Fortinet
2026-07-12
FortiGate防火墙遭大规模攻击：43万台设备被植入嗅探工具窃取VPN凭证
内容摘要
核心要点
根据SOCRadar报告，FortiBleed攻击活动已正式与INC Ransom和Lynx勒索软件团伙关联。约43万台FortiGate防火墙在全球150多个国家被targeting，约1.9万台设备被确认部署了名为'FortiGate Sniffer'的定制化流量嗅探工具。攻击者通过在受感染的FortiGate防火墙上部署嗅探工具，直接拦截VPN认证凭据，而非攻击网络内部系统。这种'living on the edge'技术使EDR和SIEM的检测极其困难。
研究人员发现一个属于FortiBleed基础设施的Windows服务器同时打开了INC Ransom和Lynx的勒索谈判面板，暴露了操作关联。受影响的行业包括医疗、制造业、金融和政府部门。至少12起勒索软件部署已确认。
Fortinet尚未正式公布攻击者获取FortiGate防火墙初始访问权限的矢量。社区推测可能涉及FortiOS管理界面暴露的CVE未修补漏洞、管理员凭据网络钓鱼，或尚未公开的零日漏洞。这给企业安全团队带来了巨大的不确定性。
重要性说明
Fortinet在此事件中的沉默并非偶然：它试图淡化其产品在管理界面暴露和固件漏洞方面的长期短板。企业一旦部署大量FortiGate设备，就被锁定在其专有操作系统FortiOS的更新节奏和补丁机制中，而此次攻击恰恰利用了未知的初始访问矢量，可能是未公开的零日漏洞。这暴露了Fortinet的安全响应滞后问题：当攻击者已经大规模利用漏洞时，厂商可能仍在内部调查，企业只能被动承受风险。
更重要的是，攻击者采用的'living on the edge'技术直接将防火墙从防御工具变为攻击跳板，拦截VPN凭证后即可直接进入内部网络，完全绕过企业部署的EDR和SIEM。这揭示了传统边界安全模型的根本缺陷：防火墙本身成为最薄弱的环节。企业投入巨资建设的内部检测体系对这类攻击无效，因为攻击从未触及内部流量，而是在网络边缘被截获。
从竞争角度看，此事件为Palo Alto Networks、Check Point等厂商提供了攻击Fortinet软肋的弹药：它们可以强调自己的防火墙管理更安全（如Prisma Access的云管理减少暴露面），或推广零信任网络访问（ZTNA）替代传统VPN，从根本上消除VPN凭证窃取的风险。Fortinet的客户现在面临两难：继续信任FortiGate的安全承诺，还是加速迁移到替代架构。
PRO 决策建议
【厂商】（竞争对手）： Palo Alto Networks和Check Point应立即发布安全公告，强调其防火墙管理界面默认不暴露于互联网，并提供免费的安全评估工具，帮助客户识别类似风险。同时，推广零信任网络访问（ZTNA）作为VPN的替代方案，直接消除凭证窃取攻击面。Arista Networks等网络厂商也可强调其交换机不承担VPN功能，减少攻击面。
【企业】： CIO和架构师应立即审计所有FortiGate设备，确保管理界面仅从内部网络访问，并启用多因素认证（MFA）对所有VPN登录。部署网络检测与响应（NDR）工具监控防火墙东西向流量，以检测异常嗅探行为。考虑实施零信任架构，逐步替换传统VPN，减少对单一边界设备的依赖。同时，要求Fortinet提供详细的初始访问矢量分析，否则暂停新采购。
【投资者】： 此事件暴露了Fortinet产品线中的系统性安全风险，可能导致客户流失和声誉损失。短期应关注Fortinet股价波动，长期需评估其安全响应能力和产品架构现代化进程。同时，投资于提供边缘安全监控和零信任解决方案的公司（如Zscaler、Cloudflare）可能受益。
觉得这篇分析有用？
每周收到3-5条AI基础设施关键信号 →
💬 评论 (0)