Ondata di attacchi brute-force contro le VPN Fortinet, poi FortiManager

Una nuova campagna di attacchi informatici sta prendendo di mira i sistemi Fortinet, iniziando con un’ondata coordinata di tentativi di accesso brute-force alle SSL VPN e proseguendo con un improvviso cambio di obiettivo verso i server FortiManager.

Secondo i dati della società di threat intelligence GreyNoise, il picco di attività si è verificato il 3 agosto 2025, quando sono stati rilevati oltre 780 indirizzi IP unici coinvolti nell’operazione. Nel solo ultimo giorno di monitoraggio, 56 IP distinti sono stati individuati come sorgenti malevole, provenienti da Stati Uniti, Canada, Russia e Paesi Bassi. Gli obiettivi colpiti includono infrastrutture in Stati Uniti, Hong Kong, Brasile, Spagna e Giappone.

GreyNoise ha sottolineato che il traffico malevolo era diretto in modo specifico verso il profilo FortiOS, un segnale che esclude un’attività casuale e indica invece un’azione mirata e pianificata.

Due ondate di attacco distinte

L’analisi del traffico ha individuato due fasi separate. La prima, di lunga durata, è stata caratterizzata da un’unica firma TCP costante nel tempo. La seconda, invece, ha mostrato un incremento improvviso e concentrato di tentativi, con una firma TCP differente.

Dopo il 5 agosto, il pattern di attacco è cambiato: la firma di rete non era più associata a FortiOS ma puntava costantemente ai server FortiManager. Questo, per gli analisti, suggerisce un pivot degli attaccanti verso un altro servizio Fortinet, forse utilizzando la stessa infrastruttura o lo stesso toolkit iniziale.

Un’analisi retrospettiva delle firme TCP utilizzate dopo il 5 agosto ha rivelato un picco precedente, a giugno, legato a una firma client unica che risultava collegata a un dispositivo FortiGate situato in un blocco IP gestito dall’ISP Pilot Fiber Inc.

Questo elemento apre a due ipotesi: o il tool di brute-force è stato testato o lanciato da una rete domestica, oppure gli aggressori hanno sfruttato un proxy residenziale per mascherare la propria origine.

Il possibile preludio a una nuova vulnerabilità

Il contesto di questa attività desta ulteriori preoccupazioni. GreyNoise ha infatti evidenziato che picchi simili di traffico malevolo sono spesso seguiti, entro circa sei settimane, dalla pubblicazione di un nuovo CVE che colpisce la stessa tecnologia bersagliata.

Il fenomeno, osservato soprattutto su tecnologie edge aziendali come VPN, firewall e strumenti di accesso remoto, è già noto tra i team di threat intelligence: un segnale di possibile attività di ricognizione e testing da parte di gruppi avanzati, prima dello sfruttamento di vulnerabilità ancora non divulgate.

In questo scenario, gli esperti raccomandano ai responsabili IT e ai team di sicurezza di monitorare attentamente i log di accesso alle VPN Fortinet, rafforzare le politiche di autenticazione e tenere alta l’attenzione su eventuali aggiornamenti di sicurezza rilasciati dal vendor nelle prossime settimane.

• attacchi informatici, brute-force, CVE, cybersecurity, firewall, FortiManager, fortinet, Fortios, GreyNoise, sicurezza informatica, VPN