Plus de 600 dispositifs FortiGate compromis dans une cyberattaque mondiale

Plus de 600 dispositifs FortiGate ont été compromis dans plus de 55 pays entre le 11 janvier et le 18 février 2026, selon un récent rapport d’Amazon Threat Intelligence. Cette attaque, qui se caractérise par son approche axée sur l’exploitation de mots de passe faibles exposés sur internet, met en lumière une menace croissante dans le domaine de la cybersécurité, où des acteurs motivés économiquement utilisent des outils d’intelligence artificielle pour mener des campagnes de cyberattaques à une échelle qui nécessitait auparavant une équipe plus grande et spécialisée.

À la conquête de l’objectif le plus faible

L’attaquant s’est concentré sur l’exploitation des interfaces de gestion de FortiGate, réalisant des scans systématiques sur différents ports pour identifier des dispositifs avec des identifiants uniques ou réutilisés. Une fois qu’ils ont obtenu l’accès aux fichiers de configuration, qui comprenaient des identifiants d’utilisateur SSL-VPN et des données de réseaux internes, ils ont utilisé des scripts alimentés par l’intelligence artificielle pour organiser et déchiffrer les informations. Cette approche opportuniste s’est manifestée dans la manière dont le acteur a attaqué plusieurs dispositifs appartenant à la même entité, ce qui suggère une planification méthodique, bien que non spécifique aux secteurs industriels.

Malgré l’ampleur de l’attaque, il a été observé que le perpetrateur a montré des limitations dans ses compétences, abandonnant les objectifs avec des défenses efficaces. Cela indique que, bien que la technique de l’intelligence artificielle ait transformé le paysage de la cybercriminalité, la complexité technique reste un défi. Amazon avertit que les organisations disposant de dispositifs FortiGate doivent agir d’urgence, en supprimant les interfaces d’administration exposées et en appliquant une authentification multifactorielle pour atténuer les risques potentiels.

Il est recommandé d’auditer les activités d’Active Directory et de rester attentif aux modèles d’authentification inhabituels qui pourraient indiquer des tentatives de mouvements latéraux dans des réseaux compromis. Dans ce sens, l‘utilisation d’outils open source par l’acteur menace l’infrastructure critique, et les entreprises doivent intensifier leurs mesures de sécurité pour protéger leurs systèmes.