😱 Il caso FORTIBLEED: nessuno è AL SICURO

Il 13 giugno 2026 un ricercatore ucraino sta facendo un controllo rutinario che per lui è quasi più un hobby che un lavoro: vagare su internet cercando dei database lasciati scoperti. Quel giorno incappa in una cartella aperta a tutti ospitata su un server in Polonia. La apre pronto a tirare le orecchie all'azienda di turno, pensando di trovare tutt'al più qualche dato personale dei clienti. Toh, al massimo delle credenziali in chiaro. Dentro a quella cartella però non ci sono i dati di qualche azienda poco attenta, ma una vera e propria officina del crimine, composta da 319 file. Alcuni contengono credenziali rubate, altri strumenti di attacco, script, registri con l'andamento di operazioni malevole e persino un catalogo di vittime, tutte aziende, ordinato per paese, settore e fatturato. Tra queste vittime, ironia della sorte, c'è anche la stessa società che aveva prodotto i dispositivi che avevano permesso di raccogliere questa infinita mole di dati. Ma come sempre, per capire bene com'è andata, dobbiamo partire dall'inizio. Ciao a tutti e benvenuti in questo nuovo video dedicato alla campagna che la stampa ha rinominato FortiBlid e che a giugno 2026 ha portato al furto delle credenziali di decine di migliaia di firewall Fortinet in tutto il mondo, Italia compresa. La cosa più interessante è che, come vedremo, non c'è stata alcuna vulnerabilità e non esistono quindi degli aggiornamenti di sicurezza che possano risolvere risolvere la questione al 100%. Ma andiamo con ordine e partiamo dalla involontaria protagonista della nostra storia, ovvero Fortinet. Fortinet è un'azienda americana fra i leader mondiali della cybersicurezza e il suo prodotto di punta è il firewall FortiGate. Sappiamo cosa sono i firewall perché l'abbiamo visto nel video della scorsa settimana, ma per chi se lo fosse perso, i firewall sono sostanzialmente quei dispositivi che proteggono la nostra rete di casa o aziendale decidendo cosa far passare e cosa no. Fortinet si è specializzata proprio in questo prodotto, tanto che il FortiGate, che esiste dal 2003, quindi praticamente dalla nascita dei firewall, è presente in tutto il mondo ed è usato da aziende, pubbliche amministrazioni, scuole, ospedali e chi più ne ha più ne metta. È un next generation firewall, un firewall di nuova generazione, quindi oltre alla difesa base integra altre funzionalità, fra cui la VPN aziendale, che permette alle società di creare un canale sicuro fra l'esterno e l'interno della rete aziendale per i dipendenti che lavorano lavorano da remoto. Se avete capito a cosa servono questi dispositivi, avrete anche capito che per forza di cose devono essere raggiungibili da internet. Se i dipendenti lavorano da casa, devono avere un modo per raggiungere i server dell'azienda, e l'unico è passare da internet, precisamente dalla porta delle VPN, che per poter essere aperta deve poter essere anche visibile dall'esterno. Questo perché il firewall non sa in anticipo da dove si collegheranno i dipendenti. Se il dipendente è in un hotel a Tokyo, il firewall deve poter accettare la sua connessione anche da un indirizzo IP giapponese mai visto prima. Quindi il servizio VPN deve stare su un indirizzo IP pubblico e deve essere visibile a chiunque. La protezione sta quindi non nel nascondere l'ingresso della VPN, ma nel prevedere un meccanismo di autenticazione per cui può entrare solo chi conosce le credenziali di accesso e supera il controllo dell'autenticazione. A più fattori. E fin qui non ci sarebbe neanche tutto sommato qualche problema. Il problema però è che in molti casi viene esposta su internet non solo la porta d'ingresso della VPN, ma anche l'interfaccia di amministrazione, cioè il pannello da cui si amministra il firewall. Chi accede a questo pannello come admin può fare praticamente tutto: può stabilire le regole per decidere cosa deve bloccare il firewall e cosa invece deve autorizzare, può creare ed eliminare gli utenti, può installare aggiornamenti, fare backup, In pratica è il cruscotto del dispositivo che raccoglie tutti i comandi. E perché una cosa delicata come l'interfaccia di amministrazione dovrebbe essere esposta così liberamente su internet? In realtà normalmente questo pannello dovrebbe essere accessibile solo dall'interno della rete aziendale o quantomeno dovrebbe essere protetto dalla VPN, ma capita che a volte si opti per comodità di renderla accessibile da internet. Per far sì che in caso di bisogno l'amministratore, che magari è un consulente esterno, possa collegarsi anche da fuori. Può capitare inoltre che il pannello sia stato aperto per errore o per un'emergenza e ci si sia poi dimenticati di chiuderlo. Quello che succede è che molto spesso l'interfaccia di amministrazione del FortiGate sia effettivamente esposta su internet. Di questa cosa a un certo punto si accorgono anche malintenzionati. Nel 2026 vengono documentati i primi accessi, segno che qualche attaccante si era reso conto del fatto che entrare nel pannello di amministrazione di un firewall così diffuso poteva veramente aprirgli le porte a una marea di informazioni e credenziali di accesso. Ora, ovviamente non è che questi pannelli di amministrazione fossero esposti su internet senza alcuna protezione, richiedevano tutti almeno l'inserimento delle credenziali admin. Come hanno fatto quindi gli attaccanti a entrare? Semplice, inserendo le credenziali. E per capire come avevano fatto a ottenere quelle credenziali dobbiamo guardare a cos'era successo a Fortinet nei mesi precedenti, perché non erano stati mesi tranquilli. Dicembre 2025, primo incidente. Fortnite ha un suo cloud chiamato FortiCloud in cui i clienti possono gestire, registrare e controllare tutti i loro dispositivi e servizi di sicurezza Fortnite. Tra le funzioni utili c'è anche la possibilità di usare l'account FortiCloud per accedere al firewall FortiGate senza dover ricordare un'altra password. È una funzionalità molto comoda, solo che come sappiamo benissimo, quando una cosa è comoda di solito non è sicura, e viceversa. A dicembre si scopre che questo meccanismo di autenticazione poteva essere ingannato falsificando la risposta del sistema, cosa che in sostanza permetteva a un malintenzionato di entrare nei dispositivi Fortnite senza conoscere alcuna password. La falla viene corretta immediatamente, ma rimane un piccolo problema: quella funzione di accesso era disattivata di default, però si riattivava da sola senza avvisare ogni volta che qualcuno registrava un dispositivo nel cloud. Quindi tantissimi clienti erano esposti senza saperlo, perché avevano disattivato questa funzionalità e non pensavano potesse riattivarsi da sola. Il risultato è che a gennaio anche clienti con il sistema completamente aggiornato hanno continuato a subire intrusioni. Gennaio 2026, secondo incidente, se possibile peggiore. Viene scoperta un'altra falla nello stesso meccanismo. Chiunque avesse un account FortiCloud, uno qualunque, anche appena creato, e un dispositivo dispositivo registrato, quindi ad esempio un firewall, poteva autenticarsi come amministratore sui dispositivi FortiGate di altri clienti. Capiamoci, è come se io acquistando un appartamento in un condominio potessi entrare anche nelle case dei vicini perché le mie chiavi aprono anche casa loro. Vi sembra normale? Ovviamente i malintenzionati erano riusciti a scovare le credenziali di alcuni account, non di Per entrare si sono quindi avvalsi anche di un'altra tecnica di hacking chiamata brute force, o forza bruta in italiano. In pratica prendevano tutte le porte VPN esposte su internet e provavano a entrare con migliaia di tentativi di login automatici ogni giorno, provando diverse combinazioni di credenziali. A volte non funzionava, altre funzionava ma poi scoprivano che era attivata l'autenticazione a più fattori e quindi non superavano questo secondo passaggio. Purtroppo però c'erano invece casi in cui qualche combinazione era quella giusta e loro entravano direttamente, soprattutto quando erano rimaste impostate le credenziali default senza che nessuno le cambiasse. In sostanza, questi accessi e il successivo attacco seguivano 5 fasi. Fase 1: la mappa. Prima di attaccare bisogna sapere dove si trovano i bersagli, e per trovarli gli attaccanti hanno scansionato internet in massa, porta per porta, con strumenti automatici che riconoscevano i FortiGate sia sulle porte standard sia su quelle personalizzate. Secondo una ricostruzione i firewall individuati o presi di mira in questa fase sono stati oltre 430.000. Non vuol dire violati, vuol dire segnati sulla mappa. Fase 2: l'ingresso. Contro le porte trovate partivano i tentativi di login usando la forza bruta oppure le liste di password riciclate. Fase 3: il colpo. Una volta dentro un firewall FortiGate, gli attaccanti come prima cosa esportavano il file di configurazione, che è una miniera di informazioni perché contiene tutto l'impianto del dispositivo, le password degli amministratori e degli utenti VPN, anche se cifrate, le chiavi delle connessioni, i token di sessione, cioè i biglietti che il sistema rilascia dopo un login per non richiedere la password a ogni operazione, che chiaramente nelle mani sbagliate funzionano come un passepartout. Una volta portato fuori questo file, il grosso del lavoro si fa comodamente offline, senza più toccare il sistema. Fase 4: il cracking. Premessa: quando un sistema serio salva la nostra password, non la conserva così com'è, la trasforma in una stringa apparentemente casuale chiamata hash. L'hash è un algoritmo che appunto prende la nostra password e la rende qualcosa di totalmente incomprensibile con un'operazione irreversibile. Quindi dalla password si può generare un hash, ma dall'hash non si può risalire alla password. Qual è il problema però? Che due password completamente identiche passate nello stesso algoritmo di hashing daranno lo stesso risultato. Quindi un hacker può mettersi lì con calma, prendere un elenco di password comuni, passarle in un algoritmo di hash per poi confrontare quello che viene fuori con le stringhe di hash trovate nei database rubati. Se due hash coincidono, ecco che quella è una password trovata. Quindi i malintenzionati, dopo aver rubato il file di configurazione che contiene tutta una serie di credenziali sotto forma di hash, si mettevano a provare a indovinarle. Fase 5: lo sniffer. Sui firewall compromessi gli attaccanti attivavano un programma chiamato appunto sniffer che guardava tutto il traffico di rete. In questo modo ogni singola cosa che passava dal firewall, cioè praticamente tutto, veniva inviata anche ai sistemi degli attaccanti. Questo comprendeva ovviamente anche tutta una nuova serie di credenziali, perché dal firewall passava chiaramente anche ogni login VPN, ogni autenticazione ai sistemi interni dell'azienda, e così via. Questo creava un circolo vizioso per le vittime, virtuoso per i malintenzionati, in cui ogni firewall violato diventava una postazione d'ascolto che produceva nuove credenziali che aprivano nuovi firewall che producevano nuove credenziali. Ed è qui che torniamo al 13 giugno 2026, perché questa macchina perfetta si è scontrata con un errore banalissimo. I criminali a loro volta avevano lasciato un pezzo della propria infrastruttura in una cosiddetta open directory, una cartella di server accessibile a chiunque senza autenticazione. A trovare questa cartella è il ricercatore ucraino Volodymyr Dachenko, detto Bob, ricercatore che nella vita trova database esposti su internet e avvisa alle persone coinvolte. Solo che stavolta il database scoperto non era di una vittima, era dei malintenzionati. Dentro trova tutto quello che gli attaccanti avevano raccolto, fra cui credenziali in chiaro, elenco delle vittime con settore fatturato, in un format tipico di chi si prepara a vendere questi dati al miglior offerente, più gli strumenti d'attacco e i log che hanno permesso poi di ricostruire l'intera operazione, anche appunto quindi le fasi di cui abbiamo parlato prima. Chiaramente trovare un archivio non basta, bisogna capire se i dati sono veri. A questo ha pensato Kevin Boumong, ricercatore molto noto nel settore, che tra il 14 e il 17 giugno ha verificato le credenziali direttamente con diverse organizzazioni presenti nella lista, scoprendo che non c'era proprio niente di inventato. Ogni cosa, compresi i file di configurazione, era reale. Il 17 giugno anche la società Hudson Rock pubblica la sua analisi e attiva un sito gratuito dove chiunque poteva controllare se il proprio dominio compariva nel dataset. Il caso a quel punto esplode. Ho cercato di capire quanti dispositivi fossero stati effettivamente colpiti, ma non so perché non ho trovato nessuna stima precisa. Boumon ha detto che erano circa 75.000 dispositivi. Altri ricercatori che poi hanno lavorato sul caso ne hanno contati 30.000, altri 86.000. Non si è capito. Addirittura una stima particolarmente prudente dice che le aziende effettivamente violate con una compromissione interna fossero appena 140.000. E dire che la cartella era pubblica, quindi teoricamente arrivare a una stima esatta non doveva essere così complicato. Però ripeto, ognuno ha detto un numero diverso. Fra le aziende comunque risultano anche grossi nomi come Spotify, Samsung, Lenovo, Aruba, Fastweb, Wind 3 e anche alcune regioni italiane. E ora voi potreste chiedervi: ma chi erano gli attaccanti dietro a questa campagna? Una risposta precisa non c'è, anche perché ricordiamoci che è una notizia di 2-3 mesi fa, quindi le indagini sono ancora in corso. Pare possa esserci dietro un gruppo russofono, perché sono stati trovati commenti in cirillico nel codice e le attività erano svolte secondo il fuso orario di Mosca. Però potrebbe anche trattarsi di un tentativo di depistaggio. L'obiettivo sicuramente non era quello di attaccare direttamente, ma di vendere le credenziali a chi poi avrebbe fatto il lavoro sporco vero e proprio. Su un forum criminale russo comunque un venditore conosciuto come Santa Ed ha messo all'asta l'accesso a circa 7000 dispositivi Fortnite, partendo da un prezzo di $25.000. Dopo la pubblicazione dell'analisi di Hudson Rock, che diceva appunto che tutti i dati erano veri, il prezzo è salito a 60.000 e il report di Hudson Rock è stato citato letteralmente nell'annuncio come prova del valore della merce. Alzo le mani perché se non è marketing questo non so cosa lo sia. Tra l'altro, analizzando le credenziali rubate, i ricercatori hanno trovato le stesse identiche coppie username password ripetute su migliaia di dispositivi diversi. Una compariva su quasi 4.000 firewall. Ovviamente non è possibile che migliaia di aziende scelgano la stessa password. Con tutta probabilità quindi si tratta di una backdoor, cioè di account segreti creati quasi certamente da un gruppo ransomware precedente e rimasti lì dormienti in attesa che qualcuno li usasse. In tutto ciò la società Fortnite in qualche modo deve reagire alla cosa. Il 19 giugno l'azienda pubblica il suo comunicato e la linea è: non c'è stata nessuna vulnerabilità, è colpa dei clienti che hanno usato credenziali deboli e senza autenticazione a più fattori e che hanno aggiornato il firewall. Kevin Boumont reagisce immediatamente dicendo: beh, non è proprio così. La gran parte dei sistemi era aggiornata all'ultima versione disponibile e le password spesso erano state craccate da malintenzionati che però non dovevano proprio avere la possibilità di metterci le mani sopra. Quindi è colpa di Fortnite che non è abbastanza sicura. Tra l'altro, tra le aziende colpite c'era niente po' po' di meno che la stessa Fortnite, che a quanto pare non aveva a sua volta credenziali particolarmente forti o sistemi aggiornati all'ultima versione. Il 18 giugno, nel frattempo, era arrivata anche una risposta dalle istituzioni. La CISA americana, le agenzie di Regno Unito, Canada e Australia, il CSIRT Italia e la CN, la nostra Agenzia per la Cyber Sicurezza Nazionale, hanno avvertito dell'attacco in corso e dato consigli per come reagire. Ognuno ha adottato una propria linea. Gli inglesi, i più drastici di tutti, hanno consigliato addirittura il ripristino di fabbrica dei dispositivi compromessi, perché secondo loro cambiare le password poteva non bastare a cacciare intrusi. Gli australiani hanno consigliato di aggiornare il sistema, cambiare le credenziali e fare login e logout. L'Italia ha suggerito la migrazione dalle VPN SSL a IPsec, che è un protocollo più sicuro. Questa cosa, fra l'altro, anche la stessa Fortinet l'ha resa poi obbligatoria dagli aggiornamenti successivi, quindi è stato un bel consiglio. Com'è finita questa storia? Bella domanda, perché in realtà non è finita. A settembre 2026, mentre registro questo video, i dispositivi con lo sniffer ancora attivo sono scesi da 19.000 a circa 11.000, quindi sono ancora tantissimi, più della metà. Il dataset continua a circolare nel dark web con un prezzo fra i 25.000 e 60.000 dollari. Non è stato ancora identificato nessun responsabile. Fortinet è più forte che mai, non ha visto cali particolari di fatturato, anche perché comunque, come dicevo, sono molto diffusi i suoi dispositivi, è uno dei leader del settore, e la cosa è passata evidentemente abbastanza in sordina da evitare un esodo di massa verso altri strumenti. Noi Sicuramente da questo caso possiamo imparare alcune lezioni importanti, soprattutto se siamo delle aziende e sopra soprattutto se usiamo FortiGate. Intanto il pannello di amministrazione di un firewall non deve essere raggiungibile da internet, punto. È la lezione numero 1 di tutta questa storia. Secondo, se avete un FortiGate andate sul sito di verifica gratuito di Hudson Rock, vi lascio il link in descrizione, e controllate se il vostro dominio compare nel dataset. Terzo, cambiate le credenziali e soprattutto terminate anche tutte le sessioni attive, altrimenti chi è dentro resta dentro anche se cambiate le credenziali. Altra cosa: controllate la lista degli account amministratori e cercate nomi che non avete creato voi, soprattutto quelli camuffati da servizi Fortinet, perché potrebbe trattarsi di backdoor create da altri malintenzionati. Ultimo ma non ultimo, guardate i log del firewall nella sezione degli eventi filtrando per la parola config. In questo modo potrete vedere tutte le esportazioni del file di configurazione e se ne trovate alcune fatela account che non conoscete, ora sapete cos'è successo. E poi, ma questo vale per tutti, non sottovalutate mai l'importanza dell'autenticazione a più fattori, perché in molti casi è stata proprio questa ad aver fatto la differenza fra un attacco riuscito e uno solo tentato. Bene, come sempre spero che il video di oggi vi sia piaciuto. Fatemi sapere nei commenti cosa ne pensate e se conoscevate già questa storia. Se volete approfondire, in descrizione trovate le fonti che ho usato per studiare il caso, comprese le analisi tecniche originali dei ricercatori. Noi ci rivediamo la prossima settimana. A presto!