FBI a USSS varujú pred pokračujúcou kampaňou FortiBleed proti zariadeniam Fortinet
FBI a U.S. Secret Service upozorňujú, že kampaň FortiBleed naďalej cieli na internetovo dostupné firewally FortiGate a SSL VPN brány. Nejde o novú zraniteľnosť, ale najmä o zneužívanie uniknutých a slabých prihlasovacích údajov.
Kampaň FortiBleed zostáva aktívna aj po skorších upozorneniach na únik prihlasovacích údajov. FBI a U.S. Secret Service (USSS) v spoločnom varovaní z 6. októbra uviedli, že útočníci globálne vyhľadávajú internetovo dostupné firewally Fortinet FortiGate a SSL VPN brány a skúšajú na nich už kompromitované poverenia.
Podľa varovania sa neobmedzujú len na overovanie prístupu. Objavili sa prípady, keď útočníci vytvorili nové administrátorské účty alebo zmenili či odstránili pôvodné účty. Legitímni správcovia tak môžu stratiť prístup k vlastnému zariadeniu.
Kampaň FortiBleed proti zariadeniam Fortinet cieli na poverenia, nie na jednu novú chybu
Fortinet uviedol, že nejde o novú zraniteľnosť produktu. Kampaň podľa výrobcu využíva opätovne používané staršie uniknuté heslá a útoky hrubou silou proti účtom so slabými heslami alebo bez viacfaktorového overovania.
To je podstatné aj pre reakciu správcov: situáciu nemožno vyriešiť samotnou inštaláciou jednej aktualizácie firmvéru. Riziko sa týka najmä organizácií, ktoré majú z internetu dostupnú správu FortiGate alebo SSL VPN a používajú slabé, opakovane použité či už kompromitované prihlasovacie údaje.
FBI a USSS hovoria o viac než 86 644 kompromitovaných zariadeniach v 194 krajinách. Tento údaj však nevychádza z nového federálneho merania. Úrady ho pripisujú overeniu spoločnosťou SOCRadar, preto presný aktuálny počet nezávisle potvrdených kompromitovaných zariadení z verejného varovania nevyplýva.
Prevzatie firewallu môže vytvoriť trvalý prístup
Úspešné prihlásenie do sieťového zariadenia môže útočníkom umožniť prevziať jeho správu a zachovať si prístup vytvorením nového účtu útočníka. Dopadom môže byť laterálny pohyb v internej sieti, zmena konfigurácie, strata kontroly administrátorov nad zariadením a potenciálne aj následný ransomvérový útok.
Spoločné varovanie uvádza, že prístup získaný cez FortiBleed bol poskytovaný aj partnerom ransomvéru INC/Lynx a Payload. Verejný dokument však nešpecifikuje rozsah takýchto prípadov, počet incidentov ani konkrétne obete. Nepotvrdzuje ani identitu operátorov kampane alebo ich geografické či štátne napojenie.
Odporúčané kroky pre správcov Fortinet zariadení
FBI, USSS a Fortinet odporúčajú postupovať ako pri možnej kompromitácii, nie iba vykonať bežnú údržbu. Medzi uvádzané opatrenia patria:
- ukončenie aktívnych VPN a administrátorských relácií,
- reset hesiel, najmä pri účtoch s možným opätovným použitím poverení,
- nasadenie viacfaktorového overovania odolného proti phishingu,
- obmedzenie správy zariadení z verejného internetu,
- kontrola konfigurácie, administrátorských účtov, API kľúčov a systémových logov,
- prehľadanie prihlasovaní z neobvyklých IP adries a zmien, ktoré správcovia nevedia vysvetliť.
Osobitnú pozornosť si zaslúžia neznáme administrátorské účty a zásahy do existujúcich účtov. Varovanie priamo opisuje situácie, v ktorých útočníci pôvodné účty menili alebo odstraňovali, aby obeti znemožnili správu zariadenia.
Čo sledovať ďalej
Ďalšie informácie môžu priniesť FBI, USSS, CISA alebo Fortinet, najmä ak zverejnia nové indikátory kompromitácie, potvrdené obete či spresnený rozsah aktivity. Pre prevádzkovateľov FortiGate a SSL VPN je však bezprostrednou úlohou preveriť, či nemajú verejne dostupné rozhrania správy, slabé alebo opakovane použité heslá a neznáme zmeny v účtoch či konfigurácii.
Zdroje
- FBI / U.S. Secret Service – FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts – Primárne spoločné varovanie z 6. októbra 2026 potvrdzuje pokračujúcu aktivitu, opisuje techniky, indikátory, hlásené blokovanie účtov a odporúčané mitigácie.
- Fortinet – Analysis of Reported Credential Compromise of FortiGate Devices – Stanovisko výrobcu, že nejde o novú zraniteľnosť, a odporúčania pre reset poverení, MFA, aktualizácie a obmedzenie správy cez internet.
- CISA – CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure – Koroboruje skoršie vládne upozornenie na kompromitované poverenia a odporúčania pre hardening, kontrolu logov, PBKDF2 a MFA.
- The Record – FBI, Secret Service add to warnings of FortiBleed credential stealing campaign – Nezávisle reportuje vydanie nového federálneho varovania a jeho praktický význam pre používateľov Fortinet zariadení.
Overené a aktualizované: 07. 10. 2026 15:25
