Was ist passiert?
Credential Stuffing mit geleakten Passwörtern
Password-Spraying-Angriffe in großem Maßstab
Automatisierte Brute-Force-Anmeldeversuche
Aus dem Internet erreichbare Admin- und VPN-Oberflächen von Fortinet
Nutzung zuvor geleakter Konfigurationsdaten
Nach erfolgreichem Zugriff haben die Angreifer Konfigurationsdateien von den Geräten abgezogen.
Ausmaß des Angriffs
Über 30.000 bestätigte kompromittierte Geräte (Mindestschätzung)
Bis zu 75.000 bis 80.000 potenziell betroffene Firewalls
Auswirkungen auf Sektoren der kritischen Infrastruktur
Präsenz in 194 Ländern
Zehntausende gültige Zugangsdaten gesammelt
Angriffskette
Internetscans nach erreichbaren Fortinet-Portalen
Credential Stuffing und Brute-Force-Angriffe
Erfolgreiche Anmeldung an VPN- und Firewall-Oberflächen
Abziehen der Konfigurationsdateien
Wiederverwendung der Zugangsdaten zur Ausweitung des Zugriffs
Warum das relevant ist
VPN-Zugriff auf interne Netzwerke
Seitwärtsbewegung (Lateral Movement) innerhalb von Unternehmen
Offenlegung von Active-Directory-Anbindungen
Datenabfluss
Dauerhafter Zugriff über vertrauenswürdige Systeme
Kein bestätigter Zero-Day
Kein bestätigter Zero-Day bei Fortinet
Kein Einbruch bei Fortinet selbst
Hauptproblem: erreichbare Oberflächen und schwache Zugangsdaten
Schutzmaßnahmen
Alle Zugangsdaten zurücksetzen
MFA überall aktivieren
Admin-Oberflächen für Zugriffe aus dem Internet sperren
Protokolle auf verdächtige Anmeldungen prüfen
Konfigurationen und Backups überprüfen
Bei öffentlicher Erreichbarkeit von einer Kompromittierung ausgehen
ConnectMyAssets und Prävention
ConnectMyAssets hilft, diese Art von Risiko zu verringern, indem es die Transparenz über exponierte Geräte verbessert.
Laufende Erkennung von aus dem Internet erreichbaren Geräten
Erkennung vergessener oder exponierter Dienste
Aufdeckung von Schatten-IT
Zentrales Geräteinventar
Schnellere Erkennung von Änderungen der Exposition
Das Wichtigste in Kürze
Dieser Vorfall zeigt:
Fehlkonfigurationen wirken sich stärker aus als Exploits
Lücken in der Transparenz schaffen große Sicherheitsrisiken
Ein sauberer Umgang mit Zugangsdaten bleibt entscheidend
