Une campagne baptisée FortiBleed vise des pare-feu et passerelles VPN Fortinet exposés sur Internet, selon plusieurs analyses publiées les 17 et 18 juin 2026. Les estimations disponibles évoquent des dizaines de milliers d’accès compromis dans plus de 190 pays.
Le sujet est apparu sur la page d’accueil de TechCrunch le 17 juin 2026. Le média américain rapporte que deux sociétés de cybersécurité, Hudson Rock et SOCRadar, décrivent une opération reposant surtout sur des identifiants déjà connus, des mots de passe réutilisés et des tentatives par force brute. Le point central n’est donc pas seulement la faille logicielle, mais l’exposition durable des accès d’administration et de VPN.
Ars Technica et Cyber Security News décrivent aussi une compromission à grande échelle de produits Fortinet ou FortiGate. Le chiffre le plus cité vient de Hudson Rock : environ 73 932 URL Fortinet uniques seraient concernées, un ordre de grandeur que Cyber Security News reprend et qu’Ars Technica formule comme près de 74 000 appareils. Kudelski Security parle, de son côté, de dizaines de milliers d’équipements touchés dans plus de 190 pays.
Une attaque fondée sur les identifiants
Les récits techniques convergent sur un mécanisme : les attaquants recherchent des interfaces Fortinet accessibles depuis Internet, testent des identifiants déjà volés ou devinés, puis utilisent les accès valides pour observer le trafic et récolter d’autres éléments d’authentification. TechCrunch rapporte que SOCRadar décrit un cycle auto-alimenté : un équipement compromis peut devenir un point d’écoute, et les nouveaux mots de passe collectés servent ensuite à viser d’autres systèmes.
Ars Technica et Cyber Security News indiquent également que la campagne a utilisé du credential stuffing et du brute force à grande échelle. Cyber Security News avance, d’après les données analysées, plus d’un milliard de tentatives visant des cibles FortiGate. Ce volume n’est pas repris avec le même niveau de détail par toutes les sources consultées, il doit donc être lu comme une donnée issue de cette analyse.
Des victimes dans plusieurs secteurs
TechCrunch cite des entreprises présentées par Hudson Rock comme potentiellement concernées, dont Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens et PwC. Ars Technica mentionne aussi Oracle, Lenovo, FedEx, Chevron, Fortinet et un sous-traitant turc de l’OTAN parmi les organisations apparaissant dans les données analysées. À ce stade, la présence d’un nom dans ces listes ne vaut pas confirmation publique d’une intrusion par chaque entreprise citée.
Les pays les plus touchés varient selon les relevés présentés. TechCrunch indique que l’Inde, les États-Unis, Taïwan et le Mexique figurent parmi les zones les plus affectées selon Hudson Rock et SOCRadar. Ars Technica et Cyber Security News élargissent le constat à une diffusion mondiale, avec 194 pays mentionnés dans les analyses liées à Hudson Rock.
Fortinet écarte l’idée d’un incident récent
La réponse de Fortinet est rapportée par TechCrunch. Selon cette source, l’entreprise dit être au courant d’une campagne tierce de collecte d’identifiants visant ses pare-feu et passerelles VPN. Fortinet estime que les données observées relèvent d’un repartage d’informations issues d’incidents précédents et de brute force, et ne seraient pas liées à un incident ou un avis de sécurité récent.
Cette position ne contredit pas le risque opérationnel décrit par les chercheurs. Elle déplace plutôt le problème : même sans nouvelle faille confirmée, des identifiants valides, des interfaces exposées et l’absence de protections fortes peuvent suffire à compromettre un équipement. Kudelski Security recommande notamment de traiter les systèmes exposés, non corrigés ou sans authentification multifacteur comme potentiellement à risque.
À lire aussi sur les risques numériques : Corée du Nord : 47 % des cyberattaques visant la tech US et Washington ordonne le blocage des modèles IA d’Anthropic.
La priorité passe aux accès exposés
Pour les organisations concernées, les mesures citées par les sources sont classiques mais urgentes : vérifier les accès Fortinet exposés, changer les mots de passe, contrôler les journaux, imposer l’authentification multifacteur et appliquer les correctifs disponibles. La prochaine étape dépendra des confirmations apportées par les entreprises nommées et des analyses de Fortinet sur l’origine exacte des identifiants en circulation.
