Secutec et SOCRadar ont identifié 270 organisations belges exposées à l'attaque contre le fabricant de pare-feu Fortinet
En résumé :
- Une enquête de Secutec et SOCRadar met en lumière un cyberincident d’ampleur visant les réseaux d’entreprises, y compris en Belgique.
- Les pare-feu de 270 organisations belges ont été compromis en février 2026. Selon Secutec, 110 d’entre eux demeurent actuellement accessibles via Internet au moyen des identifiants administrateur interceptés.
- Sur près d’un pare-feu sur deux analysés, les chercheurs ont découvert des comptes créés par les hackers eux-mêmes afin de maintenir leur accès aux systèmes.
- Les cybercriminels privilégient désormais l’exfiltration de données avant l’extorsion : les informations dérobées servent ensuite à exercer une pression financière sur les organisations victimes.
Au moins 270 organisations belges ont été touchées par le cyberincident majeur FortiBleed, au cours duquel des cybercriminels ont dérobé des identifiants d’accès à des pare-feu Fortinet et les exploitent activement. C’est ce qui ressort d’une analyse menée par l’entreprise de cybersécurité Secutec, qui a évalué l’impact de l’incident en Belgique en collaboration avec la Threat Research Unit de SOCRadar, spécialiste de la surveillance du dark web. Dans plus d’une centaine d’organisations belges, les attaquants disposent encore aujourd’hui d’un accès administrateur au pare-feu et au réseau des organisations concernées.
FortiBleed
FortiBleed est considéré comme l’un des plus importants incidents jamais survenus chez un fournisseur de solutions de sécurité. À l’échelle mondiale, Secutec et SOCRadar ont identifié plus de 75 000 pare-feu compromis. Plus de 110 millions d’identifiants d’accès ont été interceptés dans le cadre d’une campagne d’envergure qui se poursuit depuis le début de l’année 2026 et reste active à ce jour.
L’attaque exploite le portail partenaires de Fortinet, via lequel les prestataires de services informatiques accèdent aux environnements de leurs clients. Les pirates se sont emparés des identifiants de connexion de dizaines de milliers de partenaires, leur permettant d’accéder non pas à une seule organisation, mais à l’ensemble d’une chaîne de réseaux clients. Cela explique pourquoi l’impact s’étend simultanément à plusieurs secteurs et pourquoi des organisations de plus petite taille ont également été touchées.
Un impact considérable en Belgique
L’enquête menée en Belgique révèle une ampleur particulièrement préoccupante. Les identifiants dérobés concernent des organisations issues de secteurs variés, tels que des cabinets d’avocats, des administrations locales, des établissements scolaires et d’autres prestataires de services. Dans au moins 150 cas, les pare-feu concernés restent directement accessibles depuis Internet. Parmi eux, 110 permettent encore aujourd’hui une connexion avec les droits administrateur du partenaire informatique.
L’origine du problème réside souvent dans des pratiques de sécurité insuffisantes. Ainsi, aucun des pare-feu analysés ne disposait d’une authentification multifacteur activée, alors que les partenaires informatiques utilisent fréquemment les mêmes mots de passe pour plusieurs clients. En outre, 85 % des systèmes touchés n’exécutent pas la version la plus récente du micrologiciel (firmware), laissant ainsi ouvertes des vulnérabilités connues susceptibles d’être exploitées.
Les cybercriminels sont toujours actifs
Selon les recherches menées par les deux organisations de cybersécurité, FortiBleed illustre clairement l’évolution des méthodes employées par les cybercriminels. « Alors que les attaques par ransomware visaient auparavant principalement le chiffrement des données, l’accent se déplace aujourd’hui vers le vol et la revente d’accès et d’informations. Nous qualifions ce phénomène d’« Initial Access Brokerage », c’est-à-dire la commercialisation d’accès compromis à des systèmes informatiques. En Belgique, de nouveaux comptes ont déjà été créés par les pirates sur au moins 45 systèmes, ce qui indique que ces accès sont préparés en vue d’une revente sur le dark web. Nous constatons également que plusieurs organisations à travers le monde ont déjà subi d’importantes opérations d’exfiltration de données », explique Geert Baudewijns, CEO de Secutec.
L’opération est liée à un groupe russe et se distingue par un niveau d’organisation, de coordination et une ampleur sans précédent. Selon l’enquête, les attaquants ont obtenu leur accès par des attaques de type « brute force », consistant à tester automatiquement de grandes quantités de combinaisons de noms d’utilisateur et de mots de passe. Passé cette étape, ils ont installé FortigateSniffer, un outil capable de surveiller l’ensemble du trafic réseau transitant par le pare-feu et d’intercepter des identifiants via des dizaines de protocoles.
Les données dérobées sont ensuite déchiffrées, enrichies et utilisées pour progresser davantage au sein des systèmes internes, avant l’exfiltration systématique d’informations sensibles. Les chercheurs constatent que l’infrastructure des cybercriminels demeure pleinement opérationnelle et que de nouveaux systèmes sont compromis chaque jour.
« FortiBleed illustre la vulnérabilité croissante de l’écosystème actuel des services informatiques : un seul maillon faible peut donner accès simultanément à des centaines d’organisations. »
Les autorités belges informées
Secutec a d’ores et déjà informé le Centre pour la Cybersécurité Belgique ainsi que plusieurs CERT nationaux européens. Les deux entreprises appellent les organisations utilisant des solutions Fortinet à prendre des mesures urgentes, notamment en mettant à jour leurs systèmes, en activant l’authentification multifacteur et en contrôlant les accès ainsi que les comptes utilisateurs.
« FortiBleed illustre la vulnérabilité croissante de l’écosystème actuel des services informatiques : un seul maillon faible peut donner accès simultanément à des centaines d’organisations. Nous nous attendons à ce que ce type d’attaque à grande échelle visant les chaînes d’approvisionnement numériques se multiplie au cours des prochaines années », avertit Baudewijns.