# România apare în breșa Fortinet care a expus peste 70.000 de date de autentificare la nivel global

> Campania descrisă de DeFapt.ro a rulat între 22 octombrie 2025 și 9 iulie 2026 și a compromis peste 70.000 de date de autentificare.

Publicat: 13 octombrie 2026, 15:10 · Actualizat: 13 octombrie 2026, 15:16 · Autor: Denisa Stanescu · Categorie: [Tehnologie](https://financiarul.ro/tehnologie/index.html.md) · Pagina web: https://financiarul.ro/tehnologie/romania-apare-in-bresa-fortinet-care-a-expus-peste-70-000-de-date/ · Publicație: Financiarul

![Servere și cabluri de rețea](https://financiarul.ro/wp-content/uploads/2026/10/bresa-fortinet-romania-1024x683.jpg)

**România figurează printre cele 70 de state vizate de o campanie în care au fost obținute peste 70.000 de date de autentificare la nivel global, într-un caz care atinge indirect și achiziții publice de zeci de milioane de euro pentru echipamente Fortinet folosite în instituții românești.**

Potrivit [DeFapt.ro](https://defapt.ro/investigatii/romania-afectata-grav-de-bresa-de-securitate-cibernetica-fortinet), un raport obținut de DeFapt.ro arată că hackerul sau gruparea „k0t” a obținut peste 70.000 de date de autentificare, precum și informații de acces la servere și calculatoare, în urma unei campanii care a vizat echipamente de securitate Fortinet și Palo Alto Networks și s-a desfășurat între 22 octombrie 2025 și 9 iulie 2026. Publicația scrie că printre victime se află instituții guvernamentale, militare și companii private din 70 de state, inclusiv România, iar cifra de peste 70.000 privește campania globală, nu exclusiv România.

În plan local, DeFapt.ro scrie că România a cumpărat prin Serviciul de Telecomunicații Speciale și serviciile de informații echipamente Fortinet în valoare de zeci de milioane de euro. Publicația nu identifică instituțiile românești afectate de furtul de date.

## Soluțiile FortiWeb și FortiGate sunt răspândite în sectorul public românesc

DeFapt.ro scrie că soluțiile FortiWeb și FortiGate sunt utilizate în sectorul public românesc, inclusiv de STS, servicii de informații, ministere, companii din energie și administrații locale. Utilizarea acestor echipamente nu echivalează însă, prin ea însăși, cu compromiterea fiecărui client.

Publicația descrie FortiWeb ca soluție pentru protecția aplicațiilor web și indică vulnerabilitatea CVE-2025-64446, prezentată drept o cale de executare a unor operațiuni administrative fără autentificarea normală. Un cod CVE este identificatorul public folosit pentru localizarea și remedierea unei vulnerabilități.

În cazul FortiGate, raportul citat de DeFapt.ro descrie încercări automate de autentificare cu combinații de nume de utilizator și parole. Atacul de tip brute force înseamnă testarea repetată a mai multor parole până când una funcționează. Instrumentul analizat ar reîncerca autentificarea după aproximativ 60 de secunde de la detectarea unei blocări. O blocare temporară poate încetini atacul, însă protecția presupune o parolă puternică, limitarea accesului administrativ și autentificarea suplimentară.

## După acces, miza tehnică se mută la configurația FortiGate și la secretele de integrare

DeFapt.ro relatează că, după obținerea accesului, atacatorii pot copia configurația FortiGate. Fișierul poate conține harta conexiunilor și secrete necesare pentru integrarea cu alte sisteme, adică exact datele care pot extinde accesul dincolo de un singur dispozitiv.

Publicația atribuie specialiștilor afirmația că unele secrete au fost recuperate offline folosind cheia FortiOS implicită cunoscută, mecanism asociat cu CVE-2019-6693. Analiza „offline” se face pe copia furată, fără cereri noi trimise dispozitivului compromis.

Documentația Fortinet, citată de DeFapt.ro, distinge între parole administrative stocate ca hash și secrete criptate reversibil. Un hash este o reprezentare folosită la verificarea parolei, nu o parolă care se poate decripta direct cu aceeași cheie.

## Fortinet spune că monitorizează campania din 19 iunie

Poziția companiei, transmisă prin DeFapt.ro, este că monitorizează campania de compromitere a credențialelor de la anunțul inițial din 19 iunie și că activitatea nu implică o vulnerabilitate nouă sau necorectată a produselor sale. Fortinet mai susține că avertizarea comună emisă de FBI și US Secret Service reflectă recomandările deja trimise clienților.

Adrian Danciu, directorul regional Fortinet, a refuzat să răspundă întrebărilor DeFapt.ro despre informarea clienților români și despre verificarea închiderii căilor de acces ale atacatorilor. Debi Christie North, reprezentanta departamentului de comunicare al Fortinet, a transmis doar poziția companiei privind campania aflată în desfășurare.

DeFapt.ro precizează și că Serviciul de Telecomunicații Speciale nu răspunsese solicitării sale până la publicarea articolului.

## Directoratul Național de Securitate Cibernetică avertizase încă din decembrie 2025

Directoratul Național de Securitate Cibernetică a avertizat utilizatorii Fortinet în decembrie 2025 cu privire la breșa de securitate, potrivit DeFapt.ro. Publicația adaugă că avertizarea nu a menționat explicit faptul că printre utilizatori se află și instituții ale statului român.

În fundal, DeFapt.ro amintește și episoade anterioare privind securitatea FortiOS din perioada 2016-2019, inclusiv descoperirea unui „magic string” hardcodat care permitea ocolirea autentificării și schimbarea parolelor de administrator prin SSH. Fortinet a susținut că acel cod provenea dintr-o eroare de management al codului destinat testării. Publicația mai scrie că Fortinet a fost criticată și pentru practica de „silent patching”, adică repararea unor vulnerabilități critice în actualizări de firmware fără anunț public distinct despre riscurile majore.

## Raportul descrie un actor interesat de acces inițial și monetizare

În privința profilului atacatorului, DeFapt.ro scrie că „k0t” este urmărit de mai multe grupuri de investigații și că mai multe rapoarte îl leagă de grupuri ransomware precum Qilin și Gentelmen, într-un rol posibil de broker de acces sau afiliat. Datele analizate indică și interesul lui „k0t” pentru achiziționarea de coduri și instrumente de exploatare a vulnerabilităților, pe care le-ar fi putut folosi în atacurile de rețea descrise.

Raportul obținut de publicație descrie astfel obiectivul actorului: „Din activitățile lui k0t, am observat o concentrare pe obținerea accesului inițial la victime prin intermediul vulnerabilităților și/sau dispozitivelor de rețea configurate greșit, după care ar continua să compromtită țintei”, se arată în raportul obținut de DeFapt.ro.

DeFapt.ro afirmă că datele de acces erau încă oferite spre vânzare pe darkweb. Publicația precizează însă ulterior că „k0t” nu vinde căile de acces pe forumurile clandestine și că o vânzare printr-un canal privat sau utilizarea lor directă pentru compromiteri și extorcări suplimentare rămân variantele indicate în raport.