Breșă masivă la Fortinet: instituții cheie din România, în vizorul hackerilor
Infrastructura digitală a României se confruntă cu o amenințare de proporții, după ce echipamente de securitate cibernetică în valoare de zeci de milioane de euro, achiziționate de Serviciul de Telecomunicații Speciale și serviciile secrete, au fost vizate de o campanie amplă de compromitere. În timp ce zeci de mii de date de conectare au ajuns să fie comercializate pe piața neagră a internetului, compania producătoare Fortinet evită să clarifice dacă a avertizat autoritățile de la București cu privire la amploarea incidentului.
O campanie complexă de colectare ilicită a credențialelor a lovit la nivel global infrastructurile protejate prin echipamente furnizate de Fortinet și Palo Alto Networks . Printre țările direct expuse se numără și România, stat ale cărui structuri esențiale – de la Serviciul de Telecomunicații Speciale (STS) și agențiile de informații până la ministere, companii din domeniul energiei și administrații locale – utilizează pe scară largă tehnologiile FortiGate și FortiWeb.
Deși dimensiunea exactă a daunelor din sectorul public și privat autohton rămâne deocamdată necuantificată, datele de acces către numeroase servere și calculatoare continuă să fie tranzacționate pe dark web. Până la acest moment, STS nu a oferit un punct de vedere oficial referitor la stadiul investigațiilor sau la măsurile luate.
Opt luni de infiltrare și peste 70.000 de credențiale compromise
Operațiunea cibernetică s-a derulat pe o perioadă de aproape opt luni, între 22 octombrie 2025 și 9 iulie 2026. Conform unui raport obținut de publicația DeFapt.ro, entitatea din spatele atacurilor – identificată sub indicativul „k0t” – a reușit să extragă peste 70.000 de perechi de nume de utilizator și parole, alături de alte date esențiale pentru pătrunderea în rețele interne. Lista țintelor însumează rețele militare, guvernamentale și companii private din aproximativ 70 de state.
Specialiștii au identificat vectori multipli de atac în produsele companiei americane. La nivelul soluției FortiWeb, utilizată pentru securizarea platformelor online, a fost exploatată vulnerabilitatea CVE-2025-64446, care oferă atacatorilor posibilitatea de a rula comenzi administrative ocolind mecanismele standard de autentificare.
În paralel, pe dispozitivele de tip FortiGate au fost derulate atacuri automate de forță brută (brute-force). Scriptul folosit aplica o pauză de circa 60 de secunde în cazul blocării temporare, după care relua încercările. Odată obținut accesul administrativ, atacatorii au descărcat fișierele de configurare ale echipamentelor – documente vitale care conțin arhitectura internă și secretele de conectare cu alte sisteme. Aceste informații au fost ulterior decriptate offline prin utilizarea cheii FortiOS implicite, mecanism asociat cu vulnerabilitatea istorică CVE-2019-6693.
Pericolul era cunoscut la nivel național încă de la finele anului trecut, când Directoratul Național de Securitate Cibernetică (DNSC) a emis o alertă legată de vulnerabilitățile critice din soluțiile Fortinet, fără a detalia însă lista entităților publice expuse.
Răspunsul companiei și istoricul controversat
Întrebat dacă a notificat oficial clienții strategici din România – precum STS, serviciile secrete sau instituțiile bancare – despre compromiterea credențialelor, directorul regional al Fortinet, Adrian Danciu, a evitat să răspundă, declinând și clarificările legate de închiderea porților de acces folosite de atacatori. Solicitările au fost redirecționate către structura centrală de comunicare.
Din partea companiei, reprezentanta Debi Christie North a transmis o poziție raportată la informările autorităților federale din Statele Unite:
„Fortinet este la curent cu avertizarea comună emisă de FBI și US Secret Service privind campania în curs de compromitere a credențialelor care vizează dispozitivele FortiGate expuse la internet – o situație pe care o monitorizăm activ încă de la anunțul nostru inițial din 19 iunie. Această activitate nu implică nicio vulnerabilitate nouă sau necorectată a produselor Fortinet. Avertizarea reflectă recomandările pe care Fortinet le-a transmis deja clienților”
— Debi Christie North, reprezentantă a departamentului de comunicare Fortinet
Nu este pentru prima dată când securitatea soluțiilor Fortinet este pusă sub semnul întrebării. Între 2016 și 2019, specialiștii independenți au depistat o cheie ascunsă („magic string”) în sistemul de operare FortiOS, care permitea preluarea controlului ca administrator prin protocolul SSH – situație catalogată de producător drept o eroare de testare, dar percepută în piață ca un potențial backdoor guvernamental.
Mai mult, rapoarte ale Serviciului de Informații Militare din Olanda au demonstrat anterior că grupări afiliate statului chinez au instalat uși din spate persistente pe zeci de mii de dispozitive FortiGate înainte ca breșele să fie declarate deschis. Compania a fost acuzată și de practica remediilor discrete („silent patching”), rezolvând lacune critice prin actualizări fără a alerta public utilizatorii asupra riscurilor iminente.
Cine este „k0t”, brokerul din umbra atacului
Profilul atacatorului conturat de experți indică o motivație preponderent financiară. „k0t” este monitorizat drept un potențial intermediar de acces inițial (initial access broker) sau afiliat conectat la grupări cunoscute de ransomware, cum ar fi Qilin sau Gentelmen. Acesta achiziționează instrumente de exploatare pentru a sparge dispozitive expuse sau configurate incorect, vizând ulterior compromiterea serverelor Active Directory ale victimelor.
Deși datele colectate nu apar la vedere pe forumurile uzuale de criminalitate informatică, specialiștii avertizează că accesul în rețelele compromise este valorificat prin circuite private sau direct prin tentative individuale de șantaj.
Explorează subiectele:
