FortiBleed: Chiến Dịch Lộ Thông Tin Đăng Nhập Fortinet Ảnh Hưởng Hơn 30.000 Thiết Bị Toàn Cầu

Tóm tắt nhanh: Sự cố bảo mật thường bắt đầu từ tài khoản yếu, email độc hại, firewall cấu hình sai hoặc thiết bị chưa được giám sát. Doanh nghiệp nên cô lập điểm nghi ngờ, kiểm tra log, rà soát tài khoản và củng cố backup trước khi sự cố ảnh hưởng đến dữ liệu hoặc khách hàng.

FortiBleed Và Lời Cảnh Tỉnh Nghiêm Khắc Cho Hệ Thống Bảo Mật Doanh Nghiệp

Chiến dịch FortiBleed đang tạo ra một chấn động lớn trong cộng đồng an ninh mạng toàn cầu. Đây là một cuộc tấn công credential harvesting quy mô lớn nhắm vào các thiết bị Fortinet FortiGate firewalls và VPN gateways. Với hơn 30.000 thiết bị đã bị ảnh hưởng và một cơ sở dữ liệu chứa đầy thông tin đăng nhập đã được xác minh còn hoạt động, sự cố này đặt ra mối đe dọa nghiêm trọng đối với hàng loạt doanh nghiệp, tổ chức chính phủ và các cơ sở hạ tầng quan trọng trên thế giới. Việc để các thiết bị bảo mật tiếp xúc trực tiếp với internet một lần nữa chứng minh là sai lầm chí mạng.

Quá Trình Phát Hiện Chiến Dịch FortiBleed

Vào giữa tháng 6/2024, các nhà nghiên cứu bảo mật đã phát hiện dấu hiệu của một chiến dịch đang hoạt động có hệ thống. Họ đặt tên cho chiến dịch này là FortiBleed. Nhóm tấn công đã sử dụng phương pháp tinh vi để trích xuất file cấu hình từ những thiết bị FortiGate được triển khai công khai trên internet. Sau khi thu thập được các file này, chúng tiến hành bẻ khóa hash mật khẩu được lưu trữ bên trong.

Kết quả là kẻ xấu sở hữu được hàng chục nghìn bộ thông tin đăng nhập quản trị viên hợp lệ. Đây không phải là hành động quét mật khẩu ngẫu nhiên mà là một cuộc tấn công có chủ đích, khai thác trực tiếp vào dữ liệu cấu hình và bí mật đăng nhập của hệ thống.

Quy Mô Khủng Của Dữ Liệu Bị Lộ Trong Chiến Dịch FortiBleed

Dữ liệu được công bố cho thấy cơ sở dữ liệu chứa chính xác 30.791 bộ lộ thông tin đăng nhập Fortinet đã được xác minh còn hoạt động. Một số nguồn nghiên cứu độc lập ước tính phạm vi ảnh hưởng thực tế có thể lên tới khoảng 75.000 thiết bị. Điều đáng báo động là toàn bộ dữ liệu này được sắp xếp một cách chuyên nghiệp theo quốc gia, ngành nghề, quy mô doanh thu của tổ chức mục tiêu. Sự sắp xếp có hệ thống này cho thấy chiến dịch được thực hiện bởi một nhóm có tổ chức cao, không phải các hacker nghiệp dư.

Trong thực tế, con số này có thể còn lớn hơn nhiều vì nhiều tổ chức không công khai việc bị ảnh hưởng hoặc chưa phát hiện ra dấu vết xâm nhập.

Phạm Vi Ảnh Hưởng Toàn Cầu Của Tấn Công Bảo Mật FortiGate

Chiến dịch FortiBleed đã lan rộng đến 194 quốc gia và vùng lãnh thổ. Từ các tập đoàn đa quốc gia tại Mỹ, châu Âu đến các cơ quan chính phủ tại châu Á, châu Phi và Nam Mỹ đều nằm trong tầm ngắm. Không chỉ dừng lại ở doanh nghiệp tư nhân, nhiều tổ chức nhà nước và hạ tầng quan trọng cũng bị ảnh hưởng.

Đây rõ ràng không phải là một sự cố cục bộ hay nhắm vào một ngành cụ thể. Thay vào đó, nó là một đợt thu thập thông tin quy mô lớn, có khả năng làm nền tảng cho các cuộc tấn công sâu hơn trong tương lai như ransomware, APT hoặc gián điệp mạng.

Cách Thức Hoạt Động Của Cuộc Tấn Công Credential Harvesting

Không giống như các cuộc tấn công brute-force truyền thống, FortiBleed tập trung khai thác file cấu hình của thiết bị. Khi một FortiGate được expose ra internet qua cổng quản trị (thường là HTTPS port 443 hoặc 10443), kẻ tấn công sẽ tìm cách tải về file config bị mã hóa. Bên trong file này chứa các hash mật khẩu và thông tin xác thực khác.

Sau khi giải mã và crack hash (đặc biệt là các hash sử dụng cơ chế mã hóa yếu hơn trong một số phiên bản FortiOS cũ), chúng thu được username và password thực tế. Phương pháp này hiệu quả hơn nhiều so với việc thử mật khẩu hàng loạt vì nó tận dụng trực tiếp dữ liệu bí mật đã được lưu trữ trên thiết bị.

Những Thông Tin Nhạy Cảm Bị Thu Thập Và Rủi Ro Tiềm Ẩn

Dữ liệu bị lộ bao gồm thông tin đăng nhập quản trị viên, tài khoản VPN, một số trường hợp còn chứa email quản trị, mật khẩu dạng plaintext và dữ liệu phiên đăng nhập. Với những thông tin này, kẻ tấn công có thể dễ dàng truy cập vào mạng nội bộ của tổ chức, thực hiện di chuyển ngang (lateral movement), triển khai ransomware hoặc đánh cắp dữ liệu nhạy cảm.

Một ví dụ thực tế là các bệnh viện sử dụng FortiGate để kết nối hệ thống PACS và hồ sơ bệnh án điện tử. Nếu tài khoản VPN bị lạm dụng, toàn bộ dữ liệu y tế cá nhân của hàng triệu bệnh nhân có nguy cơ bị đánh cắp hoặc mã hóa đòi tiền chuộc.

Tại Sao Các Tổ Chức Sử Dụng Fortinet Cần Hành Động Ngay Lập Tức?

Nguy hiểm lớn nhất của lộ thông tin đăng nhập Fortinet nằm ở việc credential vẫn còn hiệu lực ngay cả khi thiết bị đã được vá lỗi. Nhiều tổ chức cho rằng việc cập nhật firmware là đủ, nhưng nếu không thay đổi toàn bộ mật khẩu quản trị và VPN thì cửa sau vẫn rộng mở.

Kẻ tấn công có thể sử dụng credential này để bypass firewall, thiết lập persistence, hoặc bán dữ liệu trên dark web. Rủi ro càng cao hơn với các tổ chức thuộc ngành tài chính, năng lượng, y tế và chính phủ – những mục tiêu thường xuyên bị nhắm đến trong các chiến dịch APT.

Khuyến Nghị Ứng Phó Khẩn Cấp Cho Doanh Nghiệp

Để giảm thiểu rủi ro ngay lập tức, các tổ chức cần thực hiện các biện pháp sau:

• Thay đổi ngay lập tức tất cả mật khẩu quản trị và tài khoản VPN trên mọi thiết bị FortiGate, đặc biệt những thiết bị expose ra internet.
• Bật xác thực đa yếu tố (MFA) cho mọi tài khoản quản trị và truy cập VPN.
• Hạn chế tối đa việc mở giao diện quản trị ra internet. Chỉ cho phép truy cập từ IP nội bộ hoặc qua VPN đã được bảo vệ nghiêm ngặt.
• Kiểm tra log thiết bị để phát hiện dấu hiệu đăng nhập bất thường, thay đổi cấu hình hoặc traffic đáng ngờ.
• Triển khai giải pháp giám sát liên tục (SIEM) để phát hiện sớm hoạt động di chuyển ngang trong mạng.

Khuyến Cáo Kỹ Thuật Từ Nhà Cung Cấp Và Chuyên Gia

Fortinet khuyến nghị tất cả người dùng nâng cấp lên phiên bản FortiOS mới nhất để khắc phục các lỗ hổng liên quan. Sau khi nâng cấp, yêu cầu tất cả quản trị viên phải đăng nhập lại để hệ thống chuyển sang cơ chế mã hóa mạnh hơn.

Đối với các phiên bản FortiOS 7.2.x và 7.4.x, nên kích hoạt thiết lập “login-lockout-upon-weaker-encryption” để loại bỏ hoàn toàn các hash SHA-256 yếu còn sót lại trong old-password. Ngoài ra, việc bật chế độ password policy mạnh và định kỳ audit cấu hình thiết bị là rất cần thiết.

Bài Học Rút Ra Và Bối Cảnh Rộng Lớn Của FortiBleed

Đây là một trong những chiến dịch lộ thông tin đăng nhập firewall lớn nhất được công bố gần đây. Nó nhấn mạnh rằng việc vá lỗi phần mềm thôi là chưa đủ nếu không thay đổi triệt để các credential đã bị phơi bày. FortiBleed là minh chứng sống động cho rủi ro của việc để các thiết bị bảo mật quan trọng phơi bày trực tiếp ra internet mà không có lớp bảo vệ phù hợp.

Trong bối cảnh các cuộc tấn công credential-based ngày càng gia tăng, các tổ chức cần chuyển đổi tư duy từ “phòng thủ theo lớp” sang mô hình Zero Trust thực sự, kết hợp với việc giám sát liên tục và quản lý danh tính chặt chẽ. Chi tiết về chiến dịch này có thể tham khảo tại bài viết gốc trên Cybernews.