Il 17 giugno è emerso che un server esposto su internet conteneva username, email e password in chiaro di un numero enorme di dispositivi Fortinet — i firewall e le VPN che moltissime aziende usano per far lavorare i dipendenti da remoto. Il giorno dopo la CISA, l’agenzia di cybersicurezza statunitense, ha diffuso un’allerta invitando a chiudere le sessioni VPN attive, cambiare le password e attivare l’autenticazione a più fattori. La vicenda è stata battezzata «FortiBleed».
Cos’è il dispositivo Fortinet che forse usi senza saperlo
FortiGate è uno dei firewall più diffusi al mondo, e la sua funzione SSL VPN è proprio quella che permette a chi è fuori ufficio di collegarsi alla rete aziendale in modo protetto. Per il titolare d’impresa è spesso «la VPN dell’ufficio» o «la scatola che ha messo il tecnico»: invisibile finché funziona, ma è la porta d’ingresso al lavoro da remoto, ai gestionali interni e ai file condivisi.
Il problema di FortiBleed è particolarmente serio per un motivo semplice: le credenziali non erano cifrate, erano leggibili così come sono. E secondo le ricerche riprese dalle testate di sicurezza, parte di quelle credenziali era ancora valida al momento della scoperta.
La ricerca ripresa da BleepingComputer e Help Net Security stima oltre 70.000 dispositivi (in particolare FortiGate e SSL VPN) su decine di migliaia di domini in quasi 200 Paesi. Il 18 giugno la CISA ha emesso un'allerta ufficiale.
Fonte: BleepingComputer, Help Net Security, CISA — giugno 2026
Perché agire anche se «non è successo niente»
Qui sta il punto che cambia la logica abituale. Di solito si reagisce a un attacco quando se ne vedono i segni. In questo caso le credenziali sono già fuori e in chiaro: chiunque le abbia raccolte potrebbe usarle in qualsiasi momento, in silenzio, entrando con un account legittimo. Per questo la raccomandazione non è «controlla se ti hanno bucato», ma «cambia le chiavi a prescindere», esattamente come si cambia la serratura se si scopre che una copia delle chiavi è finita in giro.
Se in azienda il firewall lo gestisci tu o un tuo tecnico interno, la checklist la eseguite voi. Se invece la VPN è amministrata da un fornitore IT esterno, la mossa è scrivergli oggi e farti confermare per iscritto che reset e MFA sono stati applicati. In entrambi i casi il reset delle credenziali non è opzionale.
Cosa fare, in concreto
- Chiudi le sessioni attive e resetta le password degli accessi VPN e degli account amministrativi dei dispositivi Fortinet: è la prima cosa, perché neutralizza le credenziali eventualmente già in mano a terzi.
- Attiva l’autenticazione a più fattori (MFA) sulla SSL VPN: anche se una password trapela di nuovo, da sola non basta più a entrare.
- Se la VPN la gestisce un fornitore esterno, manda oggi una mail di due righe: «I nostri dispositivi Fortinet sono coinvolti dalla fuga di credenziali FortiBleed? Avete resettato le password e attivato la MFA?». Fatti rispondere per iscritto.
- Controlla gli accessi recenti, se hai modo di vederli: collegamenti VPN da luoghi o orari insoliti sono un segnale da approfondire.
In breve
Un server esposto ha reso pubbliche in chiaro le credenziali di oltre 70.000 dispositivi Fortinet, e la CISA ha chiesto di chiudere le sessioni VPN, cambiare le password e attivare la MFA. FortiGate e la sua SSL VPN sono spesso «la VPN dell’ufficio» di una PMI: invisibile, ma è la porta del lavoro da remoto. Poiché le credenziali sono già fuori, l’azione va fatta subito e a prescindere dai segnali — direttamente se gestisci tu il firewall, chiedendo conferma scritta al fornitore se lo gestisce qualcun altro.