Fortinet a laissé ses propres données sur un lecteur cloud non protégé — un pirate en a vendu 440 Go

À la mi-janvier 2025, un acteur malveillant utilisant le pseudonyme « Fortibitch » a commencé à publier sur un forum de pirates, affirmant avoir dérobé environ 440 Go de données à Fortinet, l'un des plus grands fournisseurs mondiaux de sécurité réseau. L'acteur a déclaré que le butin — baptisé « Fortileak » — avait été extrait d'un lecteur de fichiers SharePoint hébergé sur Microsoft Azure que Fortinet utilisait comme plateforme de stockage de fichiers externe et partagée, et a mis les données en vente après avoir publié de petits fichiers échantillons comme preuve.

Fortinet a confirmé l'intrusion par un aveu inhabituel : l'entreprise a indiqué à ses clients qu'une quantité « limitée » de données avait été consultée par « un acteur malveillant individuel » via un lecteur de fichiers partagé tiers hébergé dans le cloud, et que l'attaquant avait ensuite publié et vendu les fichiers. Le blog PSIRT de l'entreprise a minimisé l'ampleur, arguant que la revendication de 440 Go de l'acteur était trompeuse car le lecteur contenait un mélange de données d'employés et de clients, dont certaines en double, et a déclaré que l'incident ne touchait qu'une fraction d'un pour cent des clients.

La violation a surtout été remarquable par sa cible : une entreprise dont toute la gamme de produits existe précisément pour empêcher cela. Fortinet vend des pare-feu et des logiciels de sécurité à des dizaines de milliers d'organisations, et ses clients ont dû être informés qu'un fournisseur auquel ils confient leur infrastructure défensive n'avait pas su verrouiller ses propres documents. L'entreprise a déclaré avoir engagé un enquêteur tiers, révoqué l'accès de l'attaquant et averti que les données divulguées pourraient être utilisées dans des attaques d'ingénierie sociale ou d'hameçonnage contre ses clients.

Fortinet a laissé ses propres fichiers sur un lecteur Azure SharePoint non protégé ; un pirate en a vendu 440 Go, prouvant que le fournisseur de pare-feu n'a pas respecté sa propre norme.

Fortinet stockait des documents d'entreprise et liés aux clients sur un lecteur cloud hébergé en externe qu'un seul acteur malveillant a pu atteindre et exfiltrer.

Le fournisseur de sécurité n'a pas appliqué à son propre stockage de fichiers la segmentation et le contrôle d'accès qu'il vend à ses clients.

L'incident est devenu public par la publication de l'attaquant sur le forum, et non par une divulgation de Fortinet elle-même, de sorte que l'entreprise n'a fait que réagir.

Une entreprise de sécurité est jugée selon la même norme qu'elle vend. Si votre propre lecteur cloud partagé est accessible à un seul outsider, le pare-feu que vous vendez fait moins de travail que celui que vous exploitez.

Fortinet a confirmé la violation à ses clients, engagé des enquêteurs forensiques, révoqué l'accès de l'attaquant et averti que les documents divulgués pourraient servir à cibler ses clients par hameçonnage. Le personnage « Fortibitch » et la fuite « Fortileak » sont devenus dans les milieux de la sécurité un raccourci pour l'embarras d'un fournisseur dont la propre maison n'était pas en ordre — et un rappel que la couche de stockage est souvent la partie la plus vulnérable même du patrimoine d'un fournisseur de sécurité.