68cavalry.army:443;
- 203.129.17.36:8080;
- 209.209.8.89:8080.
Questa è una correlazione tecnica forte. Non è però una conferma di appartenenza alla stessa infrastruttura FortiBleed.
La formulazione corretta è: cluster Hashtopolis ad alta correlazione, utile per watchlist e arricchimento CTI.
In altre parole: questi host sono interessanti perché condividono un profilo tecnico specifico. Ma non devono essere descritti come “server FortiBleed confermati” senza ulteriori elementi.
Cluster infrastrutturali: segnali da seguire, non conclusioni
Nel dataset emergono anche gruppi più ampi che assomigliano a fleet operative. Alcuni intervalli mostrano pattern ripetuti: porte ricorrenti, stesse versioni Hashtopolis, stesso provider e IP vicini.
Tra i cluster più interessanti figurano:
- 51.161.137.0/24;
- 51.161.143.0/24;
- 195.209.214.0/24.
Questi gruppi sono utili per il monitoraggio, ma devono essere trattati con prudenza. Una concentrazione di pannelli Hashtopolis nello stesso range non prova automaticamente un collegamento criminale.
Può indicare un ambiente di cracking legittimo, un laboratorio di ricerca, un provider di servizi, un progetto di training o una infrastruttura non collegata a FortiBleed.
Il loro valore principale è investigativo: passive DNS, ASN, cronologia dei certificati, timeline di esposizione e correlazione con eventuali nuovi IOC.
Perché il rischio non finisce con il lookup
Uno degli errori più comuni in risposta a incidenti come FortiBleed è limitarsi a verificare la presenza del proprio dominio in un tool pubblico.
Il problema è che l’assenza da un lookup non equivale ad assenza di rischio.
Ci sono diversi scenari in cui un’organizzazione può essere esposta anche senza comparire in un dataset noto:
- credenziali FortiGate riutilizzate da incidenti precedenti;
- account VPN mai ruotati dopo vecchie compromissioni;
- password amministrative salvate in configurazioni esportate;
- credenziali deboli o derivate da pattern aziendali;
- account generici ancora attivi;
- interfacce di gestione o SSL VPN esposte a Internet;
- log insufficienti per ricostruire accessi passati.
Inoltre, quando un attaccante usa credenziali valide, l’attività può sembrare un login normale. Non sempre c’è exploit. Non sempre c’è malware. Non sempre c’è un alert immediato.
Per questo motivo la remediation non può dipendere solo dalla conferma nel dataset FortiBleed.
Cosa devono fare le organizzazioni
Le organizzazioni che utilizzano FortiGate dovrebbero intervenire subito, indipendentemente dalla presenza o meno nei dataset pubblici o privati associati a FortiBleed.
Le due azioni minime sono:
- abilitare MFA su tutti gli accessi FortiGate, inclusi VPN e amministrazione;
- effettuare la rotazione completa delle password FortiGate, includendo account VPN, account amministrativi e credenziali privilegiate collegate.
Queste misure devono essere considerate preventive, non opzionali.
La rotazione delle password dovrebbe essere accompagnata da una revisione degli account attivi, degli accessi recenti, degli utenti amministrativi, delle modifiche di configurazione e dell’esposizione delle interfacce di gestione.
Se emergono accessi sospetti, nuove utenze non autorizzate o modifiche anomale alla configurazione, il dispositivo deve essere trattato come potenzialmente compromesso.
La vera lezione di FortiBleed
FortiBleed mostra una trasformazione importante nel mercato criminale.
Gli accessi ai dispositivi perimetrali non sono più solo un risultato tecnico di una compromissione. Sono diventati un prodotto strutturato, vendibile per paese, settore, fatturato e volume.
Gli annunci underground relativi a FortiGate dimostrano che il mercato è già attivo. Il triage delle infrastrutture Hashtopolis mostra che la componente di cracking distribuito è un elemento centrale da monitorare. L’IOC 85.11.187.8 evidenzia come una singola infrastruttura possa diventare rilevante non solo per ciò che contiene, ma per il contesto operativo in cui compare.
Il messaggio per i difensori è diretto: non aspettare che il proprio dominio compaia in un elenco pubblico.
Se un’organizzazione usa FortiGate, deve trattare questo momento come un’occasione obbligata per rafforzare il perimetro: MFA, rotazione delle credenziali, revisione degli account e riduzione dell’esposizione.
Nel momento in cui un accesso FortiGate viene venduto in blocco su un forum underground, non è più soltanto una credenziale.
È un ingresso alla rete con un prezzo.
Analisi di Vasily Kononov – Threat Intelligence Lead, CYBEROO
