Tu firewall puede ser la puerta de entrada del ransomware

01Qué pasó

El 6 de octubre de 2026, el FBI y el Servicio Secreto de Estados Unidos publicaron un aviso conjunto sobre FortiBleed: una operación que roba accesos a firewalls FortiGate y a su VPN, la conexión que usa tu equipo para trabajar desde fuera de la oficina.

No se trata de una falla de software. Los atacantes prueban contraseñas filtradas o reutilizadas hasta que una funciona, y descifran las contraseñas que el equipo guarda con un método antiguo.

• La empresa de inteligencia SOCRadar verificó más de 86,644 equipos comprometidos en 194 países.
• Algunos administradores quedaron fuera de sus propios firewalls: los atacantes les cambiaron la contraseña.
• El acceso robado se vende a grupos de ransomware. El aviso menciona a INC/Lynx y a Payload.

La misma semana, Citrix tuvo malas noticias para quienes usan NetScaler (otro equipo muy común para dar acceso remoto):

• Una falla (CVE-2026-88779) ya se estaba explotando cuando salió el parche. La agencia de ciberseguridad de Estados Unidos (CISA) la agregó a su lista de fallas explotadas el 4 de octubre.
• El 9 de octubre, Citrix anunció una segunda falla crítica (CVE-2026-107406) que permitiría ejecutar código en el equipo. Hasta ese día, Citrix no sabía de ataques.
• Las dos afectan a equipos configurados con inicio de sesión único (SAML).

02Por qué te importa en México

Si tu empresa tiene un FortiGate o un NetScaler, o cualquier equipo que dé acceso remoto, esto te toca. El aviso no da cifras por país, pero 194 países es prácticamente el mundo entero.

Muchos ataques de ransomware no empiezan con un virus. Empiezan con alguien que entra por la VPN con un usuario y una contraseña válidos. Para tus sistemas, parece un empleado más trabajando desde casa.

La buena noticia: lo primero que recomienda el aviso no cuesta dinero. Son contraseñas, sesiones y configuración.

03Qué hacer esta semana

1. Haz dos preguntasA tu persona de sistemas (TI) o a tu proveedor: ¿tenemos FortiGate o NetScaler? ¿La administración del equipo se puede abrir desde internet? Si la respuesta es sí, que la limiten a equipos de confianza o la quiten.
2. Cierra la puerta que ya pudieron abrirCerrar todas las sesiones activas de administración y de VPN, cambiar esas contraseñas y activar verificación en dos pasos resistente a phishing en la VPN y en las cuentas de administrador. Revisar si hay cuentas que nadie reconoce: SOCRadar menciona nombres como «forticloud-sync» o «fgtsecure».
3. Actualiza y ten un plan BSi tienen NetScaler, actualizarlo a la versión 14.1-73.46 o 13.1-64.29, o posteriores, que corrigen las dos fallas. Y confirmar que hay una forma de recuperar el control del firewall si alguien les cambia la contraseña.