Para quién es esto: para cualquier persona que gestione FortiGate (el dispositivo de cortafuegos y VPN de Fortinet) internamente o que lo tenga gestionado por un contratista. Esta página se basa en información pública de Fortinet, CISA, JPCERT/CC, la CSA de Singapur, el FBI y el Servicio Secreto de EE. UU. No explica cómo funcionan los ataques ni enumera direcciones IP de atacantes.
続報待ち：この記事は公式発表に合わせて更新します
A 26 de octubre de 2026 (JST)まだ分かっていないこと
- Cómo se obtuvieron inicialmente las credenciales (Fortinet lo atribuye a la reutilización de incidentes anteriores y a ataques de fuerza bruta)
- Cuántas organizaciones de Japón se vieron afectadas, y cuáles
- Progreso del contacto directo de Fortinet con los clientes
CISA publicó el 18 de junio, Fortinet el 19 de junio y JPCERT/CC el 23 de junio. El 6 de octubre, el FBI y el Servicio Secreto de EE. UU. advirtieron de que los ataques continúan. Actualizaremos esta página cuando se publique nueva información.
Qué hacer hoy
Cierre las sesiones de administración y VPN, y después cambie las contraseñas
Termine todas las sesiones activas de administración y de SSL VPN. Después cambie todas las contraseñas de administrador y de VPN, especialmente en los dispositivos expuestos a internet (Fortinet, CISA, FBI). Si la misma contraseña se usó en otros servicios, cámbiela también en ellos (recomendación de este sitio).
Exija la autenticación multifactor
Active la autenticación multifactor en todas las cuentas de administrador y de VPN. CISA y el FBI piden métodos resistentes al phishing (las llaves de acceso y las llaves de seguridad de hardware cumplen este requisito). Consulte Elegir bien el MFA para saber cómo elegir.
Retire la interfaz de gestión de internet
El FBI enumera tres niveles: restringir el acceso a equipos de confianza (bien), restringirlo con una política local-in (mejor) o eliminar por completo la administración desde internet (lo mejor). Apunte al mejor nivel.
Actualice el firmware y conserve solo PBKDF2
Fortinet recomienda la última versión 7.4, 7.6 u 8.0. PBKDF2 (un método de almacenamiento de contraseñas lento de descifrar) está disponible desde las versiones 7.2.11, 7.4.8 y 7.6.1. Un cambio de contraseña sigue dejando una copia heredada en SHA-256 en la configuración, así que elimínela siguiendo la guía técnica de Fortinet. La sección siguiente explica cómo hacerlo.
Revise la configuración y las cuentas
Compare la configuración con una copia de referencia correcta y busque cuentas de administrador, usuarios de VPN y cambios desconocidos. Fortinet pide vigilar las cuentas con nombres que imiten a su soporte (por ejemplo, forticloud). El FBI también pide revisar las claves de la API REST y eliminar las que no reconozca.
Revise los registros
Compruebe los inicios de sesión de administración, las exportaciones de configuración y los orígenes de los inicios de sesión de VPN. Si FortiGate está conectado a Active Directory o LDAP, considere comprometida la cuenta de integración y revise también los registros del controlador de dominio (Fortinet, JPCERT/CC). Si algo parece anómalo, aísle el dispositivo, conserve los registros y póngase en contacto con el soporte de Fortinet o con su CERT nacional.
¿Está afectado? Una comprobación rápida
| Situación | Evaluación de este sitio |
|---|---|
| La interfaz de gestión de FortiGate o la SSL VPN son accesibles desde internet | Considere que está afectado y haga todos los pasos anteriores |
| El firmware ya está en una versión corregida | Las contraseñas deben cambiarse igualmente (las credenciales se filtraron) |
| Ejecuta una versión anterior a 7.2.11, 7.4.8 o 7.6.1 | PBKDF2 no está disponible; planifique una actualización a 7.4 o posterior |
| Una herramienta de consulta no le encontró | No lo tome como una garantía (los registros hechos por contratistas pueden no aparecer con su dominio) |
| Un contratista gestiona el dispositivo | Confirme con él que las contraseñas se cambiaron, que el MFA está activado y que se revisaron los registros |
| Tiene VPN site-to-site con otras empresas | Considere el impacto si la otra parte está comprometida (JPCERT/CC) |
Qué ocurrió (según organismos públicos y Fortinet)
18 de junio de 2026
CISA instó a las organizaciones a reforzar los dispositivos Fortinet, citando informes globales de que se habían filtrado credenciales asociadas a unos 74.000 dispositivos Fortinet (cortafuegos y puertas de enlace VPN). El 22 de junio añadió un enlace a la guía de Fortinet.19 de junio de 2026
Fortinet publicó su análisis. Afirmó que no es una vulnerabilidad nueva y que la actividad probablemente implica la reutilización de credenciales de incidentes anteriores y ataques de fuerza bruta contra dispositivos con contraseñas débiles y sin MFA. Dijo que se estaba poniendo en contacto con los clientes potencialmente afectados.22 de junio de 2026
La Cyber Security Agency (CSA) de Singapur advirtió de que se habían filtrado credenciales de más de 70.000 dispositivos FortiGate.23 de junio de 2026
JPCERT/CC emitió una alerta (JPCERT-AT-2026-0019) en la que afirmaba haber confirmado que los datos incluyen información relacionada con empresas japonesas.6 de octubre de 2026
El FBI y el Servicio Secreto de EE. UU. publicaron un aviso conjunto (JCSA-20261006-01): la actividad continúa, algunos administradores han quedado bloqueados y el acceso se ha utilizado como punto de entrada para ransomware.
- Tipo
- Credenciales filtradas e inicios de sesión que las utilizan. Sin CVE nuevo (Fortinet afirma que no es una vulnerabilidad nueva)
- Objetivos
- Cortafuegos FortiGate y puertas de enlace SSL VPN expuestos a internet
- Alcance
- CISA: unos 74.000 dispositivos. El FBI y JPCERT/CC citan un recuento de una empresa privada de seguridad de más de 86.644 dispositivos en 194 países
- Postura de Fortinet
- No es una vulnerabilidad nueva. Reutilización de credenciales de incidentes anteriores (avisos de Fortinet FG-IR-26-060 y FG-IR-25-647) más ataques de fuerza bruta
- Descripción del FBI
- Inicios de sesión con credenciales filtradas y registros de infostealers, descifrado sin conexión de hashes de contraseñas obtenidos de dispositivos, y nuevas cuentas de administrador creadas para mantener el acceso
- Japón
- JPCERT/CC confirmó que los datos incluyen información relacionada con empresas japonesas
Los dos avisos que Fortinet cita como incidentes anteriores cubren fallos de omisión de autenticación en el inicio de sesión único de FortiCloud (FG-IR-25-647: CVE-2025-59718 y CVE-2025-59719; FG-IR-26-060: CVE-2026-24858). Se sabe que ambos han sido explotados. Fortinet pide a los clientes que confirmen que los pasos de corrección de esos avisos están completos. Para FortiOS, FG-IR-26-060 está corregido en las versiones 7.6.6, 7.4.11, 7.2.13 y 7.0.19.
Por qué actualizar no lo resuelve
Este es el punto que este sitio más quiere destacar. Corregir una vulnerabilidad suele terminar con la instalación de la versión corregida, pero aquí lo que se ha filtrado son las propias contraseñas. Si se obtuvieron archivos de configuración o credenciales mientras un fallo anterior seguía abierto, esas contraseñas siguen funcionando después de actualizar.
JPCERT/CC explica que los archivos de configuración de FortiGate contienen hashes de las contraseñas de administrador (valores transformados para que no puedan revertirse directamente), por lo que, si se obtuvo un archivo de configuración, las contraseñas pueden descifrarse sin conexión sin acceder al dispositivo. El FBI afirma asimismo que la reutilización de credenciales y el almacenamiento heredado en SHA-256 permitieron a los atacantes recopilar y descifrar datos de autenticación a gran escala.
No es suficiente
- Firmware actualizado, pero las contraseñas no han cambiado
- Contraseñas cambiadas, pero las copias heredadas permanecen
- Sin MFA, y la interfaz de gestión abierta a internet
- FortiGate corregido, pero no se revisó el Active Directory conectado
Haga esto
- Cambie las contraseñas de todas las cuentas de administrador, VPN e integración
- Elimine las copias heredadas para que solo quede PBKDF2
- Exija MFA y cierre la interfaz de gestión
- Revise cuentas, claves de API y registros
1. Se filtran las credenciales
Incidentes anteriores, reutilización, fuerza bruta
2. Inicio de sesión en administración o VPN
Detener: MFA, cerrar la interfaz de gestión
3. Movimiento interno
Detener: revisar cuentas y registros, revisar la integración con AD
Eliminar las copias heredadas de contraseñas (conservando solo PBKDF2)
Según la guía técnica de Fortinet, PBKDF2 está disponible desde las versiones 7.2.11, 7.4.8 y 7.6.1. Las versiones anteriores almacenan SHA-256. Tras una actualización, la contraseña de cada administrador permanece en SHA-256 hasta que ese administrador inicie sesión una vez.
Además, incluso después de cambiar una contraseña, el hash SHA-256 anterior se conserva por compatibilidad con versiones anteriores en un campo oculto (old-password) de la configuración. Iniciar sesión no lo elimina. Para eliminarlo, después de que todos los administradores hayan iniciado sesión en la nueva versión (y los administradores que no lo hayan hecho hayan tenido sus contraseñas cambiadas), active la configuración de la guía de Fortinet (login-lockout-upon-weaker-encryption en 7.6 y posteriores, login-lockout-upon-downgrade en 7.2 y 7.4).
Compruebe antes de activarlo
La guía de Fortinet indica que, tras activar esta configuración, volver a una versión sin soporte de PBKDF2 bloquea a los administradores. Actívela solo después de que todos los administradores hayan iniciado sesión o hayan cambiado su contraseña, y cuando no tenga previsto volver a una versión anterior.
Para saber en qué se diferencian los métodos de almacenamiento de contraseñas, consulte ¿Qué es el hash de contraseñas?.
Si está bloqueado o sospecha de un compromiso
El FBI describe casos en los que los atacantes crearon nuevas cuentas de administrador y después eliminaron las cuentas de administrador originales o cambiaron sus contraseñas, dejando fuera a los propietarios. Un simple restablecimiento de contraseña no basta para recuperarse de eso.
Si se sospecha un compromiso, el FBI pide a las organizaciones que aíslen el dispositivo y recopilen registros, configuración y otros datos antes de actuar. Fortinet indica que se trate el dispositivo como comprometido y que se siga su guía de recuperación. La CSA de Singapur sugiere considerar un restablecimiento de fábrica si se sospecha persistencia, pero solo después de recopilar primero los datos, porque un restablecimiento los destruye.
Para saber qué ocurre cuando esto deriva en ransomware, consulte ¿Qué es el ransomware?. Para defender en general los dispositivos VPN, consulte Cómo defender los dispositivos VPN y el acceso remoto.
Lo que aún se desconoce
| Elemento | Estado |
|---|---|
| Si es una vulnerabilidad nueva | No es una vulnerabilidad nueva (Fortinet) |
| Si los ataques continúan | Continúan (FBI y Servicio Secreto de EE. UU., 6 de octubre) |
| Cómo se obtuvieron inicialmente las credenciales | Fortinet lo atribuye a la reutilización de incidentes anteriores y a ataques de fuerza bruta; no está totalmente establecido |
| Si los datos filtrados siguen siendo utilizables | JPCERT/CC indica que algunos investigadores señalan que podrían incluir credenciales que siguen siendo válidas, y que no deben tratarse solo como datos antiguos recirculados |
| Organizaciones japonesas afectadas | Confirmado que están incluidas (JPCERT/CC); número y nombres no publicados |
| Número de incidentes resultantes (ransomware y otros) | No publicado |
Ni los organismos públicos ni Fortinet han nombrado a las organizaciones afectadas. Este sitio no especula sobre organizaciones concretas.
Fuentes
- Fortinet PSIRT, "Analysis of Reported Credential Compromise of FortiGate Devices" (19 de junio de 2026) — fortinet.com
- Fortinet, "Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later" — community.fortinet.com
- Fortinet, "FG-IR-26-060" (CVE-2026-24858) — fortiguard.com / "FG-IR-25-647" (CVE-2025-59718, CVE-2025-59719) — fortiguard.com
- CISA, "CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure" (18 de junio de 2026, revisado el 22 de junio) — cisa.gov
- JPCERT/CC, alerta sobre credenciales filtradas relacionadas con productos Fortinet (JPCERT-AT-2026-0019, 23 de junio de 2026, en japonés) — jpcert.or.jp
- CSA de Singapur, "Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")" (AD-2026-007, 22 de junio de 2026) — csa.gov.sg
- FBI y Servicio Secreto de EE. UU., "FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts" (JCSA-20261006-01, 6 de octubre de 2026) — ic3.gov
Registro de cambios
2026-10-26: Primera versión, basada en publicaciones de Fortinet, CISA, JPCERT/CC, la CSA de Singapur, el FBI y el Servicio Secreto de EE. UU.
Lea a continuación
- Defensa de dispositivos expuestos: Cómo defender los dispositivos VPN y el acceso remoto
- Fallos de dispositivos perimetrales explotados en la misma época: Vulnerabilidades explotadas en dispositivos perimetrales, mediados de octubre de 2026
- Tendencias: Las brechas de 2026 se basan más en credenciales válidas que en vulnerabilidades
- MFA: Elegir bien el MFA
- Términos: ¿Qué es el hash de contraseñas? / ¿Qué es el ransomware?