FortiBleed: 73,932 Fortinet फ़ायरवॉल से डेटा लीक, 194 देशों में 21,632 डोमेन प्रभावित

शोषण विधि: कोई जीरो-डे नहीं, सिर्फ खराब स्वच्छता

FortiBleed नाम Heartbleed की याद दिलाता है, लेकिन इसका सॉफ़्टवेयर कमज़ोरी से कोई लेना-देना नहीं है। TechCrunch, SOCRadar, Hudson Rock और Arctic Wolf सहित कई सुरक्षा फर्मों ने पुष्टि की कि कोई अज्ञात कमज़ोरी (जीरो-डे) का उपयोग नहीं किया गया ।

इसके बजाय, हमलावरों ने दो-चरणीय सप्लाई-चेन दृष्टिकोण अपनाया:

• चरण 1: इन्फोस्टीलर मैलवेयर से क्रेडेंशियल चुराना। Fortinet एडमिन इंटरफ़ेस और VPN पोर्टल के क्रेडेंशियल पहले कर्मचारी और एडमिन मशीनों से चुराए गए जो इन्फोस्टीलर मैलवेयर से संक्रमित थीं ।
• चरण 2: एक्सपोज़्ड कॉन्फ़िग से पासवर्ड हैश क्रैक करना। एक बार प्रारंभिक पहुंच प्राप्त करने के बाद, हमलावरों ने इंटरनेट-फेसिंग FortiGate डिवाइसों से कॉन्फ़िगरेशन फ़ाइलें निकालीं और 45-GPU क्लस्टर का उपयोग करके संग्रहीत SSL VPN पासवर्ड हैश को क्रैक किया, कमज़ोर या न बदले गए पासवर्ड का फायदा उठाया ।

SOCRadar ने पुष्टि की कि हमलावरों ने इंटरनेट-फेसिंग FortiGate डिवाइसों से कम से कम 30,791 सत्यापित कार्यशील क्रेडेंशियल जमा किए । Arctic Wolf के स्वतंत्र विश्लेषण ने पुष्टि की कि समझौता किए गए उपकरणों की संख्या 30,000 से 75,000 के बीच है ।

हाई-प्रोफ़ाइल पीड़ित

कई रिपोर्टों में नामित पुष्ट पीड़ितों में Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens और PwC शामिल हैं, साथ ही कम से कम 15 देशों की सरकारी एजेंसियां भी शामिल हैं । रॉयटर्स की रिपोर्ट के अनुसार, अधिकांश समझौता किए गए उपकरण संयुक्त राज्य अमेरिका, भारत और ताइवान में स्थित थे ।

विश्लेषित डेटा के अनुसार, सबसे अधिक प्रभावित उद्योग थे:

• आईटी सेवाएं (प्रबंधित सेवा प्रदाता, क्लाउड संचालन)
• निर्माण सामग्री (बड़े बहुराष्ट्रीय आपूर्तिकर्ता)
• दूरसंचार (टियर-1 कैरियर और ISP)

कई स्रोत इन तीनों को सबसे अधिक प्रभावित क्षेत्रों के रूप में पहचानते हैं ।

संबंधित समकालिक हमले

FortiBleed के साथ-साथ, शोधकर्ताओं ने 160,000 से अधिक इंटरनेट-एक्सपोज़्ड MSSQL सर्वरों के खिलाफ 2.1 बिलियन ब्रूट-फ़ोर्स लॉगिन प्रयास देखे, जिनके बारे में माना जाता है कि उन्हें उसी खतरे वाले क्लस्टर द्वारा संचालित किया गया था ।

जिम्मेदारी

SOCRadar और Hudson Rock दोनों इस अभियान का श्रेय रूसी-भाषी मल्टी-ऑपरेटर खतरे वाले समूह को देते हैं । हमलावरों ने समझौता किए गए उपकरणों पर सक्रिय बैक-एंड बुनियादी ढांचा – जिसमें क्रॉन जॉब, टेलीमेट्री और लाइव क्रेडेंशियल-हार्वेस्टिंग लूप शामिल हैं – बनाए रखा, जो एक बार के डेटा ग्रैब के बजाय एक परिष्कृत, चालू ऑपरेशन का संकेत देता है ।

अनुशंसित प्रतिक्रिया

Hudson Rock, Arctic Wolf और Fortinet सहित सुरक्षा फर्में Fortinet डिवाइस का उपयोग करने वाले किसी भी संगठन के लिए निम्नलिखित तत्काल कार्रवाई की सलाह देती हैं:

• सभी FortiGate एडमिन और SSL VPN खातों के लिए तत्काल क्रेडेंशियल रोटेशन लागू करें ।
• प्रत्येक VPN लॉगिन पर मल्टी-फ़ैक्टर ऑथेंटिकेशन (MFA) लागू करें – क्रेडेंशियल-स्टफिंग हमलों के खिलाफ यह सबसे प्रभावी नियंत्रण है ।
• अनधिकृत कॉन्फ़िगरेशन एक्सपोर्ट, अज्ञात क्रॉन जॉब और असामान्य VPN सत्रों के लिए डिवाइस लॉग ऑडिट करें ।
• प्रबंधन इंटरफ़ेस एक्सेस को केवल विश्वसनीय IP तक सीमित करें; एडमिन UI या SSH को कभी भी सार्वजनिक इंटरनेट पर एक्सपोज़ न करें ।

निःशुल्क एक्सपोज़र लुकअप पोर्टल

Hudson Rock ने एक मुफ़्त लुकअप पोर्टल लॉन्च किया है जो किसी भी संगठन को 73,932-डिवाइस क्रेडेंशियल डंप के खिलाफ अपने डोमेन की खोज करने की अनुमति देता है। इस उपकरण का 17-18 जून, 2026 को व्यापक रूप से प्रचार किया गया ।