新聞

今年6月威脅情報公司HudsonRock旗下的竊資軟體威脅情報網站InfoStealer揭露大規模憑證外洩事故FortiBleed，全球有逾7萬臺Fortinet防火牆與SSL VPN設備的憑證遭竊，影響範圍遍及194個國家，其中臺灣受影響設備數量位居全球第三；當時另一家資安公司SOCRadar指出，此攻擊活動至少影響86,644臺防火牆與SSL VPN設備，後續發現相關憑證被用於勒索軟體INC Ransom與Lynx的攻擊行動。7月下旬臺灣更傳出駭客於Telegram兜售近百家企業初始存取資料的情資，疑為FortiBleed憑證外洩風暴的延續。事隔數個月，美國政府警告相關攻擊活動仍持續進行，且有受害組織因帳號遭刪除或竄改而無法登入設備。

10月6日美國聯邦調查局（FBI）與特勤局（USSS）發布聯合公告，警告全球性憑證入侵活動FortiBleed仍持續進行，攻擊者鎖定曝露於網際網路的Fortinet防火牆及SSL-VPN閘道，利用事先取得的外流憑證，或是透過竊資軟體取得的資料，發動密碼噴灑與帳號填充攻擊，持續掃描及嘗試登入，得手憑證資料後，再將密碼雜湊資料送入GPU叢集，利用Hashcat與Hashtopolis進行大規模離線破解，將破解出的憑證進一步驗證、分類，並依組織的規模與網路架構，挑選高價值目標。

為了建立持續存取的管道，攻擊者往往會在FortiGate設備建立新的管理員帳號，接著進行AD號盤點及密碼噴灑，以尋找更高權限的帳號，並向受害組織內部橫向移動。值得留意的是，FBI與USSS強調，部分受害組織可能已無法登入Fortinet設備，原因是攻擊者竄改或刪除了原有帳密資料，以阻止原本的管理員存取受害設備。對此，他們呼籲Fortinet用戶，應限縮FortiGate管理介面的外部存取，終止所有管理員及VPN連線階段，重設VPN與管理員密碼，並為遠端存取及管理員帳號啟用多因素驗證（MFA）。