פורטיבליד: 73,932 חומות אש של Fortinet נפרצו ב-194 מדינות

באמצע יוני 2026 חשפו חוקרי אבטחה אחת ממתקפות גניבת פרטי הכניסה הגדולות ביותר שתועדו אי פעם נגד אמצעי אבטחת רשת. המתקפה, שזכתה לכינוי 'פורטיבליד' (FortiBleed), פרצה לעשרות אלפי חומות אש של Fortinet FortiGate ושערי SSL VPN ב-194 מדינות – לא באמצעות ניצול פרצות אבטחה לא ידועות, אלא על ידי גניבה שיטתית, פיצוח ושימוש חוזר בסיסמאות חלשות או חשופות .

היקף הפריצה

מאגר הנתונים שהודלף, שנתגלה לראשונה על ידי חוקר האבטחה וולודימיר 'בוב' דיאצ'נקו ונותח על ידי חברת Hudson Rock, מכיל פרטי כניסה ונתוני תצורה של 73,932 כתובות ייחודיות של חומות אש Fortinet, המחוברות ל-21,632 דומיינים ייחודיים . התוקפים ביצעו כ-1.16 מיליארד ניסיונות גניבת פרטי כניסה [credential-stuffing] נגד למעלה מ-320,000 יעדי FortiGate . מעבר לסיסמאות, המאגר כולל פרטי כניסה פעילים של מנהלים (admin) ושל SSL VPN, כתובות דוא"ל, סיסמאות בטקסט ברור, ייצוא תצורה, משימות cron (משימות מתוזמנות אוטומטית), היסטוריות פקודות (bash histories) ומחרוזות חיבור – תמונת מצב חיה של תשתית התוקפים הפעילה .

שיטת הפריצה: לא אפס-דיי – היגיינה דיגיטלית לקויה

למרות השם המזכיר את פרצת ה-Heartbleed, ל-ForitBleed אין כל קשר לפרצת אבטחה בתוכנה. חברות אבטחה מרובות, כולל TechCrunch, SOCRadar, Hudson Rock ו-Arctic Wolf, אישרו כי לא נעשה שימוש בפרצות אבטחה לא ידועות (zero-days) .

במקום זאת, התוקפים השתמשו בגישה דו-שלבית של התקפת שרשרת אספקה (supply-chain):

• שלב 1: קצירת פרטי כניסה באמצעות תוכנות זדוניות מסוג 'גונב מידע' (infostealers). פרטי כניסה לממשקי הניהול של Fortinet ולפורטלי VPN נגנבו תחילה ממחשבי עובדים ומנהלים שנדבקו בתוכנות זדוניות כאלה .
• שלב 2: פיצוח גיבובי סיסמאות (password hashes) מתצורה חשופה. לאחר שזכו בגישה ראשונית, התוקפים חילצו קובצי תצורה ממכשירי FortiGate החשופים לאינטרנט ופצחו את גיבובי סיסמאות ה-SSL VPN המאוחסנים בהם באמצעות מערך של 45 כרטיסים גרפיים (GPU), תוך ניצול סיסמאות חלשות או שלא הוחלפו .

חברת SOCRadar אישרה שהתוקפים צברו לפחות 30,791 פרטי כניסה מאומתים כעובדים ממכשירי FortiGate החשופים לאינטרנט . הניתוח העצמאי של Arctic Wolf אישר שהערכות מספר המכשירים שנפרצו נעות בין 30,000 ל-75,000 .

קורבנות בעלי פרופיל גבוה

בין הקורבנות המאושרים, המוזכרים במספר דיווחים: Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens ו-PwC, וכן סוכנויות ממשלתיות ב-15 מדינות לפחות . סוכנות הידיעות רויטרס דיווחה כי רוב המכשירים שנפרצו נמצאו בארצות הברית, הודו וטייוואן .

הענפים שנפגעו הכי קשה, לפי ניתוח הנתונים, היו:

• שירותי IT (ספקי שירותים מנוהלים, פעולות ענן)
• חומרי בניין (ספקים רב-לאומיים גדולים)
• תקשורת (מובילי תקשורת מדרג 1 וספקיות אינטרנט)

מקורות מרובים מזהים את שלושת הענפים הללו כבעלי הפגיעה החמורה ביותר .

מתקפות קשורות בו-זמנית

במקביל ל-ForitBleed, החוקרים זיהו 2.1 מיליארד ניסיונות כניסה בכוח גס (brute-force) נגד למעלה מ-160,000 שרתי MSSQL החשופים לאינטרנט, אשר מיוחסים לאותו אשכול איומים .

ייחוס (Attribution)

גם SOCRadar וגם Hudson Rock מייחסים את המתקפה לקבוצת איומים דוברת רוסית בעלת מספר מפעילים (multi-operator) . התוקפים החזיקו בתשתית צד-אחורי (back-end) פעילה על המכשירים שנפרצו – כולל משימות cron, טלמטריה ולולאות איסוף פרטי כניסה חיות – מה שמעיד על מבצע מתוחכם ומתמשך, ולא על איסוף נתונים חד-פעמי .

תגובה מומלצת

חברות אבטחה, ובהן Hudson Rock, Arctic Wolf ו-Fortinet, ממליצות על הצעדים המיידיים הבאים לכל ארגון המשתמש במכשירי Fortinet:

• אכוף חידוש מיידי של פרטי הכניסה לכל חשבונות ה-admin וה-SSL VPN של FortiGate .
• הטמע אימות רב-גורמי (MFA) על כל כניסת VPN – זהו האמצעי היעיל ביותר נגד מתקפות גניבת פרטי כניסה .
• בדוק יומני מערכת (logs) לאיתור ייצוא תצורה לא מורשה, משימות cron לא ידועות והפעלות VPN חריגות .
• הגבל גישה לממשק הניהול לכתובות IP מהימנות בלבד; לעולם אל תחשוף את ממשק הניהול (admin UI) או את SSH לאינטרנט הציבורי .

פורטל חיפוש חשיפה חינמי

חברת Hudson Rock השיקה פורטל חיפוש חינמי המאפשר לכל ארגון לחפש את הדומיין שלו מול מאגר פרטי הכניסה של 73,932 המכשירים. כלי זה פורסם בהרחבה ב-17–18 ביוני 2026 .