La risposta breve
Una campagna massiva di furto di credenziali di firewall è stata collegata direttamente al ransomware per la prima volta. All'inizio di luglio 2026, la Threat Research Unit di SOCRadar ha riferito che FortiBleed — un'operazione che ha scansionato e preso di mira circa 430.000 firewall FortiGate esposti su Internet e ha usato uno sniffer di pacchetti su misura per raccogliere le credenziali VPN e amministratore — condivide infrastruttura e operatori con i gruppi ransomware INC Ransom e Lynx. I ricercatori hanno trovato un server collegato a FortiBleed con sessioni attive sui pannelli di negoziazione di entrambi i gruppi. SOCRadar ha registrato accesso amministrativo confermato su centinaia di bersagli e almeno una dozzina di distribuzioni di ransomware che ne derivano.
La lettura pratica per i responsabili di engineering: il vostro firewall perimetrale non è solo un dispositivo di rete, è un insieme di credenziali a lunga durata che una banda ransomware tratta ora come una porta d'ingresso già pronta. Se un'interfaccia di gestione o VPN FortiGate è stata esposta su Internet, presumete che le credenziali su e dietro di essa siano compromesse e ruotatele.
Cosa è successo davvero?
Nelle ultime settimane, i ricercatori di sicurezza hanno documentato un'operazione su larga scala, denominata FortiBleed, rivolta ai firewall Fortinet FortiGate esposti su Internet. Secondo la Threat Research Unit di SOCRadar, gli operatori hanno scansionato e preso di mira circa 430.000 dispositivi FortiGate in tutto il mondo, hanno tentato l'accesso con combinazioni di credenziali note e hanno poi installato uno sniffer di pacchetti su misura sui dispositivi compromessi per raccogliere passivamente le credenziali VPN e amministratore direttamente dal traffico di rete. Poiché lo sniffer raccoglie le credenziali mentre attraversano il dispositivo, l'esposizione non è legata a una singola CVE — è legata a tutto ciò che è passato attraverso un firewall esposto.
Firewall e concentratori VPN sono esattamente il tipo di asset che rende così preziosa la compromissione del perimetro: stanno al confine, custodiscono o mediano le credenziali che fanno entrare le persone nelle reti interne e sono spesso l'apparato meno monitorato del parco. Per questo l'esposizione del perimetro è la prima voce di qualsiasi serio penetration test e audit di sicurezza. SOCRadar ha riferito che la campagna ha prodotto credenziali amministratore valide e verificate per decine di migliaia di dispositivi e che l'agenzia statunitense CISA ha invitato gli utenti Fortinet a mettere in sicurezza i propri sistemi dopo l'emersione della fuga.
Il resoconto delinea anche la banda che c'è dietro: un gruppo organizzato, di lingua russa, di circa 20 persone con ruoli definiti, che opera principalmente come broker di accesso iniziale — specialisti che violano, verificano l'accesso e poi lo vendono o lo cedono anziché portare a termine ogni intrusione. Proprio questa divisione del lavoro è il tessuto connettivo di ciò che è seguito.
Come il furto di credenziali diventa ransomware?
Lo sviluppo di rilievo di inizio luglio è il collegamento diretto al ransomware. SOCRadar ha dichiarato di aver identificato un server Windows appartenente all'infrastruttura FortiBleed che presentava sessioni di browser attive collegate ai pannelli di amministrazione e negoziazione di due operazioni ransomware: INC Ransom (attivo dalla metà del 2023) e Lynx (emerso a metà del 2024 e ampiamente ritenuto un rebranding di INC). In altre parole, le stesse mani che raccoglievano le credenziali dei firewall lavoravano anche sul versante della trattativa del riscatto di casi di estorsione in corso.
Ciò chiude un cerchio che i ricercatori di solito devono dedurre. Le credenziali perimetrali rubate erano da tempo sospettate di alimentare il ransomware, ma qui l'operazione di accesso iniziale e l'operazione ransomware sembrano condividere persone e infrastruttura, collegando per la prima volta il furto massivo di credenziali FortiGate direttamente alla distribuzione di ransomware. SOCRadar ha registrato scansioni contro migliaia di portali Fortinet, accesso amministrativo confermato su centinaia di bersagli e il completamento dell'intera catena d'attacco — fino alla cifratura inclusa — su un insieme più ristretto, con almeno una dozzina di distribuzioni di ransomware attribuite a tale accesso.
Perché questo caso è importante?
Le violazioni dei dispositivi perimetrali non sono una novità e Fortinet ne ha superate diverse. Ciò che rende FortiBleed diverso è l'industrializzazione della pipeline: uno sniffer di raccolta credenziali che funziona su larga scala, una banda di broker che verifica e cataloga gli accessi validi e un passaggio dimostrato verso la negoziazione del ransomware. Trasforma un firewall in una porta d'ingresso ripetibile per il ransomware anziché in un'intrusione occasionale.
Fa crollare anche un'ipotesi rassicurante. Molti team equiparano «aggiornato» a «sicuro» sull'hardware di rete. Ma se le credenziali sono state intercettate mentre il dispositivo era esposto, aggiornare il firmware non fa nulla per le chiavi già in mano ad altri — e un account backdoor (i ricercatori hanno segnalato un utente persistente con un nome come adminin) può sopravvivere all'aggiornamento. L'unica risposta affidabile al furto di credenziali è la rotazione delle credenziali, non un salto di versione.
Cosa significa per i team software in Italia
Tolti i dettagli, restano tre implicazioni durature. La prima è che il perimetro è l'accesso iniziale, e l'accesso iniziale è ormai ransomware. Qualsiasi interfaccia di gestione o VPN esposta su Internet va trattata come un archivio di credenziali che un attaccante potrebbe aver già letto. La soluzione non è solo aggiornare, ma ruotare ogni credenziale su e dietro il dispositivo, imporre una MFA resistente al phishing e togliere le interfacce di gestione dall'Internet pubblico ovunque possibile.
La seconda è che una rete piatta trasforma una singola credenziale rubata in un blocco aziendale. FortiBleed è prezioso per le bande ransomware proprio perché l'accesso al perimetro concede così spesso un'ampia portata interna. I team nel FinTech e in altri settori regolamentati dovrebbero mettere in conto questo tipo di incidente quando definiscono gli obblighi GDPR, DORA o SOC 2: segmentazione della rete, accesso a privilegio minimo dietro il firewall ed egress monitorato sono ciò che trasforma un apparato perimetrale compromesso in un evento circoscritto anziché in una violazione completa e in un incidente ransomware da notificare.
La terza è che rilevamento e ripristino devono essere provati, non improvvisati. Quando il broker di accesso iniziale e l'operatore ransomware sono la stessa squadra, la finestra tra compromissione e cifratura può essere breve. Il monitoraggio degli accessi anomali sui piani VPN e di gestione, backup offline testati e un runbook di rotazione delle credenziali che avete effettivamente eseguito fanno la differenza tra una brutta settimana e una fatale per l'azienda. Questa postura è ordinaria igiene di un processo di rilascio sicuro, non paranoia.
Cosa fare ora
Ecco la versione operativa. Trattate FortiBleed come uno stimolo a irrobustire il modo in cui la vostra organizzazione espone e mette in sicurezza i dispositivi perimetrali, che usiate Fortinet o meno.
- Presumete la compromissione e ruotate. Per qualsiasi FortiGate esposto su Internet, ruotate le credenziali amministratore e VPN, gli account locali e ogni segreto transitato dal dispositivo; un aggiornamento del firmware da solo non annulla credenziali rubate.
- Cercate la persistenza. Esaminate gli account amministratore alla ricerca di utenti sconosciuti o backdoor (i ricercatori hanno segnalato un nome come
adminin) e verificate gli accessi VPN e di amministrazione alla ricerca di indirizzi sorgente anomali. - Togliete la gestione da Internet. Limitate le interfacce amministrative a reti fidate o a una VPN e imponete una MFA resistente al phishing sull'accesso remoto.
- Segmentate dietro il perimetro. Assicuratevi che un firewall compromesso non conceda un accesso piatto alla produzione; applicate il privilegio minimo all'interno del perimetro.
- Sorvegliate i movimenti laterali. Monitorate accessi anomali, nuovi account di servizio e traffico est-ovest che precederebbe una cifratura.
- Provate il ripristino. Mantenete backup offline testati e un runbook per ruotare le credenziali e isolare rapidamente i sistemi quando un dispositivo perimetrale è compromesso.
Nulla di tutto ciò è consulenza legale, e i vostri obblighi esatti dipendono dal settore e dalla giurisdizione. Ma il segnale strategico è chiaro: il confine tra «qualcuno ha letto le credenziali del nostro firewall» e «qualcuno ha cifrato la nostra rete» si è ridotto a un solo passaggio — e i team che ne escono indenni sono quelli che hanno ruotato le credenziali, segmentato le reti e tenuto a portata di mano un piano di ripristino provato.
Domande frequenti
Che cos'è la campagna FortiBleed?
FortiBleed è il nome che i ricercatori di sicurezza hanno dato a una campagna su larga scala che ha raccolto credenziali dai firewall Fortinet FortiGate esposti su Internet. Secondo la Threat Research Unit di SOCRadar, gli operatori hanno scansionato e preso di mira circa 430.000 dispositivi FortiGate in tutto il mondo, hanno tentato l'accesso con combinazioni di credenziali note e hanno poi distribuito uno sniffer di pacchetti su misura sui dispositivi compromessi per raccogliere passivamente le credenziali VPN e amministratore dal traffico di rete. Il risultato sono state credenziali amministratore valide e verificate per decine di migliaia di dispositivi in molti paesi.
In che modo FortiBleed è collegato al ransomware?
All'inizio di luglio 2026 SOCRadar ha riferito che un server Windows appartenente all'infrastruttura FortiBleed presentava sessioni di browser attive collegate ai pannelli di amministrazione e negoziazione delle operazioni ransomware INC Ransom e Lynx. È la prima volta che il furto massivo di credenziali FortiGate viene collegato direttamente alla distribuzione di ransomware: gli stessi operatori sembrano vendere o utilizzare l'accesso rubato al firewall come porta d'ingresso per successive intrusioni ransomware. SOCRadar ha registrato accesso amministrativo confermato su centinaia di bersagli e almeno una dozzina di distribuzioni di ransomware derivanti da tale accesso.
Quali gruppi ransomware sono coinvolti?
I ricercatori hanno collegato FortiBleed a INC Ransom, attivo dalla metà del 2023, e a Lynx, emerso a metà del 2024 e ampiamente ritenuto un rebranding di INC. Gli autori dietro FortiBleed sono descritti come un gruppo organizzato, di lingua russa, di circa 20 persone che operano principalmente come broker di accesso iniziale piuttosto che come operatori della cifratura.
Come fanno i team a sapere se il loro firewall FortiGate è interessato?
Considerate qualsiasi dispositivo FortiGate esposto su Internet come potenzialmente interessato. L'agenzia statunitense CISA ha invitato gli utenti Fortinet a mettere in sicurezza i dispositivi dopo la fuga; in Italia l'ACN e il CSIRT Italia pubblicano regolarmente bollettini relativi ai dispositivi Fortinet. I controlli pratici includono l'esame dei file di configurazione e degli account amministratore alla ricerca di utenti sconosciuti o backdoor (i ricercatori hanno segnalato un account persistente con un nome come adminin), l'audit degli accessi VPN e di amministrazione alla ricerca di indirizzi sorgente anomali e la conferma che il firmware sia completamente aggiornato. Poiché lo sniffer ha raccolto le credenziali passivamente, l'esposizione non è limitata a una singola CVE, quindi la rotazione delle credenziali va data per scontata, non discussa.
Cosa dovrebbero fare le organizzazioni per ridurre il rischio ransomware da credenziali di firewall rubate?
Ruotate le credenziali su e dietro qualsiasi firewall esposto, imponete un'autenticazione a più fattori resistente al phishing sugli accessi VPN e di amministrazione e rimuovete le interfacce di gestione dall'Internet pubblico dove possibile. Segmentate le reti in modo che un dispositivo perimetrale compromesso non conceda un accesso piatto alla produzione, monitorate accessi anomali e movimenti laterali e mantenete backup offline testati oltre a un runbook di risposta agli incidenti e rotazione delle credenziali effettivamente provato. Test di penetrazione e revisione della configurazione indipendenti aiutano a confermare che il perimetro non sia un singolo punto di guasto.
Fonti
The Hacker News — FortiBleed Credential Theft Linked to INC and Lynx Ransomware Operations
BleepingComputer — FortiBleed credential-theft campaign linked to Lynx ransomware
Dark Reading — FortiBleed Actors Collaborating With INC, Lynx Ransomware Gangs