Článek
SOCRadar a nezávislý výzkumník Volodymyr „Bob“ Diachenko odhalili rozsáhlou a stále aktivní kampaň, kterou SOCRadar pojmenoval FortiBleed. Útočníci dlouhodobě a automatizovaně kompromitují firewally Fortinet FortiGate a brány SSL VPN vystavené do internetu a budují ověřenou databázi funkčních přihlašovacích údajů napříč 194 zeměmi.
Údaje o rozsahu se mezi zdroji liší. SOCRadar postupně navyšoval počet kompromitovaných zařízení z původních 30 791 na 86 644 (stav k 19. červnu 2026). Diachenko, společnost Hudson Rock i výzkumník Kevin Beaumont uvádějí přibližně 73 932 unikátních zařízení napříč 21 632 doménami, což podle Beaumonta odpovídá zhruba polovině všech firewallů Fortinet dostupných z internetu podle dat ze Shodanu.
Sám Diachenko popisuje, že skupina otestovala asi 1,16 miliardy kombinací jmén a hesla proti zhruba 320 000 cílům FortiGate a paralelně vedla brute-force útoky i na více než 160 000 MSSQL serverů.
Útok nestojí na jediné zranitelnosti. Skupina zkouší proti zařízením seznam dříve uniklých hesel z předchozích incidentů (tzv. credential stuffing) a doplňuje ho brute-force útoky. Z kompromitovaných zařízení exfiltruje konfigurační soubory, z kterých pak offline láme uložené hashe hesel.
Mezi oběťmi je zastoupen prakticky každý sektor. Banky, telekomunikační operátoři, nemocnice, univerzity, vládní instituce, energetika i nadnárodní korporace. V úniku objevují i jména velkých firem jako Samsung, Oracle, Siemens, Lenovo nebo Spotify. V česku můžeme vidět data spojená například s ppf, autocont, obcemi a školami. V několika případech bylo potvrzeno i úspěšné pivotování v sítí objeti.
Nástroje, infrastruktura i výběr obětí podle SOCRadaru odpovídají rusky mluvící kyberkriminální skupině s několika operátory.
