Gestohlene Admin-Passwörter bedrohen über 21.000 Unternehmen FortiBleed kompromittiert 75.000 Fortinet-Firewalls weltweit

Anbieter zum Thema

Fujitsu Technology Solutions GmbH

Die Kampagne FortiBleed verschafft Kriminellen Zugriff auf rund 75.000 Fortinet-Systeme in fast 200 Ländern, ohne eine neue Schwachstelle auszunutzen. Grundlage sind gestohlene und wiederverwendete Admin-Passwörter, die über 21.000 Unternehmen weltweit bedrohen. CERT.at rechnet mit zeitnaher Verwertung der erbeuteten Zugänge.

Ein Sicherheitsforscher stieß Anfang Juni 2026 auf eine ungewöhnlich aufgebaute Da­ten­samm­lung. Nach genauerer Untersuchung erwies sie sich als Bestand gestohlener Anmeldedaten für Fortinet-Firewalls und VPN-Gateways. Das Sicherheitsunternehmen Hudson Rock und der unabhängige Forscher Kevin Beaumont bestätigten die Echtheit. Das österreichische CERT.at ordnet den Vorfall als aktive, finanziell motivierte Operation ein.

SQL-Injection

Kritische FortiClient-Schwachstelle wird in Angriffen genutzt

Automatisierte Suche nach offenen Systemen

FortiBleed unterscheidet sich von früheren Angriffen auf Fortinet-Hardware durch den Ansatz. Die Täter verzichten auf unbekannte Schwachstellen und nutzen ein grundlegenderes Ver­säum­nis. Viele Unternehmen wechseln die Passwörter ihrer Firewalls nicht und sichern über das Internet erreichbare Systeme mit Anmeldedaten, die in kriminellen Kreisen längst zirkulieren.

Der Angriff läuft in mehreren Phasen ab. Zunächst durchsuchen automatisierte Werkzeuge das Internet nach offen erreichbaren Fortinet-Instanzen mit öffentlich zugänglichem Ma­nage­ment-Interface. Anschließend gleichen die Angreifer die gefundenen Geräte mit Listen bekannter Passwörter ab und übernehmen verwundbare Systeme. Ein gekapertes Gerät dient danach als Abhörposten für den passierenden Netzwerkverkehr und fängt weitere Anmeldedaten ab. Die neu gewonnenen Daten fließen zurück in den Scan und erweitern den Kreis kompromittierter Systeme. Wie die Täter in einzelnen Fällen initialen Zugriff auf Konfigurationsdateien erlangten, ist nach Einschätzung mehrerer Forscher noch nicht abschließend geklärt.

Hudson Rock zählt rund 73.900 betroffene Firewall-URLs in 194 Ländern und ordnet sie mehr als 21.600 Domains zu. Nach Einschätzung von Beaumont entspricht das ungefähr der Hälfte aller aus dem Internet erreichbaren Fortinet-Firewalls. Das Sicherheitsunternehmen SOCRadar kommt auf über 30.000 kompromittierte Geräte. Die abweichenden Zahlen ergeben sich aus unterschiedlichen Zählweisen, der Befund einer breiten, automatisierten Operation bleibt in beiden Berichten gleich. Bei den Branchen dominieren IT-Dienstleister, Baustoffhersteller und Telekommunikationsunternehmen, geografisch führt Indien vor den USA, Taiwan und Mexiko. Unter den identifizierten Opfern führt Hudson Rock multinationale Konzerne auf, darunter Foxconn, Samsung, Comcast, Siemens, Lenovo, PwC, Accenture, Oracle und Chevron. Sogar Fortinet selbst taucht im Datensatz auf. Behörden und Betreiber kritischer Infrastruktur stehen ebenfalls auf der Liste. Hudson Rock und SOCRadar ordnen die Täter einer russischsprachigen Cybercrime-Gruppe zu, die finanziell motiviert vorgeht und gezielt NATO-Staaten ins Visier nimmt.

Automatisierte Angriffe auf FortiGate-Geräte seit Januar 2026

Neue Angriffswelle trifft Fortinet FortiGate über SSO-Schwachstelle

Gestohlene Hashes über GPU-Cluster gebrochen

Die Gruppe geht über reines Credential-Stuffing hinaus. Nach Angaben von Hudson Rock fangen die Angreifer Authentifizierungs-Hashes der SSL-VPN-Anmeldung ab und brechen sie auf einem dedizierten Cluster mit 45 Grafikprozessoren, verwaltet über das Tool Hashtopolis. Nach dem Durchbruch am Perimeter bewegen sich die Täter weiter in interne Active-Directory-Umgebungen und richten sich dort dauerhaft ein. Insgesamt beziffert der Bericht die Aktivität auf rund 1,16 Milliarden Anmeldeversuche gegen über 320.000 FortiGate-Ziele.

Die Schwäche im Schutz der Anmeldedaten erklärt die Erfolgsquote. Fortinet stellte Anfang 2025 mit den FortiOS-Versionen 7.2.11, 7.4.8 und 7.6.1 auf das Verfahren PBKDF2 um und verstärkte damit den Schutz der Administrator-Passwörter. Wirksam wird der Schutz allerdings erst, nachdem sich ein Administrator nach dem Firmware-Update erneut angemeldet hat. Auf vielen Geräten lagern die Passwörter daher weiter im älteren Format SHA-256 mit Salt, das sich offline brechen lässt. Fortinet bestätigt eine Kampagne zur Sammlung von Zugangsdaten gegen die eigenen Firewalls und VPN-Gateways. Nach Herstellerangaben handelt es sich um eine Wiederverwendung von Daten aus früheren Vorfällen in Kombination mit Bruteforcing, ohne Bezug zu einem aktuellen Sicherheitsvorfall.

Sofortmaßnahmen für Betreiber

Betreiber von Fortinet-Geräten sollten umgehend reagieren. Das Management-Interface gehört vom öffentlichen Internet getrennt, sofern keine zwingende Notwendigkeit besteht. Ein Update auf die aktuelle FortiOS-Version und eine erzwungene Neuanmeldung aller Administratoren überführt die Passwörter in das sicherere PBKDF2-Format. Flächendeckende Multi-Faktor-Authentifizierung an allen externen Zugängen und Admin-Oberflächen erschwert die Verwertung gestohlener Klartext-Passwörter erheblich. Ein Abgleich der eigenen An­mel­de­da­ten gegen Threat-Intelligence-Datenbanken deckt kompromittierte Konten auf, bevor sie am Perimeter zum Einsatz kommen. Hudson Rock stellt ein kostenloses Online-Tool bereit, mit dem Unternehmen prüfen, ob ihre Domain im Datensatz auftaucht. CERT.at rechnet damit, dass die finanziell motivierten Täter die gesammelten Zugänge zeitnah verwerten, bevor Gegenmaßnahmen greifen.

3. kritische Schwachstelle in zwei Monaten

Neue SSO-Schwachstelle in FortiCloud wird aktiv ausgenutzt

(ID:50877649)