FortiBleed 2.0: 40,573 רשומות עם סיסמאות גלויות בהגדרות של FortiGate
חברת המודיעין Hudson Rock ניתחה 1,703 קובצי הגדרות של FortiGate מפברואר 2026, ומצאה בהם סיסמאות של VPN, של Active Directory ושל מנהלים. מעל מחצית מהמכשירים לא הופיעו בדליפה הראשונה.
TL;DR בקצרה
- ב-27 באוקטובר פרסמה Hudson Rock ניתוח של 1,703 דוחות הגדרות של FortiGate, עם 101,419 רשומות של משתמשים וחשבונות.
- 40,573 רשומות כוללות סוד גלוי, ובהן 37,076 משתמשי VPN ו-1,576 חשבונות חיבור ל-Active Directory.
- 924 מתוך 1,689 המכשירים לא הופיעו ב-FortiBleed הראשונה.
- החברה מדגישה: סוד חשוף אינו הוכחה לפריצה, ושמות דומיין אינם רשימת חברות שנפגעו.
חברת המודיעין Hudson Rock פרסמה ב-27 באוקטובר את FortiBleed 2.0: ניתוח של 1,703 קובצי הגדרות שנשלפו מחומות אש של Fortinet FortiGate. בקבצים היא מצאה 40,573 רשומות עם סיסמה או סוד גלוי. ביניהן סיסמאות של משתמשי VPN, חשבונות חיבור ל-Active Directory וחשבונות של מנהלים. מעל מחצית מהמכשירים לא הופיעו בגל הראשון של הדליפה.
FortiBleed הוא הכינוי לגל הדליפות של פרטי גישה לחומות אש של Fortinet, שמעסיק את צוותי האבטחה מאז יוני. ב-6 באוקטובר פרסם ה-FBI אזהרה שהקמפיין עדיין פעיל.
מה יש בנתונים של FortiBleed 2.0
לפי הדוח של Hudson Rock, רוב הקבצים מתוארכים ל-20 בפברואר 2026. החומר של FortiBleed הראשונה היה כנראה ממאי או מיוני. החברה לא מפרטת איך השיגה את הקבצים. בסך הכול יש בהם 101,419 רשומות של משתמשים וחשבונות, מ-1,689 מכשירים שונים.
אלה הסודות הגלויים, לפי סוג:
- משתמשים מקומיים ו-SSL-VPN: 37,076 רשומות. 7,437 מהן מסומנות כמושבתות.
- חיבורי LDAP ל-Active Directory: 1,576 רשומות. אלה חשבונות השירות שבעזרתם חומת האש בודקת משתמשים מול הדומיין.
- כניסות של מנהלים: 1,672 רשומות.
- אשכולות זמינות גבוהה (HA): 144 רשומות.
- שרתי מייל (SMTP): 105 רשומות.
924 מתוך 1,689 המכשירים, כ-55%, לא הופיעו ב-FortiBleed הראשונה. גם 975 תוויות דומיין חדשות. ובמכשירים שהופיעו בשתי הדליפות, 524 מתוך 766 רשומות של כניסת מנהל (68.4%) זהות לרשומה מהדליפה הראשונה. כלומר, באותם מכשירים סיסמת המנהל נשארה זהה בשתי תמונות המצב.
למה FortiBleed 2.0 מדאיגה ארגונים
חומת אש היא שער הכניסה לרשת. סיסמת VPN גלויה מאפשרת לתוקף להיכנס כמו עובד. חשבון LDAP גלוי נותן לו נקודת אחיזה ב-Active Directory, הלב של הרשת הארגונית. Hudson Rock מקשרת את הפעילות לחוקרים שזיהו חפיפה בין הקורבנות לבין קבוצות הכופרה Qilin ו-The Gentlemen. היא מדגישה שקשר ישיר לא הוכח.
יש גם בעיה טכנית. לפי הדוח, חלק מהסודות ב-FortiOS שמורים בהצפנה הפיכה. במכשירים שמשתמשים במפתח ברירת המחדל של המערכת, אפשר לשחזר אותם בלי גישה למכשיר. Fortinet הוסיפה מפתחות אקראיים לכל מכשיר ב-FortiOS 7.6.1, כך שהסיכון תלוי בגרסה ובהגדרות.
הסתייגויות חשובות
Hudson Rock עצמה מזהירה מקריאה מוגזמת של המספרים. ״חשיפה וגישה שמישה הן מדידות שונות״, לשון הדוח. סיסמה שדלפה לא אומרת שמישהו נכנס איתה. שם דומיין ברשימה יכול להיות של ספק שירותים, ולא של הארגון עצמו. הדוח לא מזכיר ארגונים ישראליים. בנוסף, Hudson Rock מוכרת מוצרי מידע, והבדיקה החינמית שהיא מציעה היא חלק מהשירותים שלה.
מה זה אומר עבורכם
- בדקו את רשימת המנהלים: השוו את חשבונות המנהלים ב-FortiGate לרשימה המאושרת. חפשו במיוחד שמות כמו fgtsecure, fgtsec, Technical_support ו-forticloud-sync, שהדוח מציין כחוזרים.
- החליפו סיסמאות של חשבונות שירות: חשבון ה-LDAP שחומת האש משתמשת בו מול Active Directory צריך סיסמה חדשה. עדכנו אותה בכל מערכת שתלויה בו.
- אפסו את כל משתמשי ה-VPN: סיימו את כל ההתחברויות הפעילות, אפסו סיסמאות ונטרלו משתמשים שאינם בשימוש. ודאו שיש אימות דו-שלבי (MFA) לכל גישה מרחוק ולכל מנהל.
- עדכנו וצמצמו: התקינו את הקושחה העדכנית, וחסמו את ממשק הניהול מהאינטרנט.
- בדקו אם אתם ברשימה: Hudson Rock מציעה בדיקה חינמית לפי דומיין. מי שעובד עם ספק IT, שיבקש ממנו לבדוק.
מקורות והרחבה
- FortiBleed 2.0: 975 New Domains, 40,573 Exposed SecretsHudson Rock (Infostealers)
- FortiBleed 2.0 exposes 40,573 FortiGate secrets across 975 previously unlisted domainsGBHackers
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
