La CISA a publié une alerte d'urgence relative au renforcement de la sécurité le 18 juin 2026, après qu'une campagne de collecte d'identifiants baptisée « FortiBleed » a révélé des identifiants d'administrateur et de VPN valides pour des dizaines de milliers de pare-feu Fortinet connectés à Internet au sein d'organisations des secteurs public et privé à travers le monde^.1 Aucune nouvelle vulnérabilité n'a été exploitée.² Les attaquants ont utilisé des identifiants volés, des attaques par force brute et des interfaces d'administration exposées.

Qu'est-ce que FortiBleed ? — Et en quoi est-ce différent ?

Le 13 juin 2026, le chercheur en sécurité Volodymyr Diachenko a découvert un serveur accessible contenant des identifiants VPN Fortinet valides, notamment des noms d’utilisateur, des adresses e-mail et des mots de passe en clair appartenant à des dizaines de milliers d’organisations.^⁵ Le chercheur en sécurité Kevin Beaumont et Hudson Rock ont confirmé indépendamment l’existence de cet ensemble de données.^⁵ Au 19 juin, le nombre d'appareils confirmés s'élevait à environ 86 644 appareils uniques répartis dans 194 pays, ce qui représente environ la moitié de l'ensemble des pare-feu Fortinet exposés à Internet.^⁶

FortiBleed n'est pas un cas répertorié dans la base CVE. Il n'existe aucun correctif permettant de le corriger. Les attaquants ont récupéré des identifiants en combinant plusieurs méthodes : des interfaces d'administration exposées, des attaques par force brute, des identifiants extraits de fichiers de configuration Fortinet exportés, ainsi que le craquage hors ligne de mots de passe à l'aide de GPU sur des formats de hachage hérités. L'évaluation réalisée par Fortinet décrit cette activité comme la réutilisation, par des acteurs malveillants, d'identifiants issus d'incidents antérieurs et le recours à des attaques par force brute contre des appareils présentant une mauvaise hygiène des mots de passe et dépourvus d'authentification multifactorielle (MFA).^²

Alerte de la CISA — 18 juin 2026
La CISA a pris connaissance de rapports provenant du monde entier indiquant que des cybercriminels ont ciblé des appareils Fortinet accessibles via Internet au sein d’organisations gouvernementales et du secteur privé en utilisant des identifiants compromis. Cette activité, baptisée « FortiBleed », implique la divulgation d’identifiants associés à environ 74 000 appareils Fortinet, notamment des pare-feu et des passerelles de réseau privé virtuel (VPN).¹

L'ensemble de données est structuré sous la forme d'un catalogue commercial. Chaque entrée comprend le secteur d'activité, le chiffre d'affaires, l'effectif et le pays de l'organisation ciblée^.⁴ Il n'a pas été constitué à des fins personnelles, mais en vue d'être vendu ou d'être déployé de manière coordonnée au sein d'un groupe criminel^.⁴⁻⁵ Un attaquant disposant de ces identifiants peut se connecter à distance, accéder au pare-feu et, par conséquent, au réseau qui se trouve derrière, modifier les paramètres de sécurité et utiliser le dispositif comme point d'ancrage persistant.

Analyse des risques : De quoi disposaient les attaquants et que pouvaient-ils en faire ?

Parmi les entreprises figurant dans l'ensemble de données — dont beaucoup ont été confirmées par Hudson Rock — figuraient Foxconn, Samsung, Comcast, Siemens, Lenovo, PwC, Accenture, Oracle, ainsi que de nombreuses agences gouvernementales et opérateurs d'infrastructures critiques.⁴ L'ensemble de données couvre 21 632 domaines uniques.⁵ Cette ampleur n'est pas le fruit du hasard : c'est le résultat même de l'opération.

Une campagne visant à voler des identifiants et ciblant la moitié du parc Fortinet exposé à Internet ne déclenche aucune signature d'exploitation, ne déploie aucun logiciel malveillant au point d'entrée et ne se manifeste d'aucune manière susceptible d'être détectée par un système de blocage périmétrique ou de détection d'intrusion. Le problème de détection réside précisément dans le fait que cette attaque ressemble à une activité administrative légitime : identifiants valides, noms d'utilisateur valides, authentification réussie.

Cause profonde : trois choix de conception qui ont permis de mettre cela en œuvre à grande échelle

FortiBleed n'est pas avant tout une faille de sécurité de Fortinet. Il s'agit de la généralisation à grande échelle de trois anti-modèles de sécurité périmétrique qui sont connus depuis des années.

Mesures recommandées : Ce que la CISA recommande aux organisations de faire

L'alerte publiée le 18 juin par la CISA énonce cinq mesures immédiates spécifiques à l'intention de tous les clients Fortinet concernés disposant d'appareils FortiGate et de passerelles VPN SSL.¹ Pour les agences civiles fédérales, ces mesures sont obligatoires en vertu des directives opérationnelles contraignantes en vigueur.

Comment BlackBerry Secure Communications répond à la menace de type « FortiBleed »

FortiBleed désigne une catégorie de menaces, et non un incident isolé. L’accès initial par le biais d’identifiants, visant les périphériques du périmètre, est désormais la technique dominante utilisée par les États-nations et les organisations criminelles ciblant les administrations et les infrastructures critiques. Une fois à l’intérieur du périmètre du réseau, un attaquant prend le contrôle de l’infrastructure dont dépendent les communications, la gestion des identités et la coordination des interventions d’urgence. La question essentielle n’est pas seulement de savoir comment empêcher la compromission du périmètre, mais aussi ce qui reste protégé et opérationnel une fois que celle-ci a eu lieu.

Le périmètre n'est plus en dehors du modèle de menace. Il en constitue le point d'entrée. Les organisations dont les communications, la gestion des identités et la coordination des urgences dépendent toutes de l'intégrité du périmètre réseau ne disposent d'aucune couche de résilience lorsque ce périmètre est lui-même à l'origine de l'incident.

Poste chez BlackBerry

FortiBleed n’a pas nécessité l’exploitation d’une nouvelle vulnérabilité. Il a suffi de disposer d’identifiants valides, d’une interface d’administration exposée à Internet et de l’absence d’authentification multifactorielle (MFA). Les attaquants ont combiné ces trois éléments à grande échelle dans 194 pays. Un terminal périphérique compromis n’expose pas seulement le réseau qui se trouve derrière lui : il expose toutes les communications, tous les canaux de coordination et toutes les identités qui transitent par ce réseau. BlackBerry UEM des contrôles de conformité des terminaux et des politiques d’accès qui limitent l’accès d’un terminal périphérique compromis. BlackBerry SecuSUITE les communications vocales et de données de l’infrastructure des opérateurs et des plateformes que les attaques de type FortiBleed sont conçues pour traverser. BlackBerry AtHoc que, lorsque l’infrastructure périmétrique est compromise, la coordination des urgences et les communications de crise s’effectuent via un canal indépendant, authentifié et hors bande qui ne dépend pas de l’environnement compromis.

Références :

1. La CISA recommande vivement de renforcer la sécurité des appareils Fortinet suite à des signalements d'exposition d'identifiants (CISA, 22 juin 2026)

2. Analyse des cas signalés de compromission des identifiants sur les appareils FortiGate (Fortinet PSIRT, 19 juin 2026).

3. FortiBleed : 75 000 pare-feu Fortinet compromis, des entreprises internationales exposées (Hudson Rock, 17 juin 2026).

4. Avis technique : Campagne « FortiBleed » visant à exposer les identifiants des appareils Fortinet connectés à Internet (Bitdefender, 22 juin 2026).