FortiBleed : neutraliser la fuite de 73 000 firewalls Fortinet

La fuite FortiBleed expose les identifiants VPN et firewall de plus de 73 000 équipements Fortinet à travers 194 pays, dont des milliers en France. Pour les PME-ETI qui ont misé sur Fortinet pour leur périmètre, cette fuite est une bombe à retardement : les attaquants disposent de comptes valides, en clair, sur des appareils encore exposés. Voici comment réagir immédiatement et durcir vos équipements avant la prochaine vague de compromission.

FortiBleed : ce que révèle réellement la fuite

Documentée par BleepingComputer, Dark Reading et The Hacker News, la fuite FortiBleed contient des noms d’utilisateur, des adresses e-mail et des mots de passe en clair issus de 73 932 équipements Fortinet (FortiGate, VPN SSL, portails captifs). Les chercheurs ont confirmé la validité de nombreux identifiants sur des appareils encore en production, ce qui en fait l’un des plus gros incidents de credential harvesting de l’année 2026.

Le périmètre touche 21 632 domaines distincts. Concrètement, cela signifie que des opérateurs ransomware et des courtiers d’accès initiaux (IAB) disposent désormais d’une base prête à exploiter contre des PME et ETI françaises utilisant des firewalls Fortinet pour le VPN télétravail ou l’accès partenaire.

Pourquoi cette fuite est différente

• Mots de passe en clair, pas de hash à casser — l’attaquant se connecte directement.
• Les identifiants ont été validés sur des équipements en ligne et accessibles depuis Internet.
• La fuite est multi-tenant : un même attaquant peut pivoter d’une PME à une autre sans changer d’outil.
• Elle se cumule avec les trois vulnérabilités FortiSandbox patchées récemment et désormais activement exploitées.

Plan d’action FortiBleed pour PME-ETI

Le réflexe « on patche et on attend » ne suffit pas face à FortiBleed. Si vos identifiants Fortinet ont fuité, le patch n’efface pas la session attaquant. Voici la séquence à exécuter dans la journée.

1. Rotation immédiate des identifiants Fortinet

• Forcer la rotation de tous les comptes locaux sur chaque FortiGate, FortiVPN, FortiAuthenticator.
• Désactiver les comptes administrateurs locaux non utilisés, ne laisser que des comptes nominatifs avec MFA matériel.
• Révoquer les sessions VPN actives via diagnose vpn ssl list puis execute vpn sslvpn del-all.
• Invalider les tokens SAML/OIDC si vous fédérez avec Entra ID, Google Workspace ou Okta.

2. Recherche de compromission (threat hunting)

• Analyser les journaux FortiGate VPN sur les 90 derniers jours à la recherche de connexions depuis des géographies inhabituelles ou des ASN d’hébergeurs.
• Corréler avec les logs Active Directory et VPN pour repérer le réutilisation de mots de passe : un identifiant FortiVPN qui ouvre aussi une session RDP ou un Outlook Web App est un signal fort.
• Vérifier la création de règles de pare-feu inattendues, de tunnels IPsec ou de comptes administrateurs récents.
• Inspecter les scripts d’auto-update et la configuration de sauvegarde : c’est par là que les opérateurs ransomware exfiltrent la conf.

3. Durcissement durable du périmètre Fortinet

• Activer la MFA obligatoire sur le portail SSL VPN et l’administration HTTPS.
• Restreindre l’interface d’administration à des IP de confiance ou à un bastion zero-trust.
• Désactiver le portail SSL VPN web (clientless) si vous ne l’utilisez pas.
• Activer la journalisation centralisée vers un SIEM (Wazuh, Elastic, Sentinel) avec rétention 12 mois minimum.
• Mettre en place une politique de mots de passe longs (16+ caractères), uniques par service, gérés via coffre-fort.

4. Coordination interne et communication

FortiBleed est une fuite tierce : votre entreprise n’a rien fait de mal, mais vous portez le risque. Préparez une note interne pour la direction et un message court pour vos partenaires si vous opérez un VPN partenaire. Anticipez aussi l’éventuelle notification CNIL si des comptes utilisateurs nominatifs sont concernés — l’avis sur la qualification d’incident doit être pris en moins de 72 heures.

Pourquoi cette vague va continuer

FortiBleed n’est pas isolée. Elle s’inscrit dans une vague de credential harvesting qui touche aussi les services VPN d’autres éditeurs. Les attaquants industrialisent : ils combinent fuites publiques, infostealers comme AmosStealer ou EKZ, et achats de stealer logs sur les marchés cybercriminels.

Pour une PME-ETI, la conséquence pratique est claire : tout mot de passe utilisé sur un équipement périmétrique doit être considéré comme potentiellement compromis tant que vous n’avez pas activé la MFA et la rotation systématique. Notre article sur la neutralisation du MFA prompt bombing détaille comment éviter que la MFA ne devienne le maillon faible.

Ce qu’il faut retenir

• La fuite FortiBleed expose 73 000+ équipements Fortinet avec identifiants en clair.
• Le patch seul ne protège pas : il faut rotation, MFA, chasse et durcissement.
• Considérer chaque compte FortiGate, FortiVPN et FortiAuthenticator comme compromis jusqu’à preuve du contraire.
• Centraliser les logs et activer la surveillance comportementale : c’est la seule façon de détecter une réutilisation discrète d’identifiants.

Sources

• BleepingComputer — FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices
• The Hacker News — FortiBleed leak exposes Fortinet
• Dark Reading — Sweeping credential-harvesting heist compromises 30k+ Fortinet devices
• SecurityWeek — 3 recently patched Fortinet FortiSandbox vulnerabilities in hacker crosshairs