Hai letto della campagna FortiBleed? Se ti è sfuggita ci arriviamo fra un attimo. Questa volta non ho un cliente da raccontarti, quindi proviamo a immaginare la scena. Lunedì mattina, il capannone in una zona industriale in provincia, la fresca sala server accanto all’ufficio. Nel rack il firewall lampeggia regolare come ha fatto per sei anni, nessuna lucina rossa, nessun alert in casella, nessuna riga strana nei registri. È esattamente la scena perfetta in cui la sicurezza firewall aziendale sembra una casella già spuntata. Eppure, in quel momento, qualcuno entra ed esce da quella rete e lo sta facendo da mesi usando le credenziali giuste. E il paradosso, per chi si occupa di sicurezza, è che non c’è niente di rotto da riparare.
Sicurezza firewall aziendale: non è stato bucato niente
La campagna si chiama FortiBleed e il suo bilancio è stato reso pubblico a inizio luglio. I numeri e il metodo sono impressionanti: le password di admin del firewall sono state verificate una per una, quasi settantaquattromila firewall colpiti in centonovantaquattro paesi, e oltre ventunmila domini aziendali. Uno dei ricercatori che le ha esaminate ha provato alcuni di quegli accessi e ha confermato che erano autentici.
La domanda che si fa chiunque gestisca una rete, arrivato a questo punto, è sempre la stessa: come si fa a indovinare la password di settantamila apparati? La risposta è che non l’hanno indovinata. Gli analisti che hanno ricostruito l’operazione non hanno trovato traccia di una falla sfruttata, né di una tecnica nuova. Gli attaccanti avevano già le password, prese altrove, e le hanno semplicemente provate: circa un miliardo e centosessanta milioni di tentativi contro trecentoventimila firewall, con strumenti automatici che girano giorno e notte e tengono da parte solo quelle che funzionano. Il materiale di partenza, del resto, circola da anni. Nel gennaio del 2025 un gruppo aveva pubblicato gratuitamente le configurazioni complete e le credenziali di accesso remoto di oltre quindicimila apparati Fortinet, bottino di una vulnerabilità del 2022. Chi non ha cambiato quelle credenziali di accesso dopo quella pubblicazione è come chi perde le chiavi di casa e non cambia il nottolino.
L’impronta della password, ricostruita con calma altrove
C’è un secondo passaggio, e secondo me è il più istruttivo. Quando qualcuno si autentica su un accesso remoto aziendale, la password non viaggia in chiaro: viene trasmessa una sua impronta, un codice che la rappresenta senza rivelarla. Gli attaccanti hanno intercettato quelle impronte e le hanno ricostruite con un gruppo di quarantacinque schede grafiche coordinate da un software di calcolo distribuito, lo stesso tipo di hardware che si usa per la grafica tridimensionale.
Il dettaglio che conta per chi ha in mano una rete è dove è avvenuto quel lavoro: non sul firewall dell’azienda, ma sui computer degli attaccanti. Sul nostro apparato c’è il blocco dopo cinque tentativi sbagliati, ci sono i contatori, gli allarmi, i registri da leggere. Sul loro non c’è nulla di tutto questo: hanno tempo illimitato e nessuno che guardi. Quando tornano, arrivano con la password corretta al primo colpo, e quella sessione nei nostri registri risulta pulita, perché tecnicamente è entrata dalla porta giusta e nel modo giusto. Da lì si passa al registro centrale degli utenti Windows, e chi controlla quello controlla i file, la posta e i backup dell’azienda.
Sicurezza firewall aziendale: il guardiano messo a fare la spia
Su circa dodicimila di quegli apparati violati, gli attaccanti hanno fatto una cosa che trovo quasi elegante, nel senso peggiore del termine. Non hanno installato un programma: hanno acceso uno strumento che il firewall ha già di serie, il comando di diagnostica con cui qualunque tecnico legge il traffico di rete quando deve capire perché una cosa non funziona. Da quel momento il firewall ha ascoltato in silenzio ogni autenticazione che gli passava davanti, su un paio di dozzine di protocolli diversi, e l’ha spedita fuori. Centodieci milioni di credenziali raccolte così, mentre l’apparato continuava a fare regolarmente il suo lavoro di guardiano.
Poi è arrivata la parte commerciale. I ricercatori hanno trovato un operatore collegato all’infrastruttura di FortiBleed dentro i pannelli di trattativa di due gruppi ransomware attivi da anni, INC e Lynx: è la prima volta che il furto di credenziali su questa scala viene legato in modo documentato a estorsioni vere. Trecentocinquantaquattro organizzazioni hanno visto la catena arrivare fino in fondo, e per almeno una dozzina si è chiusa con il ransomware. Ed è qui che il nostro modo di ragionare non regge più: non esiste una patch per un comando legittimo, e aggiornare il firmware non toglie a nessuno le credenziali che ha già in tasca.
Cosa si fa, concretamente
Nulla di esotico, e proprio per questo vale la pena dirlo. Se in azienda c’è un firewall collegato a internet, e ce l’hanno tutti, questi sono i quattro controlli da fare subito, non il mese prossimo.
- Cambiare le password di amministrazione. Tutte, non solo quella dell’account principale: anche l’utenza con cui il firewall interroga la rubrica aziendale, i token dei collegamenti automatici e i certificati. Se erano già in circolazione, aggiornare il firmware non le disattiva.
- Accendere la 2FA (doppio fattore di autenticazione) sull’accesso amministrativo e su ogni utente della VPN. È la sola misura che rende inutile una password rubata.
- Verificare chi ha i permessi di amministratore. Quante utenze hanno pieni poteri sul firewall, a chi appartengono, e quali sono rimaste in piedi da fornitori o consulenti che non lavorano più con voi.
- Disabilitare la gestione del firewall da internet. La gestione del firewall deve essere possibile solo dalla rete interna o attraverso un accesso remoto controllato.
Sono le prime cose che verifichiamo quando prendiamo in carico la sicurezza firewall aziendale di un cliente nuovo, e raramente sono tutte a posto.
Non è una questione di marchio, e sarebbe disonesto raccontarla così. L’ho scritto qualche settimana fa parlando degli accessi remoti lasciati esposti, e vale ancora: quando un apparato si mette di guardia fra internet e la rete aziendale, prima o poi qualcuno proverà a violarlo. La differenza non la fa la scatola nel rack, la fa chi la configura, chi ne cambia le chiavi quando serve e chi controlla chi le ha in mano.
La lezione
Un varco di sicurezza in aeroporto, con poliziotti e metal detector, funziona perché controlla e poi lascia passare. Se però il poliziotto si tenesse una copia del documento di ogni passeggero, continuerebbe a sembrare perfettamente efficiente: la fila scorre, il metal detector suona quando deve, l’addetto sorride e ci fa cenno di andare. Il danno non è nel controllo che fallisce, è nel controllo che intanto colleziona dati. Quello che possiamo imparare da FortiBleed è che la sicurezza firewall aziendale non si misura sul fatto che l’apparato funzioni, ma su quanto sappiamo di chi ci entra e di cosa ci esce.
Tre domande, e servono tre risposte pronte: chi ha le credenziali di amministrazione del vostro firewall, è attiva la 2FA e quando sono state cambiate l’ultima volta. Se manca una delle tre, parliamone.
🧩 Kaos Informatica ti può aiutare
Se vuoi, Kaos Informatica può aiutare la tua azienda a:
✅ Ruotare le credenziali di amministrazione dei vostri apparati
✅ Attivare il doppio fattore su ogni accesso remoto
✅ Verificare chi ha ancora i permessi di amministratore
Contattaci e parliamone insieme
