Hàng chục nghìn thiết bị Fortinet của các tập đoàn lớn bị tấn công thông qua lộ lọt thông tin đăng nhập

Các chuyên gia từ hai công ty an ninh mạng Hudson Rock và SOCRadar vừa đưa ra cảnh báo về một chiến dịch tấn công quy mô lớn nhắm vào hàng chục nghìn thiết bị tường lửa và VPN của Fortinet trên toàn thế giới. Chiến dịch này, được đặt tên là FortiBleed, hiện vẫn đang diễn ra và gây ảnh hưởng đến nhiều tập đoàn đa quốc gia.

Điểm đáng chú ý là chiến dịch này không dựa trên việc khai thác các lỗ hổng zero-day hay exploit phức tạp. Thay vào đó, kẻ tấn công sử dụng các công cụ tự động để quét internet, tìm kiếm các thiết bị Fortinet đang mở cổng kết nối, sau đó thực hiện tấn công bằng cách sử dụng danh sách thông tin đăng nhập (username/password) đã bị lộ từ trước.

Theo báo cáo, sau khi chiếm quyền điều khiển, kẻ tấn công biến thiết bị thành một ‘trạm nghe lén’ để giám sát lưu lượng mạng và thu thập thêm các thông tin đăng nhập mới. Những dữ liệu này tiếp tục được đưa vào hệ thống quét tự động để mở rộng quy mô tấn công, tạo thành một vòng lặp nguy hiểm.

Phía Fortinet đã lên tiếng xác nhận về chiến dịch thu thập thông tin đăng nhập từ bên thứ ba này. Hãng khẳng định rằng các dữ liệu bị khai thác chủ yếu đến từ các sự cố rò rỉ cũ hoặc các cuộc tấn công brute-force, chứ không liên quan đến bất kỳ lỗ hổng bảo mật mới nào trong hệ thống của họ.

Các con số thống kê cho thấy quy mô ảnh hưởng rất lớn: Hudson Rock ghi nhận hơn 73.000 URL Fortinet bị xâm nhập, trong khi SOCRadar ước tính con số này là hơn 30.000 thiết bị. Danh sách các nạn nhân bao gồm nhiều tên tuổi lớn như Accenture, Comcast, Foxconn, Lenovo, Oracle, Samsung, Siemens và PwC. Các quốc gia chịu ảnh hưởng nặng nề nhất bao gồm Ấn Độ, Mỹ, Đài Loan và Mexico, với các lĩnh vực trọng yếu như dịch vụ CNTT, viễn thông và cơ quan chính phủ.

Các nhà nghiên cứu bảo mật cho rằng nhóm đứng sau chiến dịch này có khả năng là những đối tượng nói tiếng Nga. Đây là lời nhắc nhở đanh thép cho các doanh nghiệp về việc quản lý chặt chẽ thông tin đăng nhập, thay đổi mật khẩu định kỳ và không sử dụng lại mật khẩu đã từng bị lộ trên các hệ thống quan trọng.

Nguồn tham khảo: TechCrunch