De FBI en de U.S. Secret Service waarschuwen dat FortiBleed blijft actief. De credential harvesting-campagne richt zich op internetgerichte Fortinet FortiGate firewalls en SSL VPN-gateways. Volgens de meldingen misbruiken aanvallers hergebruikte of gelekte inloggegevens en oudere opslagmethoden, waardoor ze authenticatiegegevens op schaal kunnen verzamelen en kraken.
Voor organisaties betekent dit concreet: niet alleen patchen of wachtwoorden wijzigen, maar ook gericht uitzoeken of je toestellen door de aanvallers zijn geraakt. In dit artikel lees je hoe FortiBleed werkt, welke sporen je kunt zoeken en welke acties je prioriteit geven.
Wat is FortiBleed en waarom is de campagne nog steeds actief?
FortiBleed is een campagne die is bedoeld om inloggegevens van geautoriseerde systemen te verzamelen. De FBI en USSS geven aan dat aanvallers nog steeds scannen op Fortinet-apparaten die vanaf het internet bereikbaar zijn. Daarbij gebruiken ze eerder verkregen gecompromitteerde credentials.
Een belangrijk onderdeel is dat de campagne niet leunt op één kwetsbaarheid, maar op credentials en zwakheden in authenticatiebeheer. De meldende instanties noemen onder meer het exploiteren van hergebruikte of gelekte credentials en het inzetten van legacy SHA-256 wachtwoordopslag. Hierdoor wordt het mogelijk om authenticatiegegevens te oogsten en daarna te kraken.
Doelwit: FortiGate firewalls en SSL VPN-gateways
De aanvallen worden gelinkt aan internet-facing Fortinet FortiGate-firewalls en SSL VPN-gateways. Dat betekent dat apparaten die publieke toegangswegen aanbieden, zoals beheerinterfaces en VPN-inlogschermen, extra risico lopen wanneer ze met gestolen accounts kunnen worden benaderd.
Volgens de rapportage werd de activiteit eerder al in juni 2026 gedocumenteerd door SOCRadar (Hudson Rock). De campagne zou inmiddels wereldwijd duizenden Fortinet-toestellen hebben getroffen, met als resultaat tienduizenden werkende device-credentials.
Hoe werkt FortiBleed stap voor stap?
De FBI en USSS beschrijven FortiBleed als een campagne met meerdere fasen. Kort samengevat doorloopt de aanvaller doorgaans herkenning, toegang, het verzamelen van authenticatie en het uitbouwen van aanwezigheid in het netwerk.
1) Reconnaissance en het vinden van blootgestelde portals
Allereerst verzamelen aanvallers informatie over wat er internetgericht staat. Ze identificeren blootgestelde toegangspunten en richten daarna op specifieke Fortinet-services.
2) Toegang via credential stuffing en password spraying
Daarna gebruiken ze gestolen data uit eerdere leak dumps en infostealer-logs. Op basis daarvan zetten ze credential stuffing en password spraying in om accounts te proberen en toegang af te dwingen.
3) Credential harvesting met FortigateSniffer
Vervolgens wordt een Go-gebaseerd hulpmiddel ingezet dat bekendstaat als FortigateSniffer. Daarmee kunnen aanvallers passief authenticatieverkeer afluisteren en credentials en wachtwoordhashes vergaren over 24 protocollen.
4) Offline cracking met GPU-clusters
De verzamelde password hashes worden doorgestuurd naar een GPU-accelerated cracking-cluster. In de melding worden Hashmat en Hashtopolis genoemd voor het offline kraken van hashes.
5) Uitbreiding van toegang en exfiltratie
Na het kraken worden de gegevens gebruikt om verder te bewegen in de omgeving. De meldingen noemen onder meer het faciliteren van laterale beweging, enumeratie van Active Directory, Kerberos-validatie en SMB-authenticatie.
In de laatste fase wordt gevoelige data van netwerkshares exfiltratie genoemd. Daarnaast is er sprake van het misbruiken van gestolen session cookies om persistent en geauthenticeerd toegang te behouden.
Focus op detectie: wat kun je concreet controleren?
Als FortiBleed blijft actief, is het essentieel om je eigen omgeving te toetsen op tekenen van compromis. De FBI en USSS geven een aantal herstel- en controlemogelijkheden die je meteen kunt oppakken.
Zoek naar sporen in logs en ongebruikelijke sessies
Controleer logs op verdachte authenticatiepogingen, afwijkende bron-IP’s en sessies die starten of aanhouden buiten bekende beheerpatronen. Let daarbij extra op SSL VPN en administratieve verbindingen.
Let op het gebruik van nieuwe accounts
De meldingen benadrukken dat aanvallers nieuwe administratieve accounts kunnen aanmaken om persistentie te borgen. In sommige gevallen zouden ook bestaande accounts worden verwijderd om organisaties toegang te blokkeren.
Er wordt ook een lijst met veelvoorkomende gecompromitteerde accountnamen genoemd. Voorbeelden die zijn genoemd:
- adminin
- fortiAdmin
- forticloud-sync
- fgtsecure
- pakedge
- gttadmin
- roadmin
- itadmin
- adminsslvpn
- IT_Manager
Zie deze namen als aanwijzingen, geen bewijs op zichzelf. Combineer ze altijd met logdetails en tijdstempels.
Herstelmaatregelen: wat adviseert FBI/USSS?
Naast detectie geven de FBI en USSS ook praktische tegenmaatregelen voor Fortinet-klanten. De kern komt neer op: essentiële sessies beëindigen, credentials resetten en opslagmethoden en authenticatie versterken.
Beëindig actieve SSL VPN- en administratie-sessies
Verbreek alle actieve SSL VPN-sessies en administratieve sessies op de betreffende apparaten. Zo voorkom je dat een aanvaller die al toegang had, door kan gaan met het verzamelen van data.
Reset Fortinet VPN- en administratiewachtwoorden
Wijzig en reset wachtwoorden voor VPN- en administratieve accounts. Zorg dat je dit doet voor de toestellen waarvan je vermoedt dat ze geraakt zijn, maar neem ook aangrenzende accounts onder de loep (bijvoorbeeld gekoppelde beheerders en service-accounts).
Gebruik phishing-resistente authenticatie
De melding verwijst naar het inschakelen van phishing-resistant authentication voor FortiGate-apparaten. Dat helpt om risico’s door credentialmisbruik en social engineering te verkleinen.
Pas wachtwoordopslag aan met PBKDF2
Een specifiek advies is om administrator credentials op te slaan via Password-Based Key Derivation Function 2 (PBKDF2). Dit sluit aan op het probleem dat de campagne misbruik maakt van legacy wachtwoordopslag.
Review logs en isoleer verdachte apparaten
Als je potentiële compromittering vindt: isoleer de getroffen devices, verzamel relevante artifacts en logs en meld het incident. De FBI en USSS adviseren ook rapportage aan hun diensten.
Waarom dit type aanval extra lastig is
FortiBleed laat zien dat een aanval niet altijd start met een “nieuw” technisch lek. Door te werken met gestolen of hergebruikte credentials, kan een campagne toch schaal bereiken—zeker wanneer apparaten direct bereikbaar zijn vanaf het internet.
Bovendien wordt de toegang niet per se beperkt tot één stap. De melding noemt verrijking en validatie van gekraakte credentials, het maken van nieuwe accounts en het lateraal verkennen van omgevingen. Dat betekent dat je herstelproces niet alleen bij de firewall mag stoppen, maar ook moet kijken naar gevolgen in het netwerk.
Relatie met ransomware: let op doorwaadsporen
De adversary wordt vermoed als een “initial access broker” die gestolen toegang mogelijk verpakt en doorverkoopt. De FBI en USSS wijzen erop dat operator-overlaps zijn gevonden met bekende ransomware-activiteiten. Dat vergroot het belang van snelle containment.
Daarnaast waarschuwen ze dat slachtoffers soms worden buitengesloten wanneer aanvallers wachtwoorden verwijderen of wijzigen van oorspronkelijke accounts op de firewall. Dat maakt het des te belangrijker om zorgvuldig te documenteren wat je ziet in logs en om tijd te nemen voor gecontroleerde recovery.
Praktische aanpak voor security teams
Heb je te maken met Fortinet FortiGate of SSL VPN? Volg dan een pragmatische volgorde: eerst scope en containment, daarna credential hardening en tenslotte grondige hunting binnen de omgeving.
- Scopeer welke toestellen internet-facing zijn en of ze beheerd of benaderd worden vanuit onverwachte netwerken.
- Contain: beëindig sessies, isoleer verdachte apparaten en voorkom verdere interactie.
- Harden: reset wachtwoorden, zet phishing-resistente authenticatie aan en pas PBKDF2 toe.
- Hunt: zoek naar nieuwe accounts, ongebruikelijke authenticatiepatronen en tekenen van laterale beweging.
Als je breder kijkt naar hoe credential misbruik of accountlaag-aanvallen kunnen evolueren in je organisatie, kan dit helpen bij het opzetten van beleid en procedures. Ook sluit dit onderwerp aan op eerdere berichtgeving over credential-gerelateerde risico’s en accountmisbruik: Credential layer groeit sneller dan security teams.
Conclusie: pak FortiBleed nu aan, ook als je al “iets” deed
De waarschuwing is helder: FortiBleed blijft actief en richt zich op internetgerichte Fortinet FortiGate-apparaten en SSL VPN-gateways via gestolen credentials en het kraken van authenticatiegegevens. Door snel sessies te beëindigen, accounts te resetten, phishing-resistente authenticatie in te schakelen en PBKDF2 toe te passen, verlaag je het risico op verdere toegang en uitbouw.
Leg vervolgens de nadruk op detectie: check logs, identificeer verdachte accounts en controleer of er laterale beweging of exfiltratie is geweest. Zo voorkom je dat een credential harvesting-campagne doorgaat tot een groter incident.
Bron: https://thehackernews.com/2026/10/fbi-warns-fortibleed-remains-active.html
