Seit Mitte Januar 2026 greifen Angreifer automatisiert Fortinet FortiGate-Geräte an und nutzen den SSO-Authentifizierungspfad für unautorisierte Konfigurationsänderungen. Sie erstellen generische Persistenzkonten, aktivieren VPN-Zugriff und exfiltrieren Firewall-Konfigurationen. Die Kampagne ähnelt Vorfällen aus dem Dezember 2025.