FortiGate come porta d’ingresso: attaccanti rubano credenziali di servizio dalle reti aziendali

Il fatto

A marzo 2026, i ricercatori di sicurezza hanno documentato una nuova campagna in cui threat actor sfruttano le appliance FortiGate Next-Generation Firewall (NGFW) come punto d’ingresso per violare reti aziendali e rubare credenziali di account di servizio. La campagna, ancora attiva al momento della pubblicazione, prende di mira organizzazioni con appliance FortiGate vulnerabili esposte su internet.

Fortinet è uno dei produttori di firewall enterprise più diffusi al mondo. I prodotti FortiGate proteggono reti di aziende, ospedali, enti governativi e infrastrutture critiche in tutto il globo — il che rende ogni vulnerabilità in questi dispositivi di interesse sistematico per gli attori più sofisticati.

Il pattern d’attacco

La campagna segue un pattern in due fasi:

graph TD
    A["Scanning di appliance\nFortiGate esposte\nsu internet\ncon versioni vulnerabili"] --> B["Sfruttamento di CVE\nin FortiOS\n(auth bypass o RCE noti)"]
    B --> C["Accesso alla VPN\ne alla rete interna\ndall'appliance compromessa"]
    C --> D["Raccolta di\nservice account credentials\nda Active Directory\no da configurazioni di rete"]
    D --> E["Vendita delle credenziali\ncome Initial Access Broker\nsu forum underground"]
    D --> F["Uso diretto:\nMovimento laterale\nnella rete della vittima"]

Gli attaccanti non si fermano all’appliance: usano il FortiGate come trampolino per spostarsi nella rete interna e raccogliere credenziali di account di servizio — quegli account tecnici usati da applicazioni, script e sistemi automatizzati per comunicare tra loro. Questi account spesso hanno privilegi elevati e la loro rotazione è raramente automatizzata.

Il valore delle credenziali di servizio

Le credenziali di account di servizio sono particolarmente preziose per gli attaccanti per alcune ragioni specifiche:

Nessuna MFA: gli account di servizio raramente hanno autenticazione multi-fattore abilitata perché devono operare in modo automatizzato senza interazione umana.

Privilegi elevati: per funzionare correttamente, molti account di servizio hanno privilegi che andrebbero oltre il minimo necessario — per convenienza durante la configurazione, mai ridotti dopo.

Rotazione rara: le password degli account di servizio vengono cambiate raramente perché richiedono di aggiornare tutti i sistemi che le usano. Alcune organizzazioni hanno credenziali di servizio non ruotate da anni.

Difficile tracciabilità: un attaccante che usa un account di servizio legittimo appare come traffico normale nei log.

La storia di FortiGate: un bersaglio ricorrente

FortiGate ha avuto una serie di vulnerabilità critiche negli ultimi anni che lo hanno reso uno dei target più attivamente sfruttati nell’ecosistema enterprise:

Il pattern è sistematico: ogni vulnerabilità significativa di FortiGate viene sfruttata rapidamente da attori con risorse sufficienti per testare su scala, spesso prima che molte organizzazioni abbiano applicato la patch.

I “configuration leaks” del 2024-2025

Una componente aggravante di questa campagna è la disponibilità di dati storici di compromissioni FortiGate. Nel 2024-2025, un threat actor aveva pubblicato online configurazioni e credenziali VPN di oltre 15.000 appliance FortiGate. Molte di queste credenziali sono ancora valide — perché le organizzazioni colpite non le hanno ruotate dopo aver patchato l’appliance.

Questo crea una superficie d’attacco persistente: anche dopo aver applicato una patch, le credenziali rubate durante la finestra di vulnerabilità rimangono utilizzabili finché non vengono cambiate.

Come verificare la compromissione

Fortinet e i ricercatori raccomandano:

# Verificare la presenza di account amministrativi non autorizzati
# nella console FortiGate
get system admin

# Controllare i log di autenticazione per accessi anomali
get log memory filter
execute log display

# Verificare la versione del firmware
get system status
# Confrontare con le versioni sicure nel Fortinet Security Advisory

Raccomandazioni

• Aggiorna FortiOS all’ultima versione — non esiste alternativa
• Limita l’accesso di management delle appliance FortiGate alla rete interna o a indirizzi IP specifici
• Disabilita SSL-VPN se non necessario, o limita il suo accesso
• Ruota tutte le credenziali di servizio e VPN, anche se non c’è conferma di compromissione
• Monitora i log di autenticazione per accessi da IP inusuali o in orari anomali

Conclusione

I firewall sono il confine della rete — ma anche il punto più esposto. Una vulnerabilità in un FortiGate non è solo un problema del dispositivo: è l’apertura di una porta nella rete interna per chiunque abbia l’exploit. La velocità con cui queste vulnerabilità vengono sfruttate rende il patching immediato non un’opzione ma un obbligo.