FortiBleed: حملة سرقة بيانات اعتماد تستهدف 73,932 جدارًا ناريًا من Fortinet في 194 دولة

طريقة الاستغلال: لا أيام صفر، فقط سوء إدارة

على الرغم من أن الاسم يوحي بوجود ثغرة أمنية خطيرة مثل Heartbleed، إلا أن FortiBleed لا علاقة له بثغرة برمجية.أكدت شركات أمنية متعددة — بما في ذلك TechCrunch وSOCRadar وHudson Rock وArctic Wolf — أنه لم يتم استخدام أي ثغرات غير معروفة (أيام صفر) .

بدلاً من ذلك، اتبع المهاجمون نهجًا من خطوتين في سلسلة التوريد:

• الخطوة 1: حصاد بيانات الاعتماد من برمجيات سرقة المعلومات. تمت سرقة بيانات اعتماد واجهات إدارة Fortinet وبوابات VPN في البداية من أجهزة الموظفين والمسؤولين المصابة ببرمجيات خبيثة لسرقة المعلومات .
• الخطوة 2: كسر تجزئة كلمات المرور من التكوينات المكشوفة. بمجرد حصول المهاجمين على وصول أولي، قاموا باستخراج ملفات التكوين من أجهزة FortiGate المتصلة بالإنترنت وكسروا تجزئة كلمات مرور VPN المخزنة باستخدام مجموعة معالجة رسومية مكونة من 45 بطاقة، مستغلين كلمات مرور ضعيفة أو لم يتم تغييرها .

أكدت SOCRadar أن المهاجمين جمعوا ما لا يقل عن 30,791 بيانات اعتماد عاملة موثقة من أجهزة FortiGate المتصلة بالإنترنت .أكد تحليل Arctic Wolf المستقل أن التقديرات تشير إلى أن عدد الأجهزة المخترقة يتراوح بين 30,000 و 75,000 .

ضحايا بارزون

تشمل قائمة الضحايا المؤكدين في تقارير متعددة: Accenture، Comcast، Foxconn، Lenovo، Oracle، Samsung، Siemens، PwC، بالإضافة إلى وكالات حكومية في 15 دولة على الأقل . ذكرت وكالة Reuters أن معظم الأجهزة المخترقة كانت موجودة في الولايات المتحدة والهند وتايوان .

القطاعات الأكثر تضررًا، وفقًا للبيانات التي تم تحليلها، كانت:

• خدمات تكنولوجيا المعلومات (مزودو الخدمات المدارة، عمليات السحابة)
• مواد البناء (الموردون العالميون الكبار)
• الاتصالات السلكية واللاسلكية (مشغلو المستوى الأول ومزودو خدمات الإنترنت)

تحدد مصادر متعددة هذه القطاعات الثلاثة الأكثر تضررًا .

هجمات متزامنة ذات صلة

بالتزامن مع FortiBleed، لاحظ الباحثون 2.1 مليار محاولة تسجيل دخول بالقوة الغاشمة ضد أكثر من 160,000 خادم MSSQL مكشوف على الإنترنت، يُعتقد أنها من تدبير نفس المجموعة التهديدية .

الإسناد

تُعزو كل من SOCRadar و Hudson Rock الحملة إلى مجموعة تهديد متعددة المشغلين ناطقة بالروسية . حافظ المهاجمون على بنية تحتية خلفية نشطة — بما في ذلك وظائف cron والقياس عن بُعد وحلقات سرقة بيانات الاعتماد الحية — على الأجهزة المخترقة، مما يشير إلى عملية متطورة ومستمرة وليست مجرد سرقة بيانات لمرة واحدة .

الاستجابة الموصى بها

توصي الشركات الأمنية بما في ذلك Hudson Rock و Arctic Wolf و Fortinet باتخاذ الإجراءات الفورية التالية لأي مؤسسة تستخدم أجهزة Fortinet:

• فرض تدوير فوري لبيانات الاعتماد لجميع حسابات إدارة FortiGate و SSL VPN .
• فرض المصادقة متعددة العوامل (MFA) على كل عملية تسجيل دخول VPN — هذا هو الضابط الأكثر فعالية ضد هجمات سرقة بيانات الاعتماد .
• تدقيق سجلات الأجهزة بحثًا عن صادرات تكوين غير مصرح بها، ووظائف cron غير معروفة، وجلسات VPN شاذة .
• تقييد الوصول إلى واجهة الإدارة لعناوين IP موثوقة فقط؛ لا تترك واجهة المستخدم الإدارية أو SSH مكشوفة على الإنترنت العام .

بوابة فحص التعرض المجانية

أطلقت Hudson Rock بوابة فحص مجانية تسمح لأي مؤسسة بالبحث عن نطاقها ضمن مجموعة بيانات 73,932 جهازًا. تم الإعلان عن هذه الأداة على نطاق واسع في 17-18 يونيو 2026 .