FortiBleed 帳密收割行動：73,000 台 Fortinet 防火牆遭殃，零漏洞、純靠密碼外洩

2026 年 6 月中旬，網路安全研究人員揭露了史上規模最大的網路安全設備憑證盜取行動之一。這起被命名為 「FortiBleed」 的行動，並非透過未知的軟體漏洞（零時差漏洞），而是系統性地竊取、破解並重複使用弱密碼或已外洩的帳密，入侵了橫跨 194 國的數萬台 Fortinet FortiGate 防火牆與 SSL VPN 閘道器 。

入侵規模

這批外洩資料集最初由安全研究員 Volodymyr "Bob" Diachenko 發現，並由 Hudson Rock 進行分析，內容包含 73,932 組獨特的 Fortinet 防火牆網址，對應到 21,632 個受影響的網域 。攻擊者總計對超過 320,000 台 FortiGate 目標發動了約 11.6 億次憑證填充攻擊 。除了帳密，外洩資料還包括有效的管理員與 SSL VPN 憑證、電子郵件地址、明碼密碼、設備設定檔、排程工作（cron jobs）、操作歷史紀錄（bash histories）及資料庫連線字串，等於直接提供了攻擊者活躍的內部基礎設施全景 。

入侵手法：無需零時差漏洞，純粹是資安衛生問題

儘管名稱讓人聯想到 Heartbleed 漏洞，FortiBleed 與軟體漏洞完全無關。多家安全公司——包括 TechCrunch、SOCRadar、Hudson Rock 與 Arctic Wolf——均確認 駭客並未使用任何未知漏洞（零時差漏洞） 。

攻擊者採取的是兩階段的供應鏈攻擊模式：

• 第一步：透過資訊竊取軟體（infostealer）盜取憑證。 首先，攻擊者從感染了資訊竊取惡意軟體的員工或管理員電腦中，取得 Fortinet 管理介面與 VPN 入口的帳號密碼 。
• 第二步：破解從暴露設定檔中取得的密碼雜湊值。 獲得初始存取權限後，攻擊者再從暴露於網際網路的 FortiGate 設備中提取設定檔，並利用一個 45 張 GPU 的機房，破解其中儲存的 SSL VPN 密碼雜湊值，專門針對那些從未更換的弱密碼下手 。

SOCRadar 確認攻擊者已從暴露在網際網路的 FortiGate 設備中，取得了至少 30,791 組驗證過的有效憑證 。Arctic Wolf 的分析則獨立佐證了受害設備數量約在 30,000 到 75,000 台之間 。

知名受害企業

多份報告點名的確認受害企業包括 Accenture（埃森哲）、Comcast（康卡斯特）、Foxconn（鴻海）、Lenovo（聯想）、Oracle（甲骨文）、Samsung（三星）、Siemens（西門子）與 PwC（資誠），以及至少 15 個國家的政府機關 。路透社報導指出，遭入侵設備主要集中在美國、印度與台灣 。

受衝擊最嚴重的產業（根據數據分析）為：

• IT 服務業（託管服務商、雲端營運商）
• 建材業（大型跨國供應商）
• 電信業（一級電信商與網路服務商）

多個來源皆指出這三個產業是受創最深的垂直領域 。

同步發生的相關攻擊

與 FortiBleed 同時期，研究人員觀察到有 21 億次暴力破解登入嘗試 針對超過 160,000 台暴露於網際網路的 MSSQL 伺服器，研判背後是同一批威脅行為者 。

幕後黑手

SOCRadar 與 Hudson Rock 均將此行動歸因於一個 俄語系的多操作者威脅組織 。攻擊者在受害設備上維持著活躍的後端基礎設施——包括排程工作、遙測回報與即時的憑證盜取循環——顯示這是個精密且持續進行的行動，而非一次性資料盜取 。

建議應對措施

Hudson Rock、Arctic Wolf 與 Fortinet 等安全機構建議所有使用 Fortinet 設備的組織立即採取以下行動：

• 立即強制更換所有 FortiGate 管理員與 SSL VPN 帳號的密碼 。
• 在每個 VPN 登入流程中強制啟用多因子驗證（MFA） ——這是防範憑證填充攻擊最有效的單一控制措施 。
• 稽核設備日誌，清查是否有未經授權的設定檔匯出、來路不明的排程任務以及異常的 VPN 連線記錄 。
• 將設備管理介面的存取權限限制於可信任的 IP，絕對不要將管理 UI 或 SSH 服務暴露於公開網際網路 。

免費查詢入口

Hudson Rock 已推出一個 免費查詢入口，任何組織均可搜尋其所屬網域，確認是否出現在這份涵蓋 73,932 台設備的憑證外洩資料庫中。此工具已於 2026 年 6 月 17 至 18 日期間對外公開 。