FortiBleed: понад 73 000 файрволів Fortinet скомпрометовано у найбільшій кампанії з викрадення облікових даних

Метод експлуатації: без zero-day, лише недбала гігієна

Незважаючи на назву, що викликає асоціації з Heartbleed, FortiBleed не має нічого спільного з вразливістю програмного забезпечення. Численні компанії з кібербезпеки — включаючи TechCrunch, SOCRadar, Hudson Rock та Arctic Wolf — підтвердили, що жодних невідомих вразливостей (zero-day) не використовувалося .

Натомість зловмисники застосували двоетапний підхід, що впливає на ланцюг постачання:

• Крок 1: Викрадення облікових даних за допомогою шкідливого ПЗ-інфостилера. Облікові дані для інтерфейсів адміністрування Fortinet та VPN-порталів були спочатку вкрадені з комп'ютерів співробітників та адміністраторів, заражених шкідливим ПЗ-інфостилером .
• Крок 2: Злам хешів паролів з експортованих конфігурацій. Отримавши початковий доступ, зловмисники витягували конфігураційні файли з файрволів FortiGate, доступних з Інтернету, та зламували збережені хеші паролів SSL VPN за допомогою 45-GPU кластера, використовуючи слабкі або незмінені паролі .

SOCRadar підтвердив, що зловмисники зібрали щонайменше 30 791 перевірених робочих облікових даних з файрволів FortiGate, доступних з Інтернету . Аналіз Arctic Wolf незалежно підтвердив, що оцінки кількості скомпрометованих пристроїв коливаються від 30 000 до 75 000 .

Відомі жертви

Серед підтверджених жертв, згаданих у численних звітах, — Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens та PwC, а також державні установи щонайменше 15 країн . Reuters повідомило, що більшість скомпрометованих пристроїв знаходилися в США, Індії та Тайвані .

Найбільш постраждалі галузі, згідно з аналізом даних:

• IT-послуги (керовані постачальники послуг, хмарні операції)
• Будівельні матеріали (великі багатонаціональні постачальники)
• Телекомунікації (оператори першого рівня та інтернет-провайдери)

Численні джерела визначають ці три сектори як найбільш постраждалі .

Пов'язані одночасні атаки

Одночасно з FortiBleed дослідники спостерігали 2,1 мільярда спроб брутфорс-атак проти більш ніж 160 000 серверів MSSQL, доступних з Інтернету, які, як вважають, здійснювалися тією ж групою загроз .

Атрибуція

Як SOCRadar, так і Hudson Rock приписують кампанію російськомовній багатооператорній групі загроз . Зловмисники підтримували активну інфраструктуру на скомпрометованих пристроях — включаючи cron-завдання, телеметрію та живі цикли збору облікових даних — що свідчить про складну тривалу операцію, а не про одноразове викрадення даних .

Рекомендовані дії

Компанії з кібербезпеки, включаючи Hudson Rock, Arctic Wolf та Fortinet, рекомендують такі негайні дії для будь-якої організації, що використовує пристрої Fortinet:

• Негайно змінити всі облікові дані для облікових записів адміністратора FortiGate та SSL VPN .
• Увімкнути багатофакторну автентифікацію (MFA) для кожного VPN-входу — це єдиний найефективніший засіб проти атак з підбором облікових даних .
• Перевірити журнали пристроїв на предмет несанкціонованого експорту конфігурацій, невідомих cron-завдань та підозрілих VPN-сесій .
• Обмежити доступ до інтерфейсу керування лише довіреними IP-адресами; ніколи не залишайте інтерфейс адміністрування або SSH відкритими для загального доступу в Інтернеті .

Безкоштовний портал перевірки

Hudson Rock запустив безкоштовний портал перевірки, який дозволяє будь-якій організації перевірити свій домен у витоці облікових даних з 73 932 пристроїв. Цей інструмент був широко оприлюднений 17–18 червня 2026 року .