Ci troviamo nuovamente a dover parlare di una fuga di dati, che come sappiamo è una delle minacce più riscontrate degli ultimi anni per via della “fame” degli hacker per i dati degli utenti della rete così come per le loro password. Queste informazioni ovviamente vengono poi sfruttate dai criminali per i motivi più disparati, come ad esempio far partire campagne mirate di phishing, furto d’identità, diffusione di malware e moltissime altre opportunità. Negli anni, purtroppo, abbiamo visto perdere dati e informazioni ad una lunga lista di aziende ed enti pubblici talvolta anche molto noti, ed è chiaro che quando la vittima ha un peso specifico molto alto nel suo settore gli effetti gravi si moltiplicano a dismisura. Il caso che prendiamo in esame in questo breve approfondimento riguarda proprio uno di questi soggetti, Fortinet, che si contraddistingue peraltro proprio nel mondo digitale.
Il mondo della cybersecurity è stato infatti scosso da una massiccia violazione dei dati denominata FortiBleed, un attacco che ha esposto le credenziali di accesso per oltre 73.000 dispositivi VPN e firewall Fortinet e Fortigate a livello globale. La scoperta, denunciata inizialmente dal ricercatore di sicurezza Bob Diachenko, ha portato alla luce un immenso server pubblico contenente dati importanti come nomi utente, email e password degli utenti delle VPN Fortigate e Fortinet. La portata dell’incidente è impressionante, poiché coinvolge più di 21.000 domini unici distribuiti in ben 194 Paesi. L’attacco ha preso di mira colossi industriali e multinazionali di primissimo piano in settori cruciali come le telecomunicazioni, i servizi finanziari, l’energia e la sanità, dimostrando ancora una volta la vulnerabilità delle infrastrutture perimetrali. Per dare una misura dell’entità delle vittime e per rimarcare il punto dell’introduzione di questo approfondimento, tra le aziende colpite ci sono colossi come Samsung, Mercedes e Toyota solo per citarne alcuni.
I dettagli tecnici emersi dalle indagini delineano un’operazione su scala industriale, condotta presumibilmente da un gruppo di minaccia di lingua russa. Non si è trattato dello sfruttamento di una vulnerabilità sconosciuta o di un classico exploit zero-day, bensì di una titanica campagna coordinata di credential stuffing e attacchi di tipo brute force. Gli attori malevoli hanno scagliato oltre un miliardo di tentativi di autenticazione su oltre trecentomila sistemi FortiGate, oltre a 2,1 miliardi di tentativi di accesso su sistemi Microsoft SQL Server. Per farlo, sono stati utilizzati complessi cluster di calcolo con decine di GPU per decifrare offline gli hash di autenticazione intercettati. La precisione chirurgica dell’operazione è testimoniata dal fatto che l’archivio includeva commenti dettagliati sul fatturato e sul numero di dipendenti delle aziende colpite, elementi fondamentali per pianificare successivi movimenti laterali e attacchi ransomware all’interno delle reti aziendali. Sui dati già certi, il ricercatore che ha denunciato il tutto ha anche spiegato che alcune organizzazioni estere sono state totalmente compromesse, in primis un’azienda basata in Turchia che lavora nel settore della difesa per la NATO, che ha subito il furto di documenti importantissimi.
Questo scenario internazionale ha trovato una drammatica e immediata sponda anche in Italia. Il CERT-AGID ha infatti confermato il coinvolgimento diretto di diversi enti della nostra Pubblica Amministrazione, i quali sono stati prontamente allertati tramite i canali istituzionali. La presenza di credenziali valide della PA italiana all’interno del leak rappresenta un pericolo imminente, non solo per i singoli uffici colpiti, ma per l’intero ecosistema digitale dello Stato. La facilità con cui gli attaccanti possono sfruttare questi accessi per infiltrarsi nei domini interni e nei sistemi mette a serio rischio la riservatezza dei dati dei cittadini e la continuità dei servizi pubblici essenziali.
Per arginare i potenziali danni di FortiBleed, le autorità di sicurezza e gli esperti di CERT-AgID raccomandano alle PA che utilizzano i sistemi FortiGate un’azione tempestiva e straordinaria che va ben oltre il semplice aggiornamento del software. È diventato imperativo per tutte le organizzazioni e le amministrazioni pubbliche forzare la rotazione immediata delle password e, soprattutto, implementare l’autenticazione a più fattori (MFA) su qualsiasi punto di accesso remoto. Parallelamente, è necessario analizzare a fondo i log di autenticazione alla ricerca di accessi anomali e, dove possibile, isolare le interfacce di gestione dei firewall affinché non siano visibili direttamente sul web, limitandone l’accesso solo a indirizzi IP strettamente autorizzati.
L’intera vicenda legata a FortiBleed offre una profonda riflessione sulla natura stessa della difesa perimetrale nell’era moderna. Per anni abbiamo considerato i firewall e le reti VPN come i guardiani indiscussi e invalicabili dei nostri dati, ma questo incidente dimostra che persino i sistemi di protezione più robusti diventano inutili se le chiavi d’accesso vengono lasciate incustodite o se i canali di gestione rimangono esposti a Internet senza filtri adeguati. La cybersecurity non può più essere vista come una serie di barriere statiche da installare e dimenticare, ma deve trasformarsi in un processo dinamico basato sul monitoraggio continuo e sulla consapevolezza che la sicurezza delle credenziali è l’anello fondamentale della catena. Solo abbandonando la falsa sensazione di invulnerabilità e adottando un approccio di controllo rigoroso e proattivo potremo sperare di proteggere le nostre infrastrutture critiche dalle minacce come quelle appena raccontate o da quelle ancora peggiori.
