Хакеры похитили пароли 75 тыс. межсетевых экранов Fortinet
Хакеры получили доступ к данным для авторизации примерно 75 тыс. межсетевых экранов Fortinet и, по оценке исследователей, собрали учётные данные компаний из 194 стран. Речь идёт не о старом списке тестовых логинов: независимые специалисты подтвердили подлинность части базы и связали её с реальными корпоративными доменами. Для владельцев FortiGate это означает простое действие с высоким приоритетом: сменить пароли, проверить VPN и административные интерфейсы, а также включить многофакторную аутентификацию.
Утечка паролей Fortinet и затронутые компании
По данным Hudson Rock, утечка затронула 21 632 уникальных домена. The Register пишет, что в выборке есть учётные записи, связанные с крупными международными компаниями, включая Samsung, Siemens, Lenovo, FedEx, Oracle и Accenture. Shodan оценивает, что украденные данные могут относиться примерно к половине доступных из интернета устройств Fortinet, и значительная часть этих систем остаётся онлайн.
Исследователь Владимир «Боб» Дяченко, обнаруживший следы кампании, считает, что атакующие перехватывали аутентификацию FortiGate SSL VPN, затем взламывали хеши паролей на кластере из 45 ускорителей через Hashtopolis и использовали доступ для продвижения внутрь корпоративных сетей. По его словам, злоумышленники провели 1,16 млрд попыток подбора против 320 777 устройств FortiGate и ещё 2,1 млрд попыток против 163 650 серверов Microsoft SQL Server. Как минимум в четырёх случаях компрометация дошла до внутренних систем организаций, включая подрядчика оборонного сектора Турции.
Кевин Бомонт, также изучивший массив, назвал логины и пароли подлинными и отметил, что среди пострадавших есть компании с относительно свежими обновлениями безопасности. Fortinet настаивает, что опубликованные данные связаны с более ранними инцидентами и атаками перебором, а риск ниже у тех, кто регулярно меняет учётные данные и не полагается только на пароль. Это важная оговорка: для периметровых устройств патч сам по себе не всегда закрывает проблему, если пароль уже ушёл наружу.
Fortinet не первый поставщик, чьи VPN- и сетевые шлюзы становятся входной точкой для атак на корпоративный периметр. В последние два года регуляторы США и Европы также выпускали предупреждения по уязвимостям в продуктах Ivanti, Cisco и Palo Alto Networks, а CISA неоднократно добавляла баги Fortinet в каталог активно эксплуатируемых уязвимостей. На этом фоне инцидент с FortiGate выглядит не единичной утечкой, а очередным напоминанием о том, что внешние сетевые устройства остаются одной из самых дешёвых точек входа в крупные компании.
