Beveiligingsonderzoekers hebben deze week een grootschalig datalek blootgelegd waarbij vermoedelijk werkende inloggegevens voor Fortinet FortiGate firewalls en SSL VPN gateways openlijk toegankelijk waren. De dataset werd ontdekt door onderzoeker Volodymyr “Bob” Diachenko en is door dreigingsinformatiebedrijf Hudson Rock verder geanalyseerd onder de naam FortiBleed.
Hergebruikte inloggegevens, geen nieuwe kwetsbaarheid
Tegen TechCrunch liet een woordvoerder van Fortinet weten bekend te zijn met deze credential harvesting campagne van een derde partij. Volgens diezelfde woordvoerder zijn de onderliggende gegevens grotendeels afkomstig uit eerdere incidenten en uit brute force aanvallen op zwakke of hergebruikte wachtwoorden, en is er geen sprake van een nieuwe kwetsbaarheid of beveiligingsadvies. Onderzoeker Kevin Beaumont merkt op dat de data informatie bevat die normaal alleen in configuratie exports voorkomt, wat wijst op daadwerkelijke toegang tot apparaten. Hoe die toegang is verkregen, blijft onbekend.
Onderzoekers verschillen van mening over de exacte omvang
Over de exacte omvang van het datalek bestaat geen volledige overeenstemming tussen onderzoekers. Hudson Rock spreekt van 73.932 unieke firewall URL’s in 194 landen, Beaumont schat het aantal betrokken apparaten op ongeveer 75.000, terwijl beveiligingsbedrijf SOCRadar in eigen onderzoek tot een aanzienlijk lager aantal kwam van ruim 30.000 werkende beheerdersaccounts. Diachenko meldt verder dat bij organisaties in onder meer Japan, Taiwan, Vietnam, Irak en Turkije sprake zou zijn van volledige netwerkcompromittering, waaronder bij een Turkse defensieleverancier. Deze laatste claim is niet onafhankelijk bevestigd en dient met de nodige terughoudendheid te worden gelezen.
Praktische maatregelen voor organisaties met Fortinet apparatuur
Voor organisaties die met Fortinet werken, is dit vooral een aansporing om de basishygiëne rond toegangsbeveiliging op orde te brengen. Het wordt aangeraden om wachtwoorden voor VPN en beheerinterfaces te roteren, ongeacht de complexiteit ervan, multi factor authenticatie te verplichten op alle externe toegangspunten, beheerinterfaces niet rechtstreeks vanaf het internet bereikbaar te maken en toegangslogs te controleren op afwijkende inlogpatronen.
Wie wil controleren of een eigen domein in de dataset voorkomt, kan dit via een https://socradar.io/free-tools/fortibleed
