weerapat1003 - stock.adobe.com

Columna

LACNIC: Se filtran miles de credenciales de dispositivos Fortinet

Un grupo de criminales publicó en la web oscura archivos de configuración, direcciones IP y credenciales de acceso de VPN de más de 15.000 dispositivos FortiGate.

por
  • Guillermo Pereyra, LACNIC
Publicado:03 feb 2025

Un grupo de criminales ha publicado los archivos de configuración, direcciones IP y las credenciales de acceso de VPN de más de 15.000 dispositivos FortiGate en la dark web. Cada carpeta individual contiene un archivo de volcado de la configuración de Fortigate y un archivo vpn-passwords.txt. Se vió que algunas contraseñas estaban almacenadas en texto, aunque eso puede deberse a una mala configuración del sistema o a la no complejidad de las mismas.

Se cree que la filtración está relacionada con una vulnerabilidad de Día Cero del año 2022 (CVE-2022-40684). Los atacantes utilizaron esta vulnerabilidad para descargar archivos de configuración de los dispositivos FortiGate vulnerables y agregaron una cuenta de administrador llamada “fortigate-tech-support”. Aunque estos archivos de configuración se recopilaron en 2022, todavía exponen mucha información confidencial sobre las defensas de la red, incluidas las reglas del firewall y las credenciales.

Desde el CSIRT de LACNIC, analizamos las direcciones IP relacionadas a la fuga de información, compartidas por Kevin Beaumont en su blog.

La figura anterior muestra el número de direcciones IP expuestas y los países dentro de la región LACNIC que se vieron afectados por la fuga de datos.

Recordemos que esto ya ocurrió años atrás con otra vulnerabilidad, y en esa ocasión se filtraron más de medio millón de credenciales.

¿Cómo saber si tengo credenciales expuestas?

Para conocer si su organización está listada en la fuga de información, le sugerimos consultar el blog de Kevin Beaumont. Igualmente, recomendamos:

  • Actualizar sus dispositivos a las últimas versiones del firmware desde el sitio oficial.
  • Deshabilitar la interfaz administrativa HTTP/HTTPS o limitar las direcciones IP desde las que se puede acceder a ella.
  • Recomendamos seguir las buenas prácticas mencionadas en la documentación de Fortinet

Nota de la editora: El artículo fue editado por claridad. Puede revisar el artículo original aquí.

Guillermo Pereyra es analista de Seguridad en el CSIRT de LACNIC, cuya misión es llevar a cabo las funciones de coordinación necesarias para el fortalecimiento de las capacidades de respuesta a incidentes de seguridad vinculados con los recursos de internet de América Latina y el Caribe. Tiene la certificación CERT Incident Response Process Professional del Instituto de Ingeniería de Software (SEI) de la Universidad de Carnegie Mellon. Cuenta con seis años de experiencia en respuesta a incidentes en el ISP nacional de Uruguay.

Investigue más sobre Gestión de la seguridad