FortiBleed: 73,000+ Firewall Fortinet Bocor – Kempen Curi Kredensial Terbesar

Kaedah Eksploitasi: Bukan Zero-Day, Tetapi Kebersihan Kata Laluan Yang Lemah

Walaupun namanya mengingatkan Heartbleed, FortiBleed tiada kaitan dengan kelemahan perisian. Beberapa firma keselamatan – termasuk TechCrunch, SOCRadar, Hudson Rock, dan Arctic Wolf – mengesahkan bahawa tiada kelemahan yang tidak diketahui (zero-day) digunakan .

Sebaliknya, penyerang menggunakan pendekatan rantaian bekalan dua langkah:

• Langkah 1: Tuai kredensial daripada perisian perosak pencuri maklumat. Kredensial untuk antara muka admin Fortinet dan portal VPN pada mulanya dicuri daripada komputer pekerja dan admin yang dijangkiti perisian perosak pencuri maklumat .
• Langkah 2: Pecahkan hash kata laluan daripada konfigurasi yang terdedah. Setelah mendapat akses awal, penyerak mengekstrak fail konfigurasi daripada peranti FortiGate yang terdedah kepada internet dan memecahkan hash kata laluan SSL VPN yang disimpan menggunakan kluster 45-GPU, mengeksploitasi kata laluan yang lemah atau tidak ditukar .

SOCRadar mengesahkan penyerang telah mengumpul sekurang-kurangnya 30,791 kredensial kerja yang disahkan daripada peranti FortiGate yang terdedah kepada internet . Analisis Arctic Wolf secara bebas mengesahkan anggaran peranti yang terjejas adalah antara 30,000 hingga 75,000 .

Mangsa Berprofil Tinggi

Mangsa yang disahkan dalam pelbagai laporan termasuk Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens, dan PwC, bersama agensi kerajaan di sekurang-kurangnya 15 negara . Reuters melaporkan majoriti peranti yang terjejas terletak di Amerika Syarikat, India, dan Taiwan .

Industri yang paling teruk terjejas, menurut data yang dianalisis, adalah:

• Perkhidmatan IT (pembekal perkhidmatan terurus, operasi awan)
• Bahan binaan (pembekal multinasional besar)
• Telekomunikasi (pembawa tier-1 dan ISP)

Pelbagai sumber mengenal pasti tiga sektor ini sebagai yang paling terjejas .

Serangan Serentak Berkaitan

Serentak dengan FortiBleed, penyelidik memerhatikan 2.1 bilion percubaan log masuk kekerasan terhadap lebih 160,000 pelayan MSSQL yang terdedah kepada internet, yang dipercayai dikendalikan oleh kelompok ancaman yang sama .

Atribusi

Kedua-dua SOCRadar dan Hudson Rock mengaitkan kempen ini kepada kumpulan ancaman berbilang pengendali berbahasa Rusia . Penyerang mengekalkan infrastruktur bahagian belakang yang aktif – termasuk cron job, telemetri, dan gelung penuaian kredensial langsung – pada peranti yang terjejas, menunjukkan operasi yang canggih dan berterusan, bukan sekadar pengambilan data sekali sahaja .

Tindakan Yang Disyorkan

Firma keselamatan termasuk Hudson Rock, Arctic Wolf, dan Fortinet mengesyorkan tindakan segera berikut untuk mana-mana organisasi yang menggunakan peranti Fortinet:

• Paksa penggantian kredensial segera untuk semua akaun admin FortiGate dan SSL VPN .
• Guna pakai pengesahan berbilang faktor (MFA) pada setiap log masuk VPN – ini adalah kawalan paling berkesan terhadap serangan curi kredensial .
• Audit log peranti untuk eksport konfigurasi yang tidak dibenarkan, cron job yang tidak diketahui, dan sesi VPN yang ganjil .
• Hadkan akses antara muka pengurusan kepada IP yang dipercayai sahaja; jangan sekali-kali biarkan UI admin atau SSH terdedah kepada internet awam .

Portal Semak Pendedahan Percuma

Hudson Rock melancarkan portal semak percuma yang membolehkan mana-mana organisasi mencari domain mereka dalam dump kredensial 73,932 peranti. Alat ini diuar-uarkan secara meluas pada 17–18 Jun 2026 .