La réponse courte
Une campagne massive de vol d'identifiants de pare-feu a été directement liée à un rançongiciel pour la première fois. Début juillet 2026, la Threat Research Unit de SOCRadar a rapporté que FortiBleed — une opération qui a scanné et ciblé environ 430 000 pare-feux FortiGate exposés sur Internet et utilisé un renifleur de paquets sur mesure pour collecter les identifiants VPN et administrateur — partage infrastructure et opérateurs avec les groupes de rançongiciel INC Ransom et Lynx. Les chercheurs ont trouvé un serveur lié à FortiBleed avec des sessions actives sur les panneaux de négociation des deux groupes. SOCRadar a recensé un accès administrateur confirmé sur des centaines de cibles et au moins une douzaine de déploiements de rançongiciel qui en découlent.
La lecture pratique pour les responsables techniques : votre pare-feu de périmètre n'est pas qu'un équipement réseau, c'est un ensemble d'identifiants à longue durée de vie qu'une équipe de rançongiciel traite désormais comme une porte d'entrée toute prête. Si une interface d'administration ou de VPN FortiGate a été exposée sur Internet, présumez que les identifiants sur et derrière elle sont compromis, et faites-les tourner.
Que s'est-il réellement passé ?
Ces dernières semaines, des chercheurs en sécurité ont documenté une opération de grande ampleur, baptisée FortiBleed, visant les pare-feux Fortinet FortiGate exposés sur Internet. Selon la Threat Research Unit de SOCRadar, les opérateurs ont scanné et ciblé environ 430 000 équipements FortiGate dans le monde, tenté l'accès avec des combinaisons d'identifiants connues, puis installé un renifleur de paquets sur mesure sur les équipements compromis pour collecter passivement les identifiants VPN et administrateur directement depuis le trafic réseau. Comme le renifleur collecte les identifiants au moment où ils traversent l'équipement, l'exposition n'est pas liée à une seule CVE — elle est liée à tout ce qui a transité par un pare-feu exposé.
Les pare-feux et concentrateurs VPN sont précisément le type d'actif qui rend la compromission du périmètre si précieuse : ils se tiennent à la frontière, ils détiennent ou courtisent les identifiants qui font entrer les gens dans les réseaux internes, et ils sont souvent le boîtier le moins surveillé du parc. C'est pourquoi l'exposition du périmètre est le premier poste de tout test d'intrusion et audit de sécurité sérieux. SOCRadar a rapporté que la campagne a produit des identifiants administrateur valides et vérifiés pour des dizaines de milliers d'équipements, et que l'agence américaine CISA a appelé les utilisateurs de Fortinet à sécuriser leurs systèmes après l'apparition de la fuite.
Le reportage esquisse aussi l'équipe qui est derrière : un groupe organisé, russophone, d'une vingtaine de personnes aux rôles définis, opérant principalement comme courtiers en accès initial — des spécialistes qui pénètrent, vérifient l'accès, puis le vendent ou le transmettent plutôt que de mener chaque intrusion à son terme. Cette division du travail est le fil conducteur de ce qui a suivi.
Comment le vol d'identifiants devient-il un rançongiciel ?
Le fait marquant de début juillet est le lien direct avec le rançongiciel. SOCRadar a déclaré avoir identifié un serveur Windows appartenant à l'infrastructure FortiBleed qui présentait des sessions de navigateur actives connectées aux panneaux d'administration et de négociation de deux opérations de rançongiciel : INC Ransom (actif depuis mi-2023) et Lynx (apparu mi-2024 et largement considéré comme un rebranding d'INC). Autrement dit, les mêmes mains qui collectaient les identifiants de pare-feu travaillaient aussi le volet négociation de rançon d'affaires d'extorsion en cours.
Cela ferme une boucle que les chercheurs doivent d'ordinaire déduire. Les identifiants de périmètre volés étaient depuis longtemps soupçonnés d'alimenter les rançongiciels, mais ici l'opération d'accès initial et l'opération de rançongiciel semblent partager personnes et infrastructure, reliant pour la première fois le vol massif d'identifiants FortiGate directement au déploiement de rançongiciels. SOCRadar a recensé des scans contre des milliers de portails Fortinet, un accès administrateur confirmé sur des centaines de cibles et l'achèvement de la chaîne d'attaque complète — jusqu'au chiffrement — sur un ensemble plus restreint, avec au moins une douzaine de déploiements de rançongiciel attribués à cet accès.
Pourquoi ce cas compte-t-il ?
Les compromissions d'équipements de périmètre ne sont pas nouvelles, et Fortinet en a traversé plusieurs. Ce qui rend FortiBleed différent, c'est l'industrialisation de la chaîne : un renifleur de collecte d'identifiants fonctionnant à grande échelle, une équipe de courtiers qui vérifie et catalogue les accès valides, et une transmission démontrée vers la négociation de rançongiciel. Cela transforme un pare-feu en porte d'entrée reproductible pour rançongiciel plutôt qu'en intrusion ponctuelle.
Cela fait aussi s'effondrer une hypothèse rassurante. Beaucoup d'équipes assimilent « corrigé » à « sûr » sur le matériel réseau. Mais si les identifiants ont été reniflés pendant que l'équipement était exposé, corriger le micrologiciel ne fait rien pour les clés déjà entre d'autres mains — et un compte dérobé (les chercheurs ont signalé un utilisateur persistant portant un nom tel que adminin) peut survivre à la mise à jour. La seule réponse fiable au vol d'identifiants est la rotation des identifiants, pas une montée de version.
Ce que cela signifie pour les équipes logicielles en France
En écartant les détails, trois implications durables demeurent. La première est que le périmètre est l'accès initial, et l'accès initial est désormais le rançongiciel. Toute interface d'administration ou de VPN exposée sur Internet doit être traitée comme un magasin d'identifiants qu'un attaquant a peut-être déjà lu. La solution n'est pas seulement de corriger, mais de faire tourner chaque identifiant sur et derrière l'équipement, d'imposer une MFA résistante au phishing et de retirer les interfaces d'administration de l'Internet public partout où c'est possible.
La deuxième est qu'un réseau à plat transforme un seul identifiant volé en panne d'entreprise. FortiBleed est précieux pour les équipes de rançongiciel précisément parce que l'accès au périmètre offre si souvent une large portée à l'intérieur. Les équipes de la FinTech et d'autres secteurs réglementés devraient anticiper cette catégorie d'incident lorsqu'elles cadrent leurs obligations RGPD, DORA ou SOC 2 : segmentation réseau, accès au moindre privilège derrière le pare-feu et sorties surveillées sont ce qui transforme un boîtier de périmètre compromis en événement circonscrit plutôt qu'en violation complète et incident de rançongiciel à déclarer.
La troisième est que la détection et la reprise doivent être répétées, pas improvisées. Quand le courtier en accès initial et l'opérateur de rançongiciel sont la même équipe, la fenêtre entre compromission et chiffrement peut être courte. La surveillance des connexions anormales sur les plans VPN et d'administration, des sauvegardes hors ligne testées et un plan de rotation des identifiants que vous avez réellement exécuté font la différence entre une mauvaise semaine et une semaine fatale à l'entreprise. Cette posture relève de l'hygiène ordinaire d'un processus de livraison sécurisé, pas de la paranoïa.
Que faire maintenant
Voici la version livrable. Traitez FortiBleed comme une incitation à durcir la façon dont votre organisation expose et sécurise les équipements de périmètre, que vous utilisiez Fortinet ou non.
- Présumez la compromission et faites tourner. Pour tout FortiGate exposé sur Internet, faites tourner les identifiants administrateur et VPN, les comptes locaux et tout secret ayant transité par l'équipement ; une correction du micrologiciel seule n'annule pas des identifiants volés.
- Chassez la persistance. Examinez les comptes administrateur à la recherche d'utilisateurs inconnus ou dérobés (les chercheurs ont signalé un nom tel que
adminin), et auditez les connexions VPN et d'administration à la recherche d'adresses source anormales. - Sortez l'administration d'Internet. Restreignez les interfaces d'administration à des réseaux de confiance ou à un VPN, et imposez une MFA résistante au phishing sur l'accès distant.
- Segmentez derrière le périmètre. Assurez-vous qu'un pare-feu compromis ne donne pas un accès à plat à la production ; appliquez le moindre privilège à l'intérieur du périmètre.
- Surveillez les déplacements latéraux. Guettez les connexions anormales, les nouveaux comptes de service et le trafic est-ouest qui précéderait un chiffrement.
- Répétez la reprise. Conservez des sauvegardes hors ligne testées et un plan pour faire tourner les identifiants et isoler rapidement les systèmes lorsqu'un équipement de périmètre est compromis.
Rien de tout cela ne constitue un conseil juridique, et vos obligations exactes dépendent de votre secteur et de votre juridiction. Mais le signal stratégique est clair : la frontière entre « quelqu'un a lu les identifiants de notre pare-feu » et « quelqu'un a chiffré notre réseau » s'est réduite à une seule transmission — et les équipes qui s'en sortent indemnes sont celles qui ont fait tourner leurs identifiants, segmenté leurs réseaux et gardé un plan de reprise répété à portée de main.
Foire aux questions
Qu'est-ce que la campagne FortiBleed ?
FortiBleed est le nom donné par les chercheurs en sécurité à une campagne de grande ampleur qui a collecté des identifiants sur des pare-feux Fortinet FortiGate exposés sur Internet. Selon la Threat Research Unit de SOCRadar, les opérateurs ont scanné et ciblé environ 430 000 équipements FortiGate dans le monde, tenté l'accès avec des combinaisons d'identifiants connues, puis déployé un renifleur de paquets sur mesure sur les équipements compromis pour collecter passivement les identifiants VPN et administrateur depuis le trafic réseau. Le résultat : des identifiants administrateur valides et vérifiés pour des dizaines de milliers d'équipements dans de nombreux pays.
Comment FortiBleed est-il lié aux rançongiciels ?
Début juillet 2026, SOCRadar a rapporté qu'un serveur Windows appartenant à l'infrastructure FortiBleed présentait des sessions de navigateur actives connectées aux panneaux d'administration et de négociation des opérations de rançongiciel INC Ransom et Lynx. C'est la première fois qu'un vol massif d'identifiants FortiGate est directement lié au déploiement de rançongiciels : les mêmes opérateurs semblent vendre ou utiliser l'accès volé au pare-feu comme porte d'entrée pour des intrusions de rançongiciel ultérieures. SOCRadar a recensé un accès administrateur confirmé sur des centaines de cibles et au moins une douzaine de déploiements de rançongiciel découlant de cet accès.
Quels groupes de rançongiciel sont impliqués ?
Les chercheurs ont relié FortiBleed à INC Ransom, actif depuis mi-2023, et à Lynx, apparu mi-2024 et largement considéré comme un rebranding d'INC. Les acteurs derrière FortiBleed sont décrits comme un groupe organisé, russophone, d'une vingtaine de personnes opérant principalement comme courtiers en accès initial plutôt que comme opérateurs du chiffrement.
Comment savoir si son pare-feu FortiGate est affecté ?
Traitez tout équipement FortiGate exposé sur Internet comme potentiellement affecté. L'agence américaine CISA a appelé les utilisateurs de Fortinet à sécuriser leurs équipements après la fuite ; en France, l'ANSSI et le CERT-FR publient régulièrement des alertes concernant les équipements Fortinet. Les vérifications pratiques incluent l'examen des fichiers de configuration et des comptes administrateur à la recherche d'utilisateurs inconnus ou dérobés (les chercheurs ont signalé un compte persistant portant un nom tel que adminin), l'audit des connexions VPN et d'administration à la recherche d'adresses source anormales, et la confirmation que le micrologiciel est entièrement corrigé. Comme le renifleur collectait les identifiants passivement, l'exposition ne se limite pas à une seule CVE : la rotation des identifiants doit être présumée, et non débattue.
Que doivent faire les organisations pour réduire le risque de rançongiciel lié à des identifiants de pare-feu volés ?
Faites tourner les identifiants sur et derrière tout pare-feu exposé, imposez une authentification multifacteur résistante au phishing sur les accès VPN et d'administration, et retirez les interfaces d'administration de l'Internet public dans la mesure du possible. Segmentez les réseaux pour qu'un équipement de périmètre compromis ne donne pas un accès à plat à la production, surveillez les connexions anormales et les déplacements latéraux, et conservez des sauvegardes hors ligne testées ainsi qu'un plan de réponse à incident et de rotation des identifiants réellement répété. Des tests d'intrusion et un examen de configuration indépendants aident à confirmer que le périmètre n'est pas un point de défaillance unique.
Sources
The Hacker News — FortiBleed Credential Theft Linked to INC and Lynx Ransomware Operations
BleepingComputer — FortiBleed credential-theft campaign linked to Lynx ransomware
Dark Reading — FortiBleed Actors Collaborating With INC, Lynx Ransomware Gangs