Más de 600 dispositivos FortiGate comprometidos en un ciberataque global

Más de 600 dispositivos FortiGate han sido comprometidos en más de 55 países entre el 11 de enero y el 18 de febrero de 2026, según un reciente informe de Amazon Threat Intelligence.

Este ataque, que se caracteriza por su enfoque en la explotación de credenciales débiles expuestas en internet, resalta una creciente amenaza en el ámbito de la ciberseguridad, donde actores motivados económicamente utilizan herramientas de inteligencia artificial para llevar a cabo campañas de ciberataques a una escala que antes requería de un equipo más grande y especializado.

A por el objetivo más débil

El atacante se centró en la explotación de interfaces de gestión de FortiGate, realizando escaneos sistemáticos en diferentes puertos para identificar dispositivos con credenciales únicas o reutilizadas.

Una vez que obtuvieron acceso a los archivos de configuración, que incluían credenciales de usuario SSL-VPN y datos de redes internas, utilizaron scripts impulsados por inteligencia artificial para organizar y descifrar la información. Este enfoque oportunista se evidenció en la forma en que el actor atacó múltiples dispositivos pertenecientes a la misma entidad, lo que sugiere una planificación metódica, aunque no específica para sectores industriales.

A pesar de la magnitud del ataque, se observó que el perpetrador mostró limitaciones en sus habilidades, abandonando los objetivos con defensas efectivas. Esto indica que, aunque la técnica de la inteligencia artificial ha transformado el panorama del cibercrimen, la complejidad técnica sigue siendo un desafío.

Amazon advierte que las organizaciones con dispositivos FortiGate deben actuar con urgencia, eliminando las interfaces de administración expuestas y aplicando autenticación multifactor para mitigar riesgos potenciales.

Se recomienda auditar las actividades de Active Directory y estar atentos a patrones de autentificación inusuales que puedan indicar intentos de movimientos laterales en redes comprometidas. En este sentido, el uso de herramientas de código abierto por parte del actor amenaza la infraestructura crítica, y las empresas deben intensificar sus medidas de seguridad para proteger sus sistemas.