FortiBleed

W czerwcu 2026 roku społeczność cyberbezpieczeństwa zwróciła uwagę na szeroko zakrojoną kampanię nazwaną FortiBleed, wymierzoną w urządzenia Fortinet FortiGate udostępnione w Internecie. Wbrew temu, co może sugerować nazwa, FortiBleed nie jest nową podatnością ani luką typu CVE, lecz kampanią polegającą przede wszystkim na przejmowaniu i wykorzystywaniu danych uwierzytelniających.

Jak działa FortiBleed?

Atakujący koncentrują się na publicznie dostępnych interfejsach administracyjnych oraz portalach SSL VPN urządzeń FortiGate. Wykorzystują zautomatyzowane narzędzia do testowania wykradzionych lub wcześniej ujawnionych poświadczeń, a w niektórych przypadkach próbują pozyskiwać nowe dane uwierzytelniające z przejętych urządzeń. Celem jest uzyskanie dostępu do infrastruktury organizacji i dalsza eskalacja uprawnień.

Potencjalne skutki

Skuteczne przejęcie kont administracyjnych lub użytkowników VPN może prowadzić do:

• nieautoryzowanego dostępu do sieci firmowej,
• kradzieży poufnych danych,
• instalacji złośliwego oprogramowania,
• wykorzystania dostępu w atakach ransomware,
• przejęcia kontroli nad urządzeniami brzegowymi organizacji.

Administratorzy korzystający z urządzeń Fortinet powinni:

• zaktualizować FortiOS do najnowszej wspieranej wersji,
• wymusić zmianę wszystkich haseł administratorów i użytkowników VPN,
• włączyć uwierzytelnianie wieloskładnikowe (MFA),
• ograniczyć dostęp do interfejsu administracyjnego wyłącznie z zaufanych adresów IP lub przez VPN,
• przeanalizować logi pod kątem podejrzanych logowań i nietypowej aktywności,
• usunąć nieużywane konta oraz zweryfikować konfigurację urządzeń.

FortiBleed pokazuje, że nawet poprawnie działające urządzenia mogą stać się celem ataków, jeśli są wystawione do Internetu i chronione wyłącznie hasłem. Najskuteczniejszą ochroną pozostają dobre praktyki bezpieczeństwa: aktualne oprogramowanie, silne i unikalne hasła, MFA, ograniczenie dostępu administracyjnego oraz stały monitoring logów i zdarzeń bezpieczeństwa.