AWS rapporte qu'une attaque assistée par IA a compromis plus de 600 pare-feux FortiGate.

Détails de l'attaque tirés du rapport d'incident AWS

Les équipes de sécurité d'AWS ont documenté une campagne de mi-janvier à mi-février 2026 au cours de laquelle des cybercriminels russophones ont compromis plus de 600 pare-feux FortiGate dans 55 pays. Les attaquants ont utilisé des outils commerciaux d'IA générative pour créer des playbooks d'attaque, des scripts et des notes opérationnelles, permettant à un groupe relativement peu qualifié de mener ce qui nécessiterait habituellement plus de ressources.

Méthodologie d'attaque

La campagne s'est concentrée sur le scan des interfaces de gestion FortiGate exposées sur l'internet public. Les attaquants ont ensuite tenté d'utiliser des identifiants couramment réutilisés ou faibles. Une fois à l'intérieur, ils ont extrait des fichiers de configuration contenant :

• Identifiants administrateur et VPN
• Détails de la topologie réseau
• Règles de pare-feu

De là, ils ont pénétré plus profondément dans les environnements, ciblant Active Directory, vidant les identifiants et sondant les opportunités de mouvement latéral. Les systèmes de sauvegarde, y compris les serveurs Veeam, ont également été ciblés.

Caractéristiques des outils d'IA

AWS a observé que les outils générés par l'IA étaient fonctionnels mais approximatifs, avec une logique d'analyse simpliste et des commentaires redondants suggérant un code généré par machine. Les outils étaient intégrés tout au long du flux de travail plutôt que simplement utilisés pour des scripts occasionnels. CJ Moses, RSSI chez Amazon, a noté : "Le volume et la variété des outils personnalisés indiqueraient normalement une équipe de développement bien dotée. Au lieu de cela, un seul acteur ou un très petit groupe a généré toute cette boîte à outils grâce au développement assisté par l'IA."

Modèles d'attaque et défense

Les attaquants avaient tendance à abandonner les cibles qui résistaient et à passer à des cibles plus faciles, privilégiant le volume à la finesse. L'activité était géographiquement opportuniste plutôt que ciblée, avec des victimes en Europe, Asie, Afrique et Amérique latine. Certaines compromissions ont pu permettre l'accès à des prestataires de services managés ou à des environnements partagés plus vastes, amplifiant les risques en aval.

AWS a souligné qu'une hygiène de sécurité de base aurait empêché la plupart des compromissions :

• Garder les interfaces de gestion hors de l'internet public
• Appliquer l'authentification multifacteur
• Éviter le recyclage des mots de passe

Ces conclusions font suite aux récents avertissements de Google concernant l'intégration croissante de l'IA générative directement dans les opérations criminelles, y compris l'utilisation de Gemini AI pour la reconnaissance, le profilage des cibles, le phishing et le développement de logiciels malveillants.