FortiBleed-Leak veranlasst CISA zu Warnung an Fortinet-Nutzer

Die US-amerikanische Cybersicherheitsbehörde CISA hat Organisationen dazu aufgefordert, ihre Fortinet-Geräte abzusichern, nachdem Forscher eine massive Offenlegung von Zugangsdaten entdeckt haben, die unter dem Namen FortiBleed bekannt wurde. Das Datenleck umfasst Zugangsdaten, die mit fast 74.000 Fortinet-Firewalls und VPN-Gateways weltweit verknüpft sind, und stellt ein erhebliches Risiko für Behörden sowie Unternehmen dar.

CISA veröffentlichte die Warnung, nachdem Berichte darauf hindeuteten, dass Bedrohungsakteure aktiv internetzugängliche Fortinet-Systeme mit kompromittierten Zugangsdaten angreifen. Die Behörde warnt davor, dass Angreifer die offengelegten Informationen nutzen könnten, um unbefugten Zugriff auf kritische Netzwerkinfrastrukturen zu erlangen.

Die Warnung folgt auf zunehmende Besorgnis innerhalb der Cybersicherheitsbranche, während Forscher weiterhin Umfang und Ursprung der geleakten Daten untersuchen.

Forscher fanden Zugangsdaten für Zehntausende Geräte

Der Sicherheitsforscher Volodymyr „Bob“ Diachenko entdeckte einen offen zugänglichen Server, der offenbar gültige Fortinet-VPN-Zugangsdaten enthielt. Der Datensatz umfasste Benutzernamen, E-Mail-Adressen und Passwörter im Klartext, die mit 73.932 Firewall-URLs von Organisationen weltweit verknüpft waren.

Die Forscher fanden Datensätze von Unternehmen, Behörden, Telekommunikationsanbietern, Herstellern, Gesundheitseinrichtungen und Finanzinstituten. Die offengelegten Daten betreffen 194 Länder und mehr als 21.000 Domains.

Die Ermittler konnten bislang nicht genau feststellen, wie die Angreifer die Zugangsdaten gesammelt haben. Hinweise deuten jedoch darauf hin, dass die Operation eine groß angelegte Sammlung und Überprüfung von Zugangsdaten für FortiGate-Systeme umfasste.

CISA fordert sofortige Maßnahmen

CISA empfiehlt Organisationen, umgehend Maßnahmen zum Schutz betroffener Systeme zu ergreifen. Die Behörde rät Administratoren, aktive SSL-VPN- und Administrationssitzungen zu beenden, sämtliche VPN- und Administratorpasswörter zurückzusetzen und Protokolle auf verdächtige Aktivitäten zu überprüfen.

Darüber hinaus empfiehlt CISA den Einsatz phishingresistenter Multi-Faktor-Authentifizierung sowie die Beschränkung des Zugriffs auf Verwaltungsoberflächen aus dem öffentlichen Internet. Administratoren sollten außerdem nicht autorisierte Konten entfernen und sicherstellen, dass nur genehmigte Benutzer über administrative Rechte verfügen.

Fortinet-Kunden sollten zudem prüfen, ob ihre Geräte moderne Methoden zum Schutz von Passwörtern verwenden, etwa das PBKDF2-Hashing, das Fortinet in neueren FortiOS-Versionen eingeführt hat.

FortiBleed ist eine Zugangsdatenkrise, keine Software-Schwachstelle

Forscher betonen, dass FortiBleed keine neu entdeckte Software-Schwachstelle betrifft. Für den Vorfall existiert keine CVE-Kennung, und kein Sicherheitsupdate kann das Problem beheben. Stattdessen entsteht die Gefahr durch offengelegte Zugangsdaten, die Angreifer für den Zugriff auf legitime Systeme nutzen können.

Gerade dieser Umstand macht den Vorfall besonders gefährlich. Organisationen, die sich ausschließlich auf Patch-Management konzentrieren, könnten kompromittierte Konten übersehen, die Angreifern weiterhin direkten Zugriff auf ihre Netzwerkinfrastruktur ermöglichen. Selbst starke Passwörter bieten keinen Schutz mehr, wenn Angreifer bereits über gültige Zugangsdaten verfügen.

Sicherheitsexperten warnen deshalb, dass Unternehmen den Schutz von Zugangsdaten mit derselben Priorität behandeln sollten wie das Management von Sicherheitslücken.

Fazit

Das FortiBleed-Datenleck hat Zugangsdaten offengelegt, die mit fast 74.000 Fortinet-Geräten verbunden sind, und eine dringende Warnung von CISA ausgelöst. Obwohl der Vorfall keine Software-Schwachstelle umfasst, könnten die geleakten Zugangsdaten Angreifern direkten Zugriff auf kritische Systeme ermöglichen. Organisationen, die Fortinet-Produkte einsetzen, sollten ihre Zugangsdaten unverzüglich ändern, starke Authentifizierungsmaßnahmen aktivieren und ihre Systeme auf Anzeichen unbefugter Zugriffe überprüfen, bevor Bedrohungsakteure die offengelegten Daten ausnutzen.