FortiBleed: Yli 73 000 Fortinet-palomuuria vaarantui – näin valtava tietomurto onnistui

Hyökkäystapa: Ei nollapäivähaavoittuvuuksia, vaan huonoa huolenpitoa

Nimestään huolimatta FortiBleedillä ei ole mitään tekemistä ohjelmistohaavoittuvuuden kanssa. Useat tietoturvayritykset – TechCrunch, SOCRadar, Hudson Rock ja Arctic Wolf – vahvistivat, ettei mitään tuntemattomia haavoittuvuuksia (nollapäivähaavoittuvuuksia) käytetty .

Hyökkääjät toteuttivat kaksivaiheisen toimitusketjuhyökkäyksen:

• Vaihe 1: Tunnusten talteenotto tietovarasohjelmista. Fortinetin hallintaliittymien ja VPN-portaalin tunnukset varastettiin alun perin tietovarasohjelmilla tartutetuilta työntekijöiden ja järjestelmänvalvojien koneilta .
• Vaihe 2: Salasanojen tiivisteiden murtaminen paljastuneista kokoonpanotiedostoista. Päästyään järjestelmiin hyökkääjät purkivat kokoonpanotiedostoja internetiin kytketyistä FortiGate-laitteista ja mursivat niihin tallennetut SSL VPN -salasanatiivisteet käyttäen 45 GPU:n laskentaklusteria hyödyntäen heikkoja tai vaihtamatta jätettyjä salasanoja .

SOCRadar vahvisti hyökkääjien keränneen ainakin 30 791 vahvistettua toimivaa tunnusta internetiin kytketyistä FortiGate-laitteista . Arctic Wolflin analyysi vahvisti itsenäisesti, että vaarantuneiden laitteiden määrä on 30 000–75 000 .

Korkean profiilin uhrit

Vahvistettuja uhreja ovat useiden raporttien mukaan Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens ja PwC sekä valtion virastoja ainakin 15 maassa . Reuters raportoi, että suurin osa vaarantuneista laitteista oli Yhdysvalloissa, Intiassa ja Taiwanissa .

Kovimmin kärsineet toimialat analysoidun datan perusteella:

• IT-palvelut (hallinnoidut palveluntarjoajat, pilvitoiminnot)
• Rakennusmateriaalit (suuret kansainväliset toimittajat)
• Televiestintä (tason 1 operaattorit ja internet-palveluntarjoajat)

Useat lähteet nimeävät nämä kolme eniten kärsineeksi alaksi .

Samanaikaiset hyökkäykset

FortiBleedin kanssa yhtä aikaa tutkijat havaitsivat 2,1 miljardia raakaa kirjautumisyritystä yli 160 000 internetiin kytkettyä MSSQL-palvelinta vastaan, joiden uskotaan kuuluvan samaan uhkaklusteriin .

Tekijät

Sekä SOCRadar että Hudson Rock liittävät kampanjan venäjänkieliseen monitoimijaryhmään . Hyökkääjät ylläpitivät aktiivista taustainfrastruktuuria – mukaan lukien cron-ajoja, telemetriaa ja live-tunnustenkalastussilmukoita – vaarannetuilla laitteilla, mikä viittaa kehittyneeseen, jatkuvaan operaatioon eikä kertaluontoiseen tietovarkauteen .

Suositellut toimenpiteet

Tietoturvayritykset Hudson Rock, Arctic Wolf ja Fortinet suosittelevat seuraavia välittömiä toimia Fortinet-laitteita käyttäville organisaatioille:

• Pakota välitön tunnusten vaihto kaikille FortiGaten hallinta- ja SSL VPN -tileille .
• Ota käyttöön monivaiheinen tunnistautuminen (MFA) jokaiselle VPN-kirjautumiselle – tämä on tehokkain yksittäinen keino torjua tunnusmurskausta .
• Tarkista laitelokit luvattomien kokoonpanon vientien, tuntemattomien cron-tehtävien ja poikkeavien VPN-istuntojen varalta .
• Rajoita hallintaliittymän pääsy vain luotettuihin IP-osoitteisiin; älä koskaan jätä hallintaliittymää tai SSH:tä avoimeksi julkiseen internetiin .

Ilmainen altistumisen tarkistusportaali

Hudson Rock julkaisi ilmaisen hakutyökalun, jolla organisaatiot voivat tarkistaa verkkotunnuksensa 73 932 laitteen tunnustietokannasta. Työkalu julkistettiin laajalti 17.–18. kesäkuuta 2026 .