İki siber güvenlik firmasına göre, siber suçlular dünya çapında büyük şirketler tarafından kullanılan on binlerce Fortinet güvenlik duvarını ve VPN'i ele geçirdi.
Devam eden ve FortiBleed adı verilen yaygın hackleme kampanyası, hedeflenen cihazlardaki bilinmeyen herhangi bir güvenlik açığının kötüye kullanılmasını içermiyor gibi görünüyor; bunun yerine daha temel bir konuyu içeriyor: Şirketler güvenlik duvarının şifrelerini değiştirmiyor veya internette açığa çıkan hassas sistemler için kullandıkları kimlik bilgilerinin bilgisayar korsanları tarafından zaten bilinmediğinden emin olmuyor olabilir.
Bu kampanyada, bilgisayar korsanları öncelikle interneti açıkta kalan Fortinet güvenlik duvarları ve VPN'leri taramak için otomatik araçlar kullanıyor. Daha sonra önceden bilinen şifre listeleri sayesinde cihazlara sızıyorlar. Siber güvenlik firmaları Hudson Rock ve SOCRadar bu hafta yayınladıkları raporlarında, bu noktada siber suçluların kurban şirketlerden daha hassas verileri çalabileceğini yazdı.
SOCRadar şöyle yazdı: "Bir cihazın güvenliği ihlal edildiğinde, [bilgisayar korsanları] onu bir dinleme noktası olarak kullanır, geçen trafiği izler ve gelen ek kimlik bilgilerini toplar. Yeni toplanan bu şifreler daha sonra tarayıcıya geri gönderilerek daha fazla cihazın güvenliğinin ihlal edilmesi sağlanır. Sistem kendi kendini besler," diye yazdı SOCRadar.
Fortinet sözcüsü Tiffany Curci, TechCrunch'a şirketin "Fortinet güvenlik duvarlarını ve VPN ağ geçitlerini hedef alan üçüncü taraf kimlik bilgileri toplama kampanyasından haberdar olduğunu" söyledi. Fortinet, şirketin analizine göre söz konusu verilerin "önceki olaylardan elde edilen verilerin yeniden paylaşılmasının yanı sıra kimlik bilgilerinin kaba kuvvet kullanımı olduğunu ve yakın zamanda yaşanan herhangi bir olayla veya tavsiye niteliğinde bir olayla ilgili olmadığını" söyledi.
Hudson Rock, 73.000'den fazla benzersiz Fortinet URL'sinin saldırıya uğradığını gösteren kanıtlar bulduklarını söylerken, SOCRadar saldırıya uğrayan cihazların toplamının 30.000'den fazla olduğunu söyledi.
Hudson Rock'a göre saldırıya uğrayan şirketler arasında Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens ve PwC yer alıyor.
Bir Lenovo sözcüsü TechCrunch'ın yorum talebini aldığını kabul etti ancak yanıt vermedi. Diğer şirketlerin hiçbiri yorum talebine yanıt vermedi.
Hem Hudson Rock hem de SOCRadar'a göre, en çok etkilenen cihazların bulunduğu ülkeler Hindistan, ABD, Tayvan ve Meksika'dır. Ancak her iki şirket de dünyanın her yerinde mağdurların olduğunu söylüyor. Hudson Rock'a göre endüstrilere gelince, en çok etkilenenler BT hizmetleri, inşaat malzemeleri ve telekomünikasyon. SOCRadar'a göre devlet kurumları da kurbanlar arasında yer alıyor. Her iki siber güvenlik şirketi de hackleme kampanyasının arkasındaki grubun Rusça konuştuğunu söyledi.
Hudson Rock ve SOCRadar'ın raporları, Fortinet cihazları ve ilgili şirketlere ait kimlik bilgileri listesinin keşfedilmesine dayanıyor. Bu hackleme kampanyası ilk olarak güvenlik araştırmacısı Bob Diachenko tarafından hafta sonu bildirildi. Bağımsız siber güvenlik araştırmacısı Kevin Beaumont Çarşamba günü yayınladığı bir blog yazısında verileri analiz ettiğini ve verilerin "yasal" olduğunu doğruladığını söyledi.
Son yıllarda, genellikle bu sistemlerdeki güvenlik açıklarını kötüye kullanan çeşitli bilgisayar korsanlığı kampanyaları Fortinet cihazlarını hedef aldı ve ele geçirdi. Bunun yerine, bu durumda bilgisayar korsanları daha basit ve daha az karmaşık bir saldırı olan sızdırılmış şifrelere güveniyorlar.
Fortinet'in yorumuyla güncellendi.
