FortiBleed : un jeu de données fuite les identifiants VPN de ~74 000 pare-feu Fortinet

Le 17 juin 2026, le chercheur en sécurité Bob Diachenko a révélé un jeu de données fuité — baptisé FortiBleed — exposant ce qui semble être des identifiants VPN Fortinet FortiGate valides, y compris des noms d'utilisateur, des adresses e-mail et des mots de passe en clair, pour 73 932 URL de pare-feu réparties dans 194 pays et 21 632 domaines uniques. Les organisations exposées comprendraient de grandes entreprises mondiales telles que Chevron, Samsung, Foxconn, Comcast, AT&T, Mercedes-Benz, Toyota, Sinopec et State Grid.

Pas une nouvelle vulnérabilité

Élément crucial, FortiBleed n'est pas l'exploitation d'une faille Fortinet inconnue. Fortinet a déclaré que son enquête indique que les identifiants ont été obtenus via des incidents antérieurs et des attaques par force brute et ne sont liés à aucune vulnérabilité, brèche ou avis de sécurité nouvellement divulgués. La campagne s'appuie plutôt sur une faille bien plus élémentaire : des organisations qui n'ont jamais renouvelé leurs identifiants après des compromissions antérieures, laissant des mots de passe qui circulent depuis dans des journaux d'infostealers et des bases de fuites toujours valides sur des pare-feu exposés sur Internet.

Une campagne multi-opérateurs à l'échelle d'Internet

La fuite est la partie visible d'une opération plus vaste attribuée à un groupe cybercriminel russophone multi-opérateurs. Plutôt qu'un simple bourrage d'identifiants, les opérateurs ont systématiquement scanné Internet à la recherche d'instances Fortinet exposées, puis les ont testées contre des bases d'identifiants historiques. La télémétrie liée à la campagne fait état d'environ 1,16 milliard de tentatives basées sur des identifiants contre plus de 320 000 cibles FortiGate, parallèlement à 2,1 milliards de tentatives par force brute contre plus de 160 000 serveurs MSSQL — produisant au total les 21 632 domaines compromis.

Pourquoi c'est important

FortiBleed illustre crûment que l'hygiène des identifiants, et pas seulement les correctifs, est essentielle à la sécurité du périmètre. Des identifiants VPN valides sur un pare-feu offrent aux attaquants un point d'entrée authentifié et propre au sein d'une entreprise — sans aucun exploit — et la portée du jeu de données, à travers près de 200 pays et des dizaines de milliers d'organisations, en fait une liste de cibles toute prête. Les défenseurs exploitant des équipements FortiGate ont été appelés à renouveler tous les identifiants VPN et d'administration, à imposer l'authentification multifacteur et à partir du principe que tout mot de passe réutilisé d'une fuite antérieure ou récolté par un infostealer est déjà entre les mains des attaquants.