Ascultă articolul
Nu ai timp să citești? Ascultă versiunea audio.
Breșa Fortinet a ajuns în atenția publicului românesc după o investigație DeFapt.ro, care plasează România printre cele 70 de state vizate de hackeri. Sursele consultate nu spun însă care instituții românești au fost efectiv compromise.
Ce susține investigația despre instituțiile românești
Potrivit raportului obținut de DeFapt.ro, hackerul sau gruparea „k0t” a extras peste 70.000 de date de autentificare și informații de acces în servere și calculatoare, în cadrul unei campanii care a durat mai bine de jumătate de an. Printre victime ar fi instituții guvernamentale, structuri militare și companii private din 70 de state.
Pentru România, investigația scrie că soluțiile FortiWeb și FortiGate sunt printre cele mai folosite în sectorul public: la Serviciul de Telecomunicații Speciale (STS), la serviciile de informații, în ministere, în administrații locale și la companii din energie. Achizițiile făcute prin STS și serviciile secrete ar însuma zeci de milioane de euro, tot potrivit DeFapt.ro.
Nu există, în sursele consultate, o defalcare publică a acestor contracte, așa că suma rămâne afirmația investigației. La fel, nicio sursă nu publică o listă a instituțiilor românești afectate.
🗞️ Citește și Acestea
Ce spun Fortinet, STS și autoritățile.
Adrian Danciu, directorul regional al Fortinet, a refuzat să spună dacă a informat clienții din România, între care STS și serviciile de informații, despre furtul datelor de acces. Solicitarea a fost redirecționată către departamentul de comunicare, iar reprezentanta acestuia, Debi Christie North, nu a clarificat situația instituțiilor românești.
Compania a transmis totuși o poziție despre avertizarea comună a FBI și US Secret Service: activitatea monitorizată nu implică „nicio vulnerabilitate nouă sau necorectată”, iar recomandările ar fi fost comunicate deja clienților.
STS nu a răspuns solicitării DeFapt.ro până la publicarea investigației, iar în sursele consultate nu apare nicio poziție publică a STS sau a SRI. Directoratul Național de Securitate Cibernetică (DNSC) i-a avertizat pe utilizatorii Fortinet încă din 2025, dar, potrivit investigației, fără să precizeze că printre ei se află instituții ale statului român.
FortiBleed și avertizarea FBI: același val sau altul?
Campania globală cunoscută drept FortiBleed este documentată separat. FBI și US Secret Service au transmis o avertizare comună potrivit căreia operațiunea se bazează pe credențiale refolosite sau scurse și pe o stocare veche a parolelor, cu algoritmul SHA-256, care permite spargerea lor în masă, relatează The Hacker News. Firma SOCRadar, citată de același material, vorbește despre 86.644 de dispozitive confirmate în 194 de țări.
Atacatorii creează conturi administrative noi și, uneori, le șterg pe cele existente, astfel că administratorii legitimi rămân fără acces la propriile echipamente. Accesul obținut ar ajunge la afiliați ransomware, iar operațiunea este atribuită unei grupări vorbitoare de rusă, suspectată că funcționează ca broker de acces inițial.
Raportul din care pornește breșa Fortinet descrisă de DeFapt.ro nu spune dacă „k0t” este același actor cu operatorii FortiBleed, iar cifrele diferă: peste 70.000 de credențiale într-un caz, 86.644 de dispozitive în celălalt. Sursele consultate nu stabilesc o legătură între cele două seturi de date. Avertizarea FBI a fost relatată în presa românească de Curierul Național, pe baza unui material al DNSC.
De la o parolă la configurația unui firewall
Investigația descrie două mecanisme. La FortiGate, atacatorii încearcă automat combinații de nume de utilizator și parole, tehnică numită „brute force”. Odată intrați, POT copia configurația echipamentului, care conține harta conexiunilor interne și secrete necesare integrării cu alte sisteme. Unele secrete ar fi fost recuperate offline, pe copia furată, fără alte cereri către dispozitivul victimei.
La FortiWeb, raportul amintește vulnerabilitatea CVE-2025-64446, descrisă ca o cale de executare a unor operațiuni administrative fără autentificarea obișnuită. Raportul nu precizează că ea ar fi fost folosită împotriva vreunei instituții românești.
Autoritățile americane recomandă restricționarea administrării din exterior, schimbarea parolelor de administrare și VPN, autentificare rezistentă la phishing, stocarea parolelor cu algoritmul PBKDF2 și verificarea jurnalelor, potrivit aceleiași surse.
Investigația reamintește și episoade mai vechi: un șir de cod ascuns descoperit în FortiOS între 2016 și 2019, pe care compania l-a pus pe seama unei erori de cod de testare, și practica de a repara vulnerabilități prin actualizări fără anunț public. Aceste afirmații aparțin investigației.
Singura certitudine care rezultă din sursele consultate este un contrast. Fortinet și autoritățile americane indică parole refolosite și o stocare veche a lor, nu un nou defect de produs, în timp ce expunerea sectorului public românesc la breșa Fortinet nu poate fi evaluată, pentru că nici compania, nici STS nu au spus ce echipamente sunt expuse și cine le verifică.
