FortiBleed 帳密收割行動：73,000 台 Fortinet 防火牆遭殃，零漏洞、純靠密碼外洩

入侵手法：無需零時差漏洞，純粹是資安衛生問題

儘管名稱讓人聯想到 Heartbleed 漏洞，FortiBleed 與軟體漏洞完全無關。多家安全公司——包括 TechCrunch、SOCRadar、Hudson Rock 與 Arctic Wolf——均確認 駭客並未使用任何未知漏洞（零時差漏洞） 。

攻擊者採取的是兩階段的供應鏈攻擊模式：

• 第一步：透過資訊竊取軟體（infostealer）盜取憑證。 首先，攻擊者從感染了資訊竊取惡意軟體的員工或管理員電腦中，取得 Fortinet 管理介面與 VPN 入口的帳號密碼 。
• 第二步：破解從暴露設定檔中取得的密碼雜湊值。 獲得初始存取權限後，攻擊者再從暴露於網際網路的 FortiGate 設備中提取設定檔，並利用一個 45 張 GPU 的機房，破解其中儲存的 SSL VPN 密碼雜湊值，專門針對那些從未更換的弱密碼下手 。

SOCRadar 確認攻擊者已從暴露在網際網路的 FortiGate 設備中，取得了至少 30,791 組驗證過的有效憑證 。Arctic Wolf 的分析則獨立佐證了受害設備數量約在 30,000 到 75,000 台之間 。

知名受害企業

多份報告點名的確認受害企業包括 Accenture（埃森哲）、Comcast（康卡斯特）、Foxconn（鴻海）、Lenovo（聯想）、Oracle（甲骨文）、Samsung（三星）、Siemens（西門子）與 PwC（資誠），以及至少 15 個國家的政府機關 。路透社報導指出，遭入侵設備主要集中在美國、印度與台灣 。

受衝擊最嚴重的產業（根據數據分析）為：

• IT 服務業（託管服務商、雲端營運商）
• 建材業（大型跨國供應商）
• 電信業（一級電信商與網路服務商）

多個來源皆指出這三個產業是受創最深的垂直領域 。

同步發生的相關攻擊

與 FortiBleed 同時期，研究人員觀察到有 21 億次暴力破解登入嘗試 針對超過 160,000 台暴露於網際網路的 MSSQL 伺服器，研判背後是同一批威脅行為者 。

幕後黑手

SOCRadar 與 Hudson Rock 均將此行動歸因於一個 俄語系的多操作者威脅組織 。攻擊者在受害設備上維持著活躍的後端基礎設施——包括排程工作、遙測回報與即時的憑證盜取循環——顯示這是個精密且持續進行的行動，而非一次性資料盜取 。

建議應對措施

Hudson Rock、Arctic Wolf 與 Fortinet 等安全機構建議所有使用 Fortinet 設備的組織立即採取以下行動：

• 立即強制更換所有 FortiGate 管理員與 SSL VPN 帳號的密碼 。
• 在每個 VPN 登入流程中強制啟用多因子驗證（MFA） ——這是防範憑證填充攻擊最有效的單一控制措施 。
• 稽核設備日誌，清查是否有未經授權的設定檔匯出、來路不明的排程任務以及異常的 VPN 連線記錄 。
• 將設備管理介面的存取權限限制於可信任的 IP，絕對不要將管理 UI 或 SSH 服務暴露於公開網際網路 。

免費查詢入口

Hudson Rock 已推出一個 免費查詢入口，任何組織均可搜尋其所屬網域，確認是否出現在這份涵蓋 73,932 台設備的憑證外洩資料庫中。此工具已於 2026 年 6 月 17 至 18 日期間對外公開 。