Fortinet dejó sus propios datos en una unidad en la nube sin protección: un hacker vendió 440 GB de ellos

A mediados de enero de 2025, un actor de amenazas que usaba el alias 'Fortibitch' comenzó a publicar en un foro de hackers, afirmando haber robado aproximadamente 440 GB de datos de Fortinet, uno de los mayores proveedores de seguridad de redes del mundo. El actor dijo que el botín —bautizado como 'Fortileak'— había sido extraído de una unidad de archivos SharePoint alojada en Microsoft Azure que Fortinet utilizaba como plataforma compartida de almacenamiento externo de archivos, y ofreció los datos en venta tras publicar pequeños archivos de muestra como prueba.

Fortinet confirmó la intrusión con una admisión inusual: dijo a sus clientes que 'un actor de amenazas individual' había accedido a una cantidad 'limitada' de datos mediante una unidad de archivos compartida basada en la nube de un tercero, y que el atacante había publicado y vendido después los archivos. El blog de PSIRT de la propia compañía minimizó la escala, argumentando que la afirmación del actor sobre los 440 GB era engañosa porque la unidad contenía una mezcla de datos de empleados y de clientes, algunos duplicados, y afirmó que el incidente afectó solo a una fracción del uno por ciento de los clientes.

La brecha fue notable sobre todo por a quién le ocurrió: una empresa cuya línea de productos entera existe precisamente para impedir esto. Fortinet vende firewalls y software de seguridad a decenas de miles de organizaciones, y hubo que decir a sus clientes que un proveedor en el que confiaban para su infraestructura defensiva no había sabido mantener bajo llave sus propios documentos. La empresa dijo que contrató a un investigador externo, revocó el acceso del atacante y advirtió que los datos filtrados podrían usarse en ataques de ingeniería social o de phishing contra sus clientes.

Fortinet dejó sus propios archivos en una unidad SharePoint de Azure sin protección; un hacker vendió 440 GB, lo que demuestra que el proveedor de firewalls no cumplió su propio estándar.

Fortinet almacenaba documentos corporativos y relacionados con clientes en una unidad en la nube alojada externamente a la que un único actor de amenazas pudo llegar y exfiltrar.

El proveedor de seguridad no aplicó a su propio almacenamiento de archivos la misma segmentación y control de acceso que vende a sus clientes.

El incidente se hizo público a través de la publicación del atacante en el foro, no de la divulgación de la propia Fortinet, por lo que la empresa siempre estuvo reaccionando.

A una empresa de seguridad se la juzga con el mismo estándar que vende. Si un único externo puede llegar a tu propia unidad compartida en la nube, el firewall que vendes está haciendo menos trabajo que el que usas tú.

Fortinet confirmó la brecha a sus clientes, contrató a investigadores forenses, revocó el acceso del atacante y advirtió que el material filtrado podría usarse para atacar a clientes con phishing. La identidad 'Fortibitch' y la filtración 'Fortileak' se convirtieron en la jerga de los círculos de seguridad para la incomodidad de un proveedor cuya propia casa no estaba en orden, y en un recordatorio de que la capa de almacenamiento suele ser la parte más blanda incluso del patrimonio de un proveedor de seguridad.