EXCLUSIV STS, SRI și alte instituții, afectate grav de breșa de securitate cibernetică Fortinet, echipamente cumpărate cu zeci de milioane de euro
O grupare de hackeri a spart echipamente de securitate Fortinet și Palo Alto Networks din întreaga lume. Pe lista victimelor se află și România, care a cumpărat, prin Serviciul de Telecomunicații Speciale și toate serviciile secrete de informații, echipamente de securitate și protecție Fortinet în valoare de zeci de milioane de euro. Deocamdată nu se știe ce instituții publice și companii private au fost afectate, dar datele de acces în serverele și calculatorele publice și private sunt în continuare la vânzare pe darkweb. Contactat de către DeFapt.ro, Adrian Danciu, directorul regional Fortinet, a refuzat să spună dacă a informat serviciile secrete și companiile private din România cu privire la furtul de date de acces. Compania Fortinet nu a răspuns întrebărilor transmise de către DeFapt.ro și nu a comunicat cine verifică dacă au fost închise toate căile de acces ale hackerilor în serverele și calculatoarele serviciilor secrete și ale companiilor private românești. Dar a recunoscut că are probleme grave privind securitatea echipamentelor care ar trebui să protejeze infrastructura IT. România, victima „securității” cumpărate de la Fortinet Timp de aproape opt luni, în perioada 22 octombrie 2025 – 9 iulie 2026, echipamente de protecție și securitate vândute de compania Fortinet în întreaga lume au fost stoarse de informații în urma unui atac cibernetic. Un raport obținut în exclusivitate de către DeFapt.ro arată că hackerul sau gruparea de hackeri „k0t” a obținut peste 70.000 de date de autentificare (usere și parole), dar și informații de acces în servere și calculatoare. Citește și: Bani pentru care nu plătești impozit în România în 2026: ce venituri sunt scutite și care sunt excepțiile Pe lista victimelor se află instituții guvernamentale, militare și companii private din 70 de state, inclusiv România. Soluțiile de securitate cibernetică FortiWeb și FortiGate, vândute de compania Fortinet prin intermediari, sunt printre cele mai utilizare în sectorul public românesc, de la Serviciul de Telecomunicații Speciale, servicii secrete, ministere, până la companii din energie și administrații locale. Deocamdată nu se știe ce instituții publice și private din România sunt afectate de furtul de date prin intermediul soluțiilor de securitate Fortinet. STS nu a răspuns, până la data publicării articolului, solicitării de informații transmise de către DeFapt.ro Vulnerabilități la FortiWeb și FortiGate FortiWeb, soluția de securitate cibernetică care ar trebui să protejeze aplicațiile web, are vulnerabilitatea CVE-2025-64446, care este descrisă ca o cale de executare a unor operațiuni administrative fără autentificarea normală. Un cod CVE este un identificator public al unei vulnerabilități, util echipelor tehnice pentru a găsi explicația și remedierea corectă. În cazul FortiGate, raportul descrie încercări automate de autentificare cu combinații de nume de utilizator și parole. Atacul de tip „brute force” înseamnă încercarea repetată a unor parole până când una funcționează. Instrumentul analizat așteaptă aproximativ 60 de secunde după detectarea unei blocări și încearcă din nou. O blocare temporară poate încetini atacul; dar o parolă puternică, limitarea accesului administrativ și autentificarea suplimentară sunt metodele sigure de protecție. O mare problemă apare după obținerea accesului: copierea configurației FortiGate. Fișierul poate conține harta conexiunilor și secrete necesare pentru integrarea cu alte sisteme. Specialiștii afirmă că operatorii au recuperat offline unele secrete folosind cheia FortiOS implicită cunoscută și asociază mecanismul cu CVE-2019-6693. „Offline” înseamnă că atacatorul lucrează pe copia furată, fără să mai trimită cereri dispozitivului victimei. Documentația Fortinet distinge parolele administrative stocate ca hash de secretele criptate reversibil. Un hash este o reprezentare folosită la verificarea parolei, nu o parolă care se decriptează pur și simplu cu aceeași cheie. Directoratul Național de Securitate Cibernetică a avertizat încă din decembrie 2025 utilizatorii Fortinet de existența breșei de securitate, dar nu a pomenit nici o clipă că printre utilizatori se află și multe instituții ale statului român. Fortinet se ascunde în spatele FBI și US Secret Service Adrian Danciu, directorul regional al Fortinet, nu știe sau nu vrut să spună ce instituții publice și private din România au fost afectate de atacul cibernetic. DeFapt.ro l-a întrebat inclusiv dacă a informat principalii clienți din România, STS, serviciile secrete și băncile cu privire la furtul de date de acces, dar mai ales cine verifică dacă atacatorii au în continuare acces în servere și calculatoare atacate. Danciu a refuzat să răspundă și nu a dorit să confirme nici dacă au fost închise toate căile de acces ale hackerilor în calculatoarele guvernamentale sau militare. Directorul Adrian Danciu ne-a pasat departamentului de comunicare al Fortinet. Reprezentanta departamentului, Debi Christie North, a refuzat și ea să răspundă întrebărilor transmis de către DeFapt.ro. Dar a transmis o declarație referitoare la avertizarea comună a FBI și US Secret Service prin care recunoaște că echipamentele Fortinet au probleme grave de securitate. „Fortinet este la curent cu avertizarea comună emisă de FBI și US Secret Service privind campania în curs de compromitere a credențialelor care vizează dispozitivele FortiGate expuse la internet – o situație pe care o monitorizăm activ încă de la anunțul nostru inițial din 19 iunie. Această activitate nu implică nicio vulnerabilitate nouă sau necorectată a produselor Fortinet. Avertizarea reflectă recomandările pe care Fortinet le-a transmis deja clienților”, potrivit companiei Fortinet. Fortinet nu își anunță clienții cu privire la riscuri majore Reputația companiei Fortinet a fost pătată inițial în perioada 2016–2019, când cercetătorii au descoperit un „magic string” hardcodat în codul sistemului de operare FortiOS. Această linie de cod secretă permitea oricui o cunoștea să treacă de autentificare și să schimbe parolele de administrator direct prin protocolul SSH. Fortinet a susținut atunci că a fost o eroare de management al codului destinată testării, dar incidentul a lăsat suspiciuni de „backdoor” guvernamental intenționat. Practic, serverele și calculatoarele guvernamentale puteau fi accesate de la distanță printr-o ușă secretă. De exempu, Serviciul de Informații Militare din Olanda a dezvăluit că actori sponsorizați de statul chinez au exploatat vulnerabilități din sisteme FortiGate cu mult înainte ca Fortinet să le recunoască public. Chinezii au compromis zeci de mii de sisteme la nivel global și au instalat backdoor-uri persistente, care supraviețuiau chiar și după actualizarea firmware-ului sau resetarea completă a dispozitivului. Încă și mai grav este că Fortinet practică „silent patching”, adică repară vulnerabilități critice în actualizările de firmware fără a anunța public clienții că existau riscuri majore, pentru a evita publicitatea negativă. Cine este hackerul „k0t” care vinde datele de acces? „k0t” este un infractor cibernetic a cărui activitate este urmărită de mai multe grupuri de investigații. Mai multe rapoarte indică că „k0t” ar putea fi asociat cu grupuri ransomware precum Qilin și Gentelmen, putând acționa ca un broker de acces sau ca afiliat pentru oricare dintre grupuri. Datele analizate arată că hackerul „k0t” are un interes deosebit pentru achiziționarea de coduri și instrumente de exploatare a vulnerabilităților și le-ar fi putut folosi în atacurile de rețea expuse. Ce îl motivează? Specialiștii consideră că „k0t”este interesat în principal de bani. „Din activitățile lui k0t, am observat o concentrare pe obținerea accesului inițial la victime prin intermediul vulnerabilităților și/sau dispozitivelor de rețea configurate greșit, după care ar continua să compromtită <Active Directory-ul> țintei”, se arată în raportul menționat anterior. Hackerul k0t nu vinde căile de acces pe forumurile clandestine, dar există posibilitatea ca acestea să fie vândute printr-un canal privat sau să efectueze ei înșiși compromiteri și extorcări suplimentare.
