Un hacker connu sous le nom de « Orange » a diffusé une liste de 500 000 identifiants de connexion et mots de passe d'utilisateurs et utilisatrices des services de VPN de Fortinet.
La liste, qui a été diffusée gratuitement sur un nouveau forum de hackers appelé RAMP, contient des informations sur des utilisateurs et utilisatrices dans le monde entier.
Une vulnérabilité corrigée en 2019
En 2019, Fortinet avait prévenu ses utilisateurs et utilisatrices de plusieurs failles présentes dans ses dispositifs FortiGate SSL-VPN. Malgré des correctifs publiés en avril et mai 2019, ces vulnérabilités ont continué d'être exploitées régulièrement par des attaquants. Fortinet a donc publié plusieurs posts de blogs au fil des années pour rappeler l'importance de faire les mises à jour des produits, un conseil qui, semblerait-il, n'a pas été suivi par toutes les entreprises concernées.
Dernière affaire en date, la publication sur un forum appelé RAMP et sur le site du groupe « Groove » d'une liste de 500 000 identifiants et mots de passe d'utilisateurs et utilisatrices des services VPN de Fortinet. La liste a été diffusée par « Orange », l'administrateur de RAMP et le probable représentant de Groove. Il semblerait que sa publication ait pour but de faire la promotion des services de Groove, un groupe fondé récemment et qui possède une opération de « ransomware-as-a-service ».
Fortinet a confirmé dans un communiqué que les hackers ont obtenu ces informations en scannant des appareils non-patchés contre la CVE-2018-13379. L'entreprise indique que si les appareils ont été patchés depuis sans que la mise à jour ait été accompagnée d'une réinitialisation des mots de passe, ils restent vulnérables.
Des utilisateurs et utilisatrices concernés par la fuite dans le monde entier
La société conseille à ses clients de déconnecter les appareils en attendant de faire les mises à jour nécessaires et de réinitialiser tous les mots de passe des utilisateurs et utilisatrices. Elle pousse également les administrateurs à activer l'authentification à multiples facteurs et à communiquer ouvertement sur le sujet, afin de prévenir des utilisateurs et utilisatrices qui auraient peut-être utilisé le même mot de passe sur d'autres sites et qui risqueraient d'être compromis.
BleepingComputer a indiqué avoir eu confirmation que certains des identifiants publiés étaient valides. Le leak concerne des utilisateurs et utilisatrices dans le monde entier, et la France fait partie des pays touchés.
Sources : BleepingComputer, Communiqué de presse
