FortiBleed: Waarschuwing voor grootschalige compromis van Fortinet firewalls

Ontdek alles over de FortiBleed-campagne, een massaal datalek dat tienduizenden Fortinet FortiGate firewalls treft. Leer over de oorzaken, de impact en essentiële stappen voor beveiliging.

FortiBleed waarschuwing
FortiBleed waarschuwing

De digitale wereld staat in rep en roer door de “FortiBleed”-campagne, een grootschalige aanval die tienduizenden internetgerichte Fortinet FortiGate firewalls en SSL VPN gateways wereldwijd treft. Deze lopende campagne, voor het eerst gemeld medio juni 2026, maakt gebruik van eerder gestolen of gelekte inloggegevens en geavanceerde automatisering, in plaats van een ‘zero-day’ kwetsbaarheid. Organisaties worden hierdoor blootgesteld aan aanzienlijke en directe risico’s.

Geschat wordt dat de FortiBleed-campagne ongeveer de helft van alle Fortinet-apparaten die online bereikbaar zijn, treft, verspreid over 194 landen. Dit is een wake-up call die het belang van robuuste cyberhygiëne en geavanceerde beveiligingsstrategieën benadrukt.

Wat is FortiBleed en waarom is het zo zorgwekkend?

In tegenstelling tot wat veel mensen misschien denken, is FortiBleed geen exploitatie van een nieuwe kwetsbaarheid of ‘zero-day’. Er is geen nieuwe CVE (Common Vulnerabilities and Exposures) betrokken. Wat de campagne zo gevaarlijk maakt, is de schaal waarop inloggegevens worden misbruikt, een fenomeen dat bekend staat als ‘credential stuffing’ en ‘credential reuse’.

De aanvallers maken gebruik van:

De kwetsbaarheid van SHA-256 hashes: waarom patchen niet genoeg is

Een van de meest verontrustende bevindingen is dat zelfs na het uitvoeren van een FortiOS-upgrade, zwakke SHA-256 wachtwoordhashes kunnen blijven bestaan. Dit gebeurt wanneer een beheerder na de upgrade niet handmatig inlogt, waardoor de migratie naar sterkere PBKDF2-hashing (Password-Based Key Derivation Function 2) niet wordt geactiveerd. Dit betekent dat je FortiGate-apparaat weliswaar de nieuwste firmwareversie draait, maar nog steeds kwetsbare inloggegevens kan bevatten die gemakkelijk te kraken zijn.

De omvang van de compromittering is immens, met rapporten die spreken over:

Wie zit er achter FortiBleed en hoe werkt de aanval?

De aanvallers achter FortiBleed zijn verre van amateuristisch. Ze maken gebruik van geavanceerde technieken en instrumenten:

Diverse dreigingsniveaus: van cybercriminelen tot staatsactoren

De pool van gecompromitteerde inloggegevens wordt door verschillende soorten dreigingsactoren gebruikt:

Wie wordt getroffen en wat zijn de risico’s?

De impact van FortiBleed is breed en diepgaand. De gecompromitteerde organisaties omvatten:

De FortiGate als ‘voordeur’: verdergaande compromittering

FortiGate firewalls, als perimeterapparaten, fungeren als de ‘voordeur’ tot interne netwerken, inclusief Active Directory. Een compromittering van deze apparaten geeft aanvallers controle over de netwerkgrens, wat hen in staat stelt om:

Fortinet’s standpunt versus de bevindingen van experts

Terwijl Fortinet de incidenten naar verluidt heeft afgedaan als een “opnieuw delen van gegevens van eerdere incidenten”, bevestigen onafhankelijke onderzoekers (waaronder Kevin Beaumont, SOCRadar, Hudson Rock en Arctic Wolf) de geldigheid en actualiteit van de inloggegevens. Bovendien wijst hun onderzoek uit dat de getroffen set apparaten aanzienlijk verschilt van eerdere lekken en dat veel systemen de meest recente firmware draaien. Dit onderstreept de noodzaak om de dreiging serieus te nemen, ongeacht de officiële communicatie.

Actie ondernemen: essentiële remediatiestappen

De ernst van FortiBleed vereist onmiddellijke en proactieve actie. Hier zijn de cruciale stappen die je organisatie moet nemen:

1. Onmiddellijke wachtwoordrotatie

Verander de inloggegevens (beheerders- en VPN-wachtwoorden) voor alle FortiGate-apparaten, ongeacht of er een bevestigde compromittering is. Doe dit onmiddellijk, niet tijdens de standaard onderhoudsperioden.

2. Correcte patching en afdwingen van sterkere hashing

Een FortiOS-upgrade alleen is onvoldoende. Beheerders moeten na de upgrade inloggen om de migratie naar PBKDF2-gebaseerde wachtwoordhashing te activeren. Zorg er ook voor dat specifieke wachtwoordbeleidsinstellingen zijn ingeschakeld:

3. Verbeterde toegangscontrole en MFA

4. Actieve dreigingsdetectie en loganalyse

Je moet proactief logboeken controleren op tekenen van ongeautoriseerde toegang, post-compromitteringsactiviteit, onbekende IP-adressen of nieuw gecreëerde backdoor-accounts. Malafide aanmeldingen kunnen er ogenschijnlijk succesvol uitzien. CISA adviseert om op 18 juni niet alleen firewall-logboeken, maar ook logboeken van domeincontrollers te controleren, aangezien dit een indicatie kan zijn van interne bewegingen na een succesvolle inbraak via de firewall.

5. Omarming van zero trust principes

FortiBleed versterkt de boodschap dat het vertrouwen in een ondoordringbare perimeter een gebrekkige beveiligingshouding is. Implementeer Zero Trust-principes, waaronder:

6. De overweging van wachtwoordloze authenticatie

Door wachtwoordloze authenticatie (bijv. op basis van certificaten of FIDO2) te implementeren, elimineer je inloggegevens als aanvalsoppervlak. Dit verwijdert het primaire wapen dat wordt gebruikt in campagnes zoals FortiBleed.

7. Risicobeoordeling van de toeleveringsketen

De brede impact van FortiBleed benadrukt de noodzaak om de blootstelling van derden in je gehele leveranciersnetwerk te beoordelen. Een zwakke schakel bij een partner kan jouw organisatie in gevaar brengen.

Beschikbare tools

SOCRadar biedt een gratis tool (socradar.io/free-tools/fortibleed) waarmee je kunt controleren of je apparaten voorkomen in de dataset met gecompromitteerde FortiBleed-gegevens. Dit is een nuttig startpunt voor je remediatietraject.

Conclusie

De FortiBleed-campagne is een ernstige herinnering aan de voortdurende en evoluerende aard van cyberdreigingen. Hoewel het geen ‘zero-day’ betreft, toont de geavanceerde en grootschalige aanpak van de daders de kwetsbaarheid van zelfs goed beheerde infrastructuren aan wanneer elementaire cyberhygiëne en credential management tekortschieten. De impact is wereldwijd en treft kritieke sectoren.

Het is essentieel dat je organisatie deze dreiging serieus neemt en onmiddellijk de aanbevolen stappen voor wachtwoordrotatie, correcte patching, verbeterde toegangscontrole en actieve dreigingsdetectie uitvoert. Door een proactieve houding aan te nemen en je beveiligingsstrategieën aan te passen aan de lessen van FortiBleed, kun je je veerkracht tegen toekomstige aanvallen aanzienlijk vergroten.