De FortiBleed Fortinet aanval is nog altijd actief. Volgens recente inzichten richt de campagne zich op organisaties die internet-toegang hebben tot Fortinet FortiGate firewalls en SSL VPN appliances. Daarbij draait het niet alleen om het stelen van inloggegevens: aanvallers lijken organisaties ook bewust de toegang tot hun eigen systemen te ontnemen.
Wat opvalt, is hoe breed de impact is geweest en hoe persistente het lijkt. In deze gids zetten we de belangrijkste signalen op een rij en geven we concrete herstel- en preventiestappen die je nu kunt nemen.
Wat is de FortiBleed Fortinet aanval?
De campagne is gestart in juni en gebruikt al compromitterende toegangspaden. Ten eerste is er sprake van credential harvesting: aanvallers verzamelen inloggegevens uit verschillende bronnen, zoals eerdere dumps en logs. Daarna proberen ze apparaten over te nemen met gestolen credentials en brute-force technieken, vooral wanneer systemen niet goed zijn afgeschermd.
Volgens Fortinet’s analyse werd bovendien gebruikgemaakt van credentials die eerder al waren gecompromitteerd. Dat wijst op een aanpak die draait om “welke accounts werken hier?” in plaats van alleen het misbruiken van een enkel kwetsbaarheidsmoment.
Waarom worden organisaties “buitengesloten”?
Een bijzonder zorgwekkend onderdeel van de FortiBleed Fortinet aanval is het vergrendelen van slachtoffers. In een gezamenlijke waarschuwing (advies) van FBI en US Secret Service (USSS) wordt beschreven dat aanvallers organisaties kunnen blokkeren door:
- wachtwoorden te wijzigen van oorspronkelijke accounts op het systeem;
- bestaande accounts te verwijderen.
Het doel is doorgaans tweeledig: slachtoffers verliezen toegang, en de aanvallers behouden tegelijkertijd mogelijkheden om verder te bewegen binnen de omgeving (bijvoorbeeld via laterale beweging of het benutten van andere toegankelijke onderdelen).
Hoeveel Fortinet-devices zijn getroffen?
In de week na de start van de escalatie meldde men dat de aanval op meer dan 86.000 Fortinet-apparaten mikte, verdeeld over 190 landen. Dat signaal was al groot, maar er zijn daarna verdere bevestigingen gekomen.
SOCRadar meldt dat het de compromittering van ongeveer 86.644 apparaten heeft bevestigd in 194 landen. Let op: SOCRadar benadrukt dat het gaat om bevestigd gecompromitteerde devices, niet om een schatting van blootstelling op basis van mogelijke kwetsbaarheid.
Daarmee blijft de boodschap: sommige apparaten kunnen al maanden geleden zijn geraakt, terwijl ze nog steeds in de gevalideerde “inventory” van de aanvallers zitten.
Hoe verloopt de aanval: van scanning tot toegang en verkoop?
De waargenomen activiteit bevat meerdere fasen. Aanvallers:
- scannen naar blootgestelde SSL VPN-portalen;
- oogsten credentials uit infostealer logs en eerdere dumps;
- breken hashes offline;
- maken een kaart van het aanvalsvlak om honeypots te omzeilen;
- gebruiken geverifieerde credentials om devices over te nemen;
- verkopen werkende VPN-configuraties en doellijsten aan andere partijen.
Dit laatste punt suggereert dat de campagne niet alleen “een incident” is, maar mogelijk onderdeel van een breder ecosysteem waarin toegang en informatie worden hergebruikt en doorverkocht.
Wat zeggen FBI en USSS: stappen om in te grijpen
FBI en USSS adviseren getroffen organisaties om de situatie zorgvuldig te analyseren en gecontroleerd op te schonen. Het advies richt zich op de volgende kernacties:
- Identificeer gecompromitteerde hosts;
- breng de impact in kaart (scope the intrusion);
- evict de aanvallers (verwijder hun toegang en sporen);
- versterk beschermingen om nieuwe aanvallen te voorkomen;
- rapporteer de intrusie.
Concreet gaat het niet alleen om “patchen”, maar om het uitbannen van geautoriseerde toegang die via gestolen accounts is verkregen.
Praktische maatregelen om de kans op nieuwe toegang te verkleinen
Om de aanvalssurface te verkleinen, leggen de waarschuwingen ook extra focus op toegangsbeheer en detectie. Je kunt hier direct mee starten:
Beperk managementtoegang
Stuur managementinterfaces niet standaard naar het internet. Beperk toegang tot vertrouwde IP’s, netwerken of via veilige beheerkanalen. Hiermee reduceer je het aantal mogelijke doelwitten dat door scanners te vinden is.
Reset alle Fortinet VPN- en admin-wachtwoorden
Omdat de aanval kan steunen op gecompromitteerde credentials, is het belangrijk om alle wachtwoorden te resetten: zowel VPN-accounts als administratieve accounts. Doe dit op een moment dat je tegelijk de rest van je herstelplan uitvoert, zodat je geen “open deur” laat bestaan.
Gebruik phishing-resistente MFA
FBI en USSS noemen expliciet het toepassen van phishing-resistant multifactor authentication (MFA). Dit verkleint de kans dat gestolen inloggegevens alsnog bruikbaar zijn.
Herzie gebruikers, configuraties en API-sleutels
Controleer wie toegang heeft tot firewall- en VPN-functionaliteit en of configuraties nog kloppen. Daarnaast: review en valideer API keys. API-toegang kan een onbedoelde ‘backdoor’-route vormen wanneer sleutels niet beheerd of ingetrokken worden.
Controleer logs op verdachte activiteit
Monitor systeem- en toegangslogs op patronen die passen bij scanning, brute-force of account-wijzigingen. Let vooral op veranderingen rond authenticatie, het verwijderen of aanpassen van accounts en ongebruikelijke beheeractiviteiten.
Bewaar credentials veilig
Zorg dat credentials niet onveilig worden opgeslagen of te breed worden gedeeld. Als credentials in verkeerde logbestanden of dumps terechtkomen, wordt credential harvesting eenvoudiger.
Vergelijkbare trends: credential-gebaseerde aanvallen blijven dominant
De FortiBleed Fortinet aanval past in een patroon dat we vaker zien: aanvallers gebruiken gestolen of herbruikbare inloggegevens en combineren dat met geautomatiseerde scanning en offline cracking. Als je breder wilt kijken naar hoe aanvallen met gestolen toegang zich ontwikkelen, is het ook relevant om te lezen over eerdere campagnes op de site, zoals de Tensorlake npm-compromis en de credential-worm dreiging.
Daarnaast blijft het belangrijk om ook je supply chain en software-ecosystemen niet los te zien van je toegangs- en monitoringstrategie.
Conclusie: pak FortiBleed aan met toegang, opschoning en hardening
De kern van de FortiBleed Fortinet aanval is helder: aanvallers zoeken blootgestelde Fortinet-firewalls en SSL VPN-appliances op, verzamelen credentials, en nemen systemen over. Vervolgens kunnen ze slachtoffers zelfs blokkeren door wachtwoorden te wijzigen of accounts te verwijderen.
Met een combinatie van device-identificatie, scope van de inbraak, gerichte evictie, reset van wachtwoorden, phishing-resistente MFA en strakkere toegangsmaatregelen kun je de kans op herhaling sterk verkleinen. Heb je Fortinet in gebruik met internettoegang voor beheer of VPN? Neem dit scenario dan als prioriteit—liefst nog voordat je nieuwe logs of meldingen nodig hebt.
Bron: https://www.securityweek.com/fortibleed-attackers-locking-victims-out-of-fortinet-devices/
