מומחי אבטחה גילו אוסף עצום של פרטי התחברות גנובים של Fortinet, וחשפו מידע כניסה השייך לאלפי ארגונים ברחבי העולם.

האוסף, הידוע בשם FortiBleed, מכיל שמות משתמש, כתובות דואר אלקטרוני וסיסמאות בטקסט גלוי הקשורים ל-73,932 מכשירי Fortinet FortiGate ו-VPN נפרדים הפרוסים ב-194 מדינות וביותר מ-21,000 דומיינים. אנליסטים מעריכים כי הנתונים מייצגים כמחצית מכל חומות האש של Fortinet הנראות באינטרנט.

השמות המופיעים ברשומות כוללים שחקנים מרכזיים כגון Oracle, Chevron, Lenovo, FedEx, Foxconn, Samsung, Comcast, Siemens, PwC ו-Accenture, לצד ספק הגנה של נאט"ו. Fortinet עצמה מופיעה לכאורה ברשימה, על פי Ars Technica.

אין ניצול חדשני, רק התקפות סיסמה בקנה מידה גדול

היבט בולט של FortiBleed הוא היעדר כל פגיעות חדשה ומתוחכמת במוצרי Fortinet.

במקום זאת סרקו התוקפים מכשירי Fortinet הנגישים לציבור, בדקו אצוות של סיסמאות שדלפו בעבר והתחברו לכל כניסה מוצלחת.

הם פיצו על היעדר החדשנות באמצעות נפח, תוך בדיקת מאות אלפי נקודות כניסה, לכידת גיבובי VPN ופיצוחם באמצעות מערך של 45 כרטיסי GPU שביצע יותר ממיליארד ניסיונות. החוקר Bob Diachenko ציין ל-Ars Technica כי קנה המידה עצמו סיפק את התחכום.

לאחר האימות הפכו הפולשים כל מכשיר לתחנת ניטור, לכדו תעבורה ואספו פרטי גישה נוספים במעבר. חומת האש, שנועדה לשמש מחסום, שימשה במקום זאת כעמדת תצפית.

Diachenko, שמצא את הנתונים בשרת התוקפים, מקשר את הפעולה לצוות דובר רוסית. SOCRadar ו-Hudson Rock בחנו את החומר, ואילו Kevin Beaumont אימת כי פרטי הכניסה עדיין תקפים. המקור הראשוני של פרטי הגישה, אולי קובצי תצורה של FortiGate שיוצאו, נותר לא ידוע.

היקף ההשפעה

פרטי גישה חשופים אינם שקולים אוטומטית לפריצה מלאה לרשת. הרשומות מציינות אילו מערכות ניתן היה לגשת אליהן ולא מאשרות שכל ארגון ברשימה סבל מפריצה.

עם זאת נגרם נזק ממשי. Diachenko מדווח כי לפחות ארבעה גופים נפרצו במלואם, בהם קבלן טורקי של נאט"ו שאיבד קבצים מסווגים.

Fortinet דוחה את הנרטיב וטוענת כי החומר משקף נתונים ממוחזרים מאירועים קודמים וכן ניסיונות brute-force ואינו קשור להודעות אחרונות. החוקרים מציינים כי המכשירים שונים מאלה שבאירוע קודם ב-2025 ורבים פועלים עם קושחה עדכנית, דבר המצביע על אוסף חדש.

המקרה משתלב במגמה רחבה יותר שבה מכשירי VPN וחומות אש מותקפים שוב ושוב, כאשר קבוצות כמו Qilin משתמשות בהם לכניסה ראשונית.

התיקון נותר פשוט. מומחים ממליצים לשנות סיסמאות מנהל ו-VPN של FortiGate, להפעיל אימות רב-שלבי לגישה מרחוק, להגביל ממשקי ניהול לכתובות מאושרות, לבדוק יומנים לפעילות חריגה ולמחוק חשבונות שאינם בשימוש.

סיסמה אחת שחוזרת על עצמה יכולה לעקוף אפילו את בקרות ההיקף החזקות ביותר.