Des dizaines de milliers de pare-feu Fortinet auraient été piratés : nouveau choc pour la sécurité des entreprises

Selon TechCrunch, des cybercriminels affirment avoir compromis des dizaines de milliers de pare-feu Fortinet utilisés par de grandes entreprises dans le monde. La revendication est apparue sur un forum clandestin ; si elle est confirmée, l'incident comptera parmi les plus grandes violations de sécurité d'entreprise de ces dernières années.

Fortinet figure, avec Cisco et Palo Alto Networks, dans le trio de tête du marché des pare-feu d'entreprise. Ses gammes matérielles FortiGate sont déployées dans un large éventail d'organisations, des banques aux universités en passant par les administrations et les groupes audiovisuels. Le dernier rapport de l'entreprise fait état de plus de 700 000 équipements actifs dans le monde.

La revendication provient d'un acteur se présentant comme le « Belsen Group » sur le forum clandestin. Le groupe affirme avoir exploité une vulnérabilité de certaines versions du système d'exploitation FortiOS pour extraire des identifiants de 87 000 équipements. Un fichier échantillon diffusé inclut des adresses IP, des noms d'utilisateur administrateur et des données de configuration VPN.

Fortinet a déclaré à TechCrunch qu'il « examine les signalements et contacte les clients concernés ». L'entreprise précise que la fuite pourrait être liée à un CVE corrigé en 2024, ce qui signifie que les équipements non mis à jour sont à risque. Il n'est pas encore clair si des équipements à jour ont également été touchés.

Les experts estiment que, si la violation est confirmée, l'impact ne se limitera pas à une perte de données. Un pare-feu se trouve généralement au point d'entrée du réseau ; un pare-feu compromis peut servir de tremplin vers les serveurs internes, la messagerie et les bases de données. C'est cette deuxième vague qui rend la situation dangereuse.

L'agence américaine CISA a appelé les administrations fédérales à auditer immédiatement leurs équipements FortiGate et à examiner les journaux à la recherche d'activités suspectes. Elle relève que les versions concernées sont largement déployées dans les réseaux fédéraux et qu'une attaque consécutive aurait une portée de sécurité nationale.

Le chercheur en sécurité Brian Krebs écrit sur son blog : « La stratégie des attaquants évolue ; ils volaient et vendaient des données, ils vendent désormais des accès. » Krebs indique que le Belsen Group demande 2 000 000 de dollars pour l'ensemble des 87 000 équipements ; les acheteurs potentiels peuvent inclure des groupes de cyberespionnage, des équipes de rançongiciel ou des acteurs liés à des États.

L'action Fortinet a perdu 7,4 % sur le marché américain après l'annonce. Les analystes estiment que l'incident peut endommager à long terme la confiance des clients. Les actions Cisco et Palo Alto Networks ont clôturé en hausse, portées par des espoirs de gains de parts de marché. Le chiffre d'affaires trimestriel de mai de Fortinet s'établissait à 1,68 milliard de dollars.

L'incident pousse aussi les clients à revoir leurs manuels de sécurité. Beaucoup d'organisations s'orientent vers des stratégies « multi-éditeurs » pour réduire le risque d'un fournisseur unique. L'arbitrage entre les bénéfices de coût d'un même fournisseur pour pare-feu, antivirus, filtrage e-mail et protection des terminaux et le risque consolidé est de nouveau d'actualité.

Les experts listent les démarches immédiates pour toute organisation susceptible d'être concernée : mettre à jour les équipements à la dernière version ; renouveler tous les mots de passe administrateurs ; partager les journaux des trois derniers mois avec des analystes indépendants ; renouveler les certificats VPN ; envisager un retour à une configuration saine connue. L'ampleur réelle de l'incident se précisera dans les jours à venir.