SOCRadar a nezávislý výzkumník Volodymyr „Bob" Diachenko odhalili rozsáhlou a stále aktivní kampaň, kterou SOCRadar pojmenoval FortiBleed. Útočníci dlouhodobě a automatizovaně kompromitují firewally Fortinet FortiGate a brány SSL VPN vystavené do internetu a budují ověřenou databázi funkčních přihlašovacích údajů napříč 194 zeměmi.
Údaje o rozsahu se mezi zdroji liší. SOCRadar postupně navyšoval počet kompromitovaných zařízení z původních 30 791 na 86 644 (stav k 19. červnu 2026). Diachenko, společnost Hudson Rock i výzkumník Kevin Beaumont uvádějí přibližně 73 932 unikátních zařízení napříč 21 632 doménami, což podle Beaumonta odpovídá zhruba polovině všech firewallů Fortinet dostupných z internetu podle dat ze Shodanu.
Sám Diachenko popisuje, že skupina otestovala asi 1,16 miliardy kombinací jmén a hesla proti zhruba 320 000 cílům FortiGate a paralelně vedla útoky hrubou silou i na více než 160 000 serverů MSSQL.
Útok nestojí na jediné zranitelnosti. Skupina zkouší proti zařízením seznam dříve uniklých hesel z předchozích incidentů (tzv. credential stuffing) a doplňuje ho útoky hrubou silou. Z kompromitovaných zařízení získává konfigurační soubory, z kterých pak offline láme uložené haše hesel.
Mezi oběťmi je zastoupen prakticky každý sektor: banky, telekomunikační operátoři, nemocnice, univerzity, vládní instituce, energetika i nadnárodní korporace. V úniku objevují i jména velkých firem jako Samsung, Oracle, Siemens, Lenovo nebo Spotify. V Česku můžeme vidět data spojená například s PPF, Autocont, obcemi a školami. V několika případech bylo potvrzeno i úspěšné pivotování v sítí oběti.
Nástroje, infrastruktura i výběr obětí podle SOCRadaru odpovídají rusky mluvící kyberkriminální skupině s několika operátory.
Zdroj: socradar.io