En juin 2026, une fuite de données a mis en circulation les identifiants d’accès de plus de 75 000 pare-feu et passerelles VPN Fortinet. Le bulletin d’actualité du CERT-FR consacré à FortiBleed précise que la base était accessible sur Internet et que les équipements Fortinet dont l’interface d’administration ou les accès VPN sont exposés doivent être considérés comme à risque. Le sujet concerne les organisations françaises, mais l’exposition décrite est mondiale.
Le premier réflexe ne doit pas être de chercher uniquement une faille logicielle à corriger. Le problème est celui d’une identité d’accès placée dans un environnement où elle peut ouvrir une porte vers le réseau interne. Un mot de passe présent dans une base publique peut être ancien, réutilisé, déjà invalidé ou associé à un équipement encore actif. Tant que ces hypothèses ne sont pas vérifiées, l’organisation ne sait pas si elle fait face à une exposition théorique ou à un accès à traiter comme un incident.
FortiBleed illustre une difficulté fréquente des équipes sécurité : l’actif est connu, mais l’identité qui permet de l’administrer n’est pas suivie avec le même niveau de rigueur. Les appareils de bordure sont parfois gérés par le réseau, les comptes par une équipe différente, les règles VPN par un prestataire et les journaux par un centre de supervision. La qualification du risque doit réunir ces informations.
Les équipes qui utilisent une surveillance du dark web et des identités exposées peuvent rechercher les domaines, noms d’utilisateur, adresses et indices associés à leur organisation. Cette recherche doit compléter l’inventaire interne. Une mention trouvée en ligne est un signal. La décision vient de la correspondance avec un équipement, une configuration et une identité encore valides.
Le fait qu’une paire identifiant et mot de passe figure dans la base ne prouve pas qu’un attaquant l’a utilisée contre votre équipement. Il établit cependant une possibilité de réutilisation. Une équipe peut donc éviter deux erreurs opposées : déclarer trop vite que tous les équipements ont été compromis, ou considérer la publication comme sans conséquence parce qu’aucun incident n’est encore visible.
Classez chaque élément selon un état clair. L’identifiant peut être lié à un appareil inconnu. Il peut être associé à un équipement identifié mais désactivé. Il peut appartenir à un compte encore actif dont le mot de passe a été changé récemment. Il peut correspondre à un compte actif et à une interface de gestion accessible depuis Internet. Ces situations ne demandent pas la même action, mais les deux dernières doivent être traitées rapidement.
Vérifiez aussi la fraîcheur de l’information. Un équipement peut avoir été remplacé, mais son adresse DNS ou son certificat peut encore pointer vers un nouveau service. Un mot de passe peut avoir été changé sur le pare-feu sans l’être sur une autre passerelle. Un prestataire peut conserver une copie dans un coffre qui n’est plus synchronisé. L’analyse doit suivre l’identité dans le temps, pas seulement l’état du jour.
La qualification doit être documentée. Notez la source de la correspondance, l’appareil concerné, le compte, le dernier changement de secret, l’exposition réseau, les journaux disponibles et la décision prise. Cette trace permettra de démontrer que les comptes ont été réinitialisés et que la recherche de compromission a couvert la bonne période.
Si une correspondance est incertaine, marquez-la comme inconnue. Une équipe qui transforme une hypothèse en « faux positif » sans vérification crée un angle mort. Une équipe qui conserve l’incertitude et lui attribue un propriétaire garde le sujet visible jusqu’à la résolution.
Une passerelle VPN se trouve à la frontière entre Internet et les services internes. Elle peut donner accès à des applications, à des consoles d’administration et à des environnements qui ne sont pas exposés directement. La valeur d’un compte ne vient donc pas seulement du privilège affiché dans l’interface. Elle vient aussi de la position de l’équipement et des routes qu’il annonce après l’authentification.
Les chemins d’accès doivent être décrits. Pour chaque passerelle, indiquez les utilisateurs autorisés, les groupes associés, les plages internes accessibles, les méthodes d’authentification et les restrictions horaires ou géographiques. Si l’appareil permet une administration distante, séparez cette interface de l’accès VPN des utilisateurs. Un compte d’exploitation ne devrait pas être réutilisé pour une connexion quotidienne.
Examinez les liens entre le VPN et l’identité. Une authentification réussie peut être suivie d’une connexion à un annuaire, à un portail d’administration ou à un serveur de fichiers. Si le même secret est utilisé sur plusieurs systèmes, la rotation doit couvrir toute la réutilisation. Changer le mot de passe du pare-feu tout en laissant le même secret sur un compte local, une sauvegarde ou un script n’éteint pas le risque.
Les règles de confiance méritent la même attention. Un accès VPN accordé à un prestataire pour une intervention ancienne peut rester ouvert. Un groupe peut conserver des utilisateurs qui ont changé de rôle. Une route peut donner accès à un segment beaucoup plus large que le besoin initial. L’exposition d’identifiants rend ces écarts plus dangereux, car un attaquant n’a pas besoin de découvrir toute la configuration avant de tenter un accès.
Le suivi de la surface d’attaque externe doit inclure les équipements de bordure, les anciennes adresses, les interfaces d’administration et les services publiés par les filiales. L’objectif est de voir l’organisation comme un attaquant la voit, puis de relier chaque adresse à un propriétaire et à un contrôle d’accès.
Commencez par réinitialiser les secrets des équipements et des comptes concernés. La rotation doit être réalisée depuis un poste de confiance et suivre une procédure qui vérifie la bonne prise en compte sur chaque appareil. Si un compte est partagé, remplacez-le par des comptes nominatifs lorsque la plateforme le permet. Les comptes de secours doivent recevoir un traitement particulier, car ils sont parfois peu utilisés mais disposent de droits élevés.
Révoquez les sessions et les jetons qui peuvent rester actifs après un changement de mot de passe. Contrôlez les appareils associés, les certificats, les clés, les profils VPN et les comptes locaux. Un secret changé ne suffit pas si une autre méthode d’accès permet de conserver la session ou de se connecter sans repasser par la même vérification.
Réduisez l’exposition de l’interface d’administration. Si elle n’a pas besoin d’être accessible depuis Internet, rendez-la disponible uniquement depuis un réseau d’administration ou un bastion. Si l’accès public est nécessaire, limitez les sources autorisées, imposez une authentification forte et surveillez les tentatives. Toute exception doit avoir un propriétaire et une date de révision.
Pour l’accès VPN, retirez les utilisateurs et groupes qui ne sont plus nécessaires. Réduisez les routes accessibles aux prestataires. Bloquez les connexions provenant de pays ou de réseaux qui ne correspondent pas au besoin métier, tout en vérifiant que le contrôle ne crée pas un faux sentiment de sécurité. Un filtrage géographique ne remplace pas l’authentification et ne protège pas contre un attaquant qui utilise une infrastructure située dans une zone autorisée.
Si les journaux montrent une activité suspecte, ne faites pas uniquement une rotation silencieuse. Prévenez le responsable de la réponse à incident, préservez les journaux, identifiez les systèmes atteignables et traitez l’équipement comme un point d’entrée potentiel. Une réinitialisation est une mesure de confinement. Elle ne répond pas à la question de savoir ce qui s’est passé avant.
La recherche doit commencer avant la modification lorsque la situation le permet. Exportez les journaux d’authentification, de connexion VPN, d’administration et de changement de configuration. Conservez l’heure, le fuseau et l’identifiant de l’équipement. Les horodatages incohérents peuvent rendre une séquence difficile à reconstituer, surtout lorsque plusieurs appareils sont gérés par des équipes différentes.
Recherchez les connexions réussies depuis des sources inhabituelles, les échecs répétés suivis d’un succès, les connexions à des heures atypiques et les comptes qui ouvrent une session sur un appareil qu’ils n’utilisent jamais. Regardez aussi les changements de groupe, les nouvelles règles, les modifications DNS, les exportations de configuration et la création d’utilisateurs locaux. Une activité administrative inattendue peut être plus révélatrice qu’un grand nombre de tentatives bloquées.
Reliez l’équipement de bordure à l’activité interne. Une connexion VPN suivie d’un accès au contrôleur de domaine, à une console de sauvegarde ou à un serveur sensible doit recevoir une priorité d’analyse supérieure à une session qui n’a jamais dépassé le portail. Vérifiez les comptes utilisés après la connexion, les machines atteintes, les volumes de données et les transferts sortants.
Le CERT-FR renvoie, dans son bulletin, vers des documents de qualification et d’endiguement d’une compromission d’équipement de bordure. Ces ressources peuvent structurer la réponse. Elles ne remplacent pas la connaissance de votre architecture, mais elles aident à ne pas limiter l’analyse au seul appareil VPN.
Si aucune trace suspecte n’est trouvée, délimitez la conclusion. Indiquez les journaux disponibles, la période couverte, les sources manquantes et les contrôles qui restent à effectuer. Une absence d’événement dans un journal non centralisé ne prouve pas l’absence d’accès. Cette précision permet de décider si une surveillance renforcée est nécessaire après la rotation des secrets.
Les accès Fortinet sont souvent liés à des opérations de maintenance. Un prestataire peut administrer plusieurs équipements, un intégrateur peut utiliser un compte de support et une équipe interne peut conserver un accès d’urgence. L’exposition FortiBleed doit donc déclencher une revue des tiers, pas seulement une action sur les comptes des salariés.
Pour chaque prestataire, demandez la liste des équipements concernés, les personnes autorisées, la méthode d’authentification, le coffre de secrets utilisé et la date de la dernière intervention. Demandez aussi comment le prestataire prouve qu’un secret n’est pas réutilisé ailleurs. Une réponse générale sur les bonnes pratiques ne suffit pas pour un appareil qui donne accès à votre réseau.
Supprimez les comptes qui ne correspondent plus à un contrat ou à une personne. Remplacez les comptes génériques par des comptes individuels et activez la journalisation nominative. Si un accès partagé est indispensable, limitez sa durée, exigez une approbation et imposez un changement après chaque intervention. Ces mesures réduisent la valeur d’une fuite future et améliorent l’analyse si un accès est contesté.
Vérifiez la réciprocité de la responsabilité. Votre équipe doit savoir qui appeler si le prestataire détecte une activité sur sa plateforme, et le prestataire doit savoir qui peut autoriser l’isolation de l’équipement. Un délai d’une journée pour identifier le bon contact peut transformer une alerte de connexion en incident plus large.
Intégrez les dépendances de tiers à votre programme de gestion du risque fournisseur. Le bon niveau de contrôle dépend de l’accès réel, des données accessibles et de la capacité d’un tiers à agir sur plusieurs clients. La taille du fournisseur ne dit pas à elle seule quel risque il représente.
Une base de données publique peut être reprise, découpée, enrichie ou revendue. La surveillance des espaces externes peut donc fournir de nouveaux indices, comme une adresse, un nom d’utilisateur, un identifiant d’équipement ou une date supposée de collecte. Ces indices sont utiles pour orienter la recherche, mais ils doivent rester séparés de la preuve interne.
Ne copiez pas une liste de mots de passe dans un ticket ou un canal de discussion. Traitez les secrets comme des données sensibles. Conservez seulement l’empreinte, la référence du compte et le lien vers un coffre ou un espace d’analyse contrôlé. Si un mot de passe est encore valide, faites-le invalider sans le diffuser davantage.
Comparez les informations externes avec l’inventaire : domaine, adresse IP, produit, localisation, propriétaire et période d’utilisation. Une correspondance partielle ne doit pas être présentée comme une confirmation. Un domaine peut être usurpé, une adresse peut avoir changé de propriétaire et un identifiant peut être présent dans plusieurs organisations.
La valeur du renseignement tient aussi à sa fraîcheur. Une fuite observée en juin peut contenir des données collectées avant un changement de configuration. Une équipe doit donc vérifier la date du secret, la date de rotation et la dernière activité. Ce rapprochement entre l’extérieur et l’intérieur permet de distinguer les comptes déjà traités des comptes encore exposés.
Consignez la confiance attribuée à chaque signal. Un enregistrement trouvé dans une source inconnue peut justifier une vérification, mais pas une communication publique. Un bulletin du CERT-FR qui correspond à votre appareil et à votre configuration peut justifier une remédiation immédiate, même sans preuve d’utilisation du secret. Les deux informations ont une fonction différente.
Après l’urgence, établissez une ligne de base pour les équipements de bordure. Chaque appareil doit avoir un propriétaire, une version supportée, une adresse connue, une interface d’administration contrôlée, des journaux centralisés et un processus de mise à jour. Les équipements oubliés et les interfaces laissées ouvertes sont souvent les défauts qui réapparaissent lors de la prochaine campagne.
Centralisez la vue des identités. Un compte d’administration local ne doit pas disparaître du suivi parce qu’il n’est pas dans l’annuaire principal. Les certificats, clés, profils et secrets utilisés par des scripts doivent recevoir la même attention. L’inventaire doit montrer qui peut agir sur l’équipement et qui peut récupérer les données de configuration.
Reliez la découverte à une action mesurable. Suivez le délai entre la publication d’un signal et l’identification des actifs correspondants, le délai de rotation des secrets, le nombre d’équipements dont la journalisation est vérifiée et le nombre de comptes sans propriétaire. Ces indicateurs montrent où le processus ralentit. Ils sont plus utiles que le nombre de tickets créés.
Faites un exercice avec un fournisseur. Donnez-lui un scénario d’identifiants exposés et demandez les preuves qu’il fournirait, les actions qu’il pourrait effectuer seul et le délai de notification prévu. L’objectif est de découvrir les limites du contrat avant une crise. Un accès d’urgence qui n’est pas compris par les deux parties devient un risque organisationnel.
Enfin, gardez la réponse proportionnée et factuelle. L’exposition de plus de 75 000 équipements ne signifie pas que tous sont compromis. Elle signifie que les organisations doivent vérifier leurs équipements et leurs accès. La combinaison d’un inventaire externe, d’une rotation complète, d’une analyse des journaux et d’une preuve de remédiation réduit le risque sans créer de certitude artificielle.
Une exposition d’identifiants peut devenir un sujet de crise avant même qu’une compromission soit confirmée. Préparez donc le comité de crise à travailler avec des niveaux de confiance distincts. Le premier niveau est le fait publié : une base contenant des identifiants Fortinet est disponible. Le deuxième est la correspondance avec votre parc. Le troisième est la preuve d’utilisation, comme une connexion réussie ou un changement de configuration. Ces niveaux ne doivent pas être mélangés dans une même phrase.
Le responsable réseau peut lancer la rotation tandis que le responsable sécurité organise la recherche dans les journaux. Le juridique et la communication doivent connaître les critères qui déclenchent une notification, mais ils n’ont pas besoin d’attendre la fin de l’analyse pour préparer un message factuel. Le message peut indiquer que les accès concernés sont réinitialisés et qu’une vérification est en cours, sans affirmer une compromission non démontrée.
Les partenaires doivent recevoir une information adaptée à leur rôle. Un fournisseur qui utilise une passerelle partagée peut devoir réinitialiser ses propres comptes. Une filiale peut avoir un équipement qui n’apparaît pas dans l’inventaire central. Un client peut demander si ses données étaient accessibles. Chaque réponse doit reposer sur l’architecture et les journaux, pas sur la taille supposée de la fuite.
Après la crise, conservez les décisions et leurs raisons. Cette documentation sert à vérifier la qualité de la réponse et à améliorer les contrats, l’inventaire et la procédure de rotation. Elle aide aussi à montrer que l’organisation a agi dès que le risque a été compris.
Si l’organisation ne peut pas déterminer quels comptes ou équipements sont concernés, une rotation large est souvent plus sûre, à condition d’être préparée et réalisée depuis un environnement de confiance. Dans tous les cas, réinitialisez les comptes correspondants aux appareils et identités identifiés, puis vérifiez les comptes de secours, les comptes de prestataires et les secrets réutilisés.
Elle réduit fortement l’exposition directe, mais elle ne répond pas à la question d’un secret déjà divulgué ou d’une compromission antérieure. Vérifiez les accès VPN, les réseaux d’administration, les comptes locaux et les journaux. Une interface interne peut être atteinte depuis un poste ou un fournisseur déjà compromis.
Documentez la lacune, recherchez les traces dans les systèmes voisins et augmentez la surveillance après la rotation. Les journaux d’identité, de pare-feu, de DNS, de proxy et de postes peuvent aider à reconstituer une partie de la séquence. Ne transformez pas une période inconnue en période sûre.
Demandez une confirmation écrite de l’équipement, des secrets changés, des sessions révoquées, des règles d’accès et des vérifications effectuées. Conservez l’évidence dans votre dossier d’incident et testez vous-même les points qui sont accessibles à votre équipe. La responsabilité opérationnelle du fournisseur ne supprime pas l’impact sur votre réseau.
Defendis relie l’exposition externe, le renseignement sur les menaces et les signaux de sécurité pour aider votre équipe à traiter les risques qui comptent le plus. Suivez les actifs, identités et accès exposés avant qu’ils ne deviennent un incident.
