Vulnerabilitate critică la vârful statului: Zeci de milioane de euro pompate de SRI și STS în echipamente compromise de hackeri

România figurează printre cele 70 de țări vizate de un atac cibernetic de amploare asupra echipamentelor de securitate Fortinet și Palo Alto Networks. Potrivit unei investigații publicate de DeFapt.ro, hackerii au obținut peste 70.000 de date de autentificare la nivel internațional, în timp ce instituții importante ale statului român, inclusiv STS și serviciile de informații, au achiziționat soluții Fortinet în valoare de zeci de milioane de euro. Nu se cunoaște însă câte dintre acestea au fost efectiv compromise.

Atac cibernetic desfășurat timp de aproape opt luni

Potrivit unui raport obținut de DeFapt.ro, atacurile atribuite hackerului sau grupării „k0t” s-au desfășurat între 22 octombrie 2025 și 9 iulie 2026.

În această perioadă, au fost extrase peste 70.000 de credențiale și informații care permit accesarea unor sisteme informatice. Printre țintele identificate se numără instituții guvernamentale, structuri militare și companii private din 70 de țări.

În România, produsele FortiWeb și FortiGate sunt utilizate de instituții precum Serviciul de Telecomunicații Speciale, serviciile de informații, ministere, administrații locale și operatori din domeniul energetic.

Investigația arată că informațiile de acces sunt în continuare comercializate pe dark web, însă nu stabilește exact ce instituții sau companii românești au fost compromise.

Vulnerabilități care permit accesul la informații sensibile

Raportul identifică mai multe probleme de securitate ale produselor Fortinet. Una dintre acestea, CVE-2025-64446, afectează FortiWeb și poate permite executarea unor operațiuni administrative fără autentificarea obișnuită.

În cazul FortiGate, atacatorii au folosit inclusiv încercări automate și repetate de autentificare, cunoscute drept atacuri „brute force”.După obținerea accesului, hackerii pot copia configurațiile echipamentelor, care pot conține informații despre conexiunile interne și date sensibile necesare comunicării cu alte sisteme.

Raportul menționează și recuperarea unor informații criptate prin exploatarea unei probleme asociate vulnerabilității CVE-2019-6693.

Directoratul Național de Securitate Cibernetică avertizase încă din decembrie 2025 asupra riscurilor pentru utilizatorii Fortinet, fără să precizeze că printre aceștia se numără numeroase instituții românești.

Fortinet, întrebată despre securitatea instituțiilor din România

Jurnaliștii citați au solicitat explicații directorului regional Fortinet, Adrian Danciu, inclusiv despre informarea clienților români și verificarea eventualelor căi de acces rămase la dispoziția atacatorilor.

Acesta nu a oferit răspunsuri și a direcționat solicitările către departamentul de comunicare al companiei. Nici reprezentanta Fortinet, Debi Christie North, nu a clarificat situația instituțiilor românești.

Compania a transmis însă o poziție referitoare la avertizarea comună emisă de FBI și US Secret Service:

„Fortinet este la curent cu avertizarea comună emisă de FBI și US Secret Service privind campania în curs de compromitere a credențialelor care vizează dispozitivele FortiGate expuse la internet – o situație pe care o monitorizăm activ încă de la anunțul nostru inițial din 19 iunie.

Această activitate nu implică nicio vulnerabilitate nouă sau necorectată a produselor Fortinet. Avertizarea reflectă recomandările pe care Fortinet le-a transmis deja clienților”, potrivit companiei Fortinet.

Nici STS nu răspunsese solicitărilor publicației până la momentul apariției investigației.

Probleme de securitate semnalate și în trecut

Investigația amintește că Fortinet s-a confruntat anterior cu vulnerabilități importante. Între 2016 și 2019, cercetătorii au identificat un mecanism în FortiOS care putea permite ocolirea autentificării și modificarea parolelor administrative prin SSH.

Compania a explicat atunci că problema provenea dintr-o eroare de gestionare a codului destinat testării.

Totodată, serviciile militare de informații din Olanda au semnalat exploatarea unor vulnerabilități FortiGate de către atacatori susținuți de statul chinez, care au compromis numeroase sisteme și au instalat mecanisme de acces persistente.

Sursa citată menționează și practica denumită „silent patching”, prin care anumite vulnerabilități sunt remediate prin actualizări fără informarea explicită a utilizatorilor asupra riscurilor.

Cine se află în spatele atacurilor

Hackerul identificat drept „k0t” este urmărit de mai multe grupuri de investigații în securitate cibernetică. Unele rapoarte indică posibile legături cu grupările ransomware Qilin și Gentelmen.

Specialiștii consideră că principalul obiectiv al acestuia este obținerea unor câștiguri financiare prin compromiterea rețelelor informatice și exploatarea accesului obținut.

Nu este stabilit dacă informațiile furate sunt comercializate prin canale private sau utilizate direct pentru alte atacuri și tentative de extorcare.