Una campaña global usa contraseñas robadas para tomar el control de firewalls FortiGate y VPN. El FBI emitió una alerta y un análisis de Hudson Rock ubica a Colombia entre los países más afectados.
El 6 de octubre de 2026 el FBI y el Servicio Secreto de Estados Unidos publicaron una alerta conjunta sobre FortiBleed, una campaña activa en todo el mundo contra firewalls FortiGate y gateways de VPN SSL de Fortinet expuestos a internet. La firma SOCRadar, citada en la alerta, verificó más de 86.644 equipos comprometidos en 194 países, y un análisis de la firma Hudson Rock ubica a Colombia entre los más afectados.
No se trata de una falla en el código de Fortinet: los atacantes entran con credenciales robadas o débiles. Por eso actualizar el firmware no basta si las contraseñas ya están en manos de terceros.
Cómo opera la campaña
- Prueban de forma masiva usuarios y contraseñas de filtraciones anteriores de Fortinet y de registros de malware que roba credenciales.
- Descifran fuera de línea, con granjas de tarjetas gráficas, los hashes de contraseñas obtenidos, y aprovechan equipos que todavía los guardan con el formato SHA-256 antiguo.
- Una vez dentro, crean cuentas de administrador nuevas y exploran el directorio activo de la empresa.
- Venden ese acceso a grupos de ransomware: la alerta menciona a los afiliados de INC/Lynx y Payload.
- En algunos casos borran o cambian las cuentas originales y dejan al administrador legítimo por fuera de su propio firewall.
¿Qué está pasando en Colombia?
Según el análisis de la firma Hudson Rock, Colombia ocupa el séptimo lugar mundial, con 2.436 equipos Fortinet comprometidos. La alerta del FBI no menciona países. En medios circula una cifra de 27 organizaciones colombianas afectadas, atribuida a una alerta del ColCERT, pero no encontramos esa alerta publicada, así que no la tomamos como confirmada.
Señales de que tu firewall fue comprometido
La alerta del FBI incluye indicadores de compromiso. Entre ellos están cuentas de administrador que nadie creó, con nombres como fortiAdmin, forticloud-sync, adminsslvpn o support_fortinet, además de llaves de API o cambios de configuración desconocidos.
Qué hacer si tu empresa usa Fortinet
- Quita el acceso desde internet a la interfaz de administración. Lo ideal es eliminarlo por completo; si no es posible, limítalo con una política local o a direcciones de confianza.
- Cierra todas las sesiones de administración y VPN activas, y cambia todas las contraseñas de administradores y usuarios de VPN.
- Exige doble factor resistente al phishing para la VPN y la administración.
- Compara cuentas, configuración y llaves de API con una copia conocida y elimina lo que no reconozcas.
- Actualiza FortiOS y verifica que las contraseñas de administrador se guarden con PBKDF2 (FortiOS 7.2.11 o superior). Después pide a cada administrador que vuelva a iniciar sesión para que su contraseña se guarde con el nuevo formato.
Actualización del 31 de octubre: la cifra de Colombia
Revisamos esta noticia contra la alerta del FBI y los análisis de SOCRadar y Hudson Rock. El séptimo lugar de Colombia, con 2.436 equipos, viene de Hudson Rock. Retiramos la atribución a una alerta del ColCERT y la cifra de 27 organizaciones, porque solo las publicaba un medio.
Cómo te ayudamos
Revisamos la exposición de tu firewall, endurecemos la VPN y dejamos la administración fuera de internet como parte de nuestro servicio de redes empresariales seguras. Si sospechas que tu equipo fue comprometido, pide una revisión urgente.
Fuentes
- Alerta conjunta del FBI y el Servicio Secreto JCSA-20261006-01 (6 de octubre de 2026)
- SOCRadar: análisis de la campaña FortiBleed (actualizado el 3 de septiembre de 2026)
- Hudson Rock: firewalls Fortinet comprometidos por país (17 de junio de 2026)
