Un grup mic de hackeri vorbitori de limbă rusă — sau posibil doar o singură persoană — a folosit instrumente de inteligență artificială disponibile comercial pentru a compromite peste 600 de firewall-uri Fortinet FortiGate în peste 55 de țări în doar câteva săptămâni, conform unei cercetări noi de la Amazon publicate joi.
Campania, care a avut loc între 11 ianuarie și 18 februarie 2026, a exploatat vulnerabilități de securitate de bază, nu vulnerabilități software sofisticate, a constatat echipa de threat intelligence a Amazon. Atacatorii s-au bazat pe scripturi și planuri de atac generate de inteligența artificială pentru a viza porturi de management expuse și credențiale slabe protejate doar prin autentificare cu un singur factor — lacune fundamentale pe care inteligența artificială a ajutat un actor cu abilități reduse să le exploateze la o scară altfel imposibilă.
AI ca multiplicator de forță
Descoperirile, detaliate într-o postare pe blog de către CJ Moses, Chief Information Security Officer al Amazon, descriu ceea ce echivalează cu o linie de asamblare alimentată de AI pentru criminalitatea cibernetică. Actorul amenințării a folosit cel puțin doi furnizori comerciali distincți de modele lingvistice mari pe parcursul operațiunilor sale, unul servind ca instrument principal de dezvoltare și planificare a atacurilor, iar al doilea ca asistent suplimentar pentru pivotare în rețelele compromise.
„Nu s-a observat nicio exploatare a vulnerabilităților FortiGate — în schimb, această campanie a avut succes prin exploatarea porturilor de management expuse și a acreditărilor slabe cu autentificare cu un singur factor, lacune fundamentale de securitate pe care AI a ajutat un actor nesofisticat să le exploateze la scară largă”, a scris Moses.
Amazon a evaluat hackerul sau hackerii ca având „o capacitate tehnică de bază scăzută până la medie, amplificată semnificativ de AI”. Când atacatorii au întâlnit medii întărite sau apărări mai avansate, aceștia pur și simplu au trecut la ținte mai vulnerabile, în loc să persiste — subliniind că avantajul lor consta în eficiența amplificată de AI, nu în abilități tehnice mai profunde.
Pregătiri Pre-Ransomware
După compromiterea dispozitivelor FortiGate, atacatorii au extras configurațiile complete ale dispozitivelor, conținând acreditările utilizatorilor SSL-VPN, parolele administrative și informații complete despre topologia rețelei. Apoi au folosit acreditările furate pentru a pătrunde în rețelele interne ale victimelor, compromițând mediile Active Directory, extrăgând bazele de date cu acreditări și vizând infrastructura de backup.
Cercetătorii de la Amazon au declarat că aceste activități sunt „în concordanță cu operațiuni pre-ransomware”, sugerând că breșele de securitate reprezentau pregătiri de bază pentru implementarea viitoare a ransomware-ului, mai degrabă decât un scop în sine.
Campania pare să fi fost oportunistă, nu direcționată către un anumit sector, cu concentrații de dispozitive compromise în Asia de Sud, America Latină, zona Caraibelor, Africa de Vest, Europa de Nord și Asia de Sud-Est.
O tendință în creștere
Descoperirile apar pe fondul unui val în intensificare de atacuri asupra dispozitivelor Fortinet. Începând cu sfârșitul anului 2025, firewall-urile FortiGate au fost supuse unor campanii repetate de exploatare care au profitat de vulnerabilități de evitare a autentificării, inclusiv CVE-2025-59718 și un zero-day separat, CVE-2026-24858, pe care Fortinet l-a corectat la sfârșitul lunii ianuarie. Amazon a declarat că campania pe care au documentat-o nu a exploatat aceste vulnerabilități, ci s-a bazat în schimb pe configurări greșite și mai simple.
Amazon a declarat că a partajat indicatorii de compromitere cu partenerii relevanți și a colaborat în întreaga industrie pentru a reduce eficacitatea operațională a actorului de amenințări. Moses a îndemnat organizațiile să acorde prioritate securizării dispozitivelor de margine a rețelei, impunerii igienei credențialelor și monitorizării indicatorilor post-exploatare — în special pe măsură ce inteligența artificială continuă să reducă bariera de intrare pentru potențialii atacatori.
„Având în vedere că ne așteptăm ca această tendință să continue în 2026, organizațiile ar trebui să anticipeze că activitatea de amenințare augmentată cu AI va continua să crească în volum atât din partea adversarilor calificați, cât și a celor necalificați”, a scris Moses.
Surse:
https://aws.amazon.com/blogs/security/ai-augmented-threat-actor-accesses-fortigate-devices-at-scale/
https://eclypsium.com/blog/fortinet-authentication-bypass-network-edge-attacks-cve-2020-12812/