FortiGate: FBI ostrzega przed obcymi kontami admina

Firma z zaporą FortiGate dostępną z internetu powinna dziś sprawdzić konta administratora, bo trwająca kampania FortiBleed zostawia na urządzeniach obce konta i odcina prawowitych administratorów. Ostrzegły przed tym 6 października 2026 roku FBI i amerykańska Secret Service we wspólnym komunikacie JCSA-20261006-01. Agencje piszą wprost, że naprawa może wymagać więcej niż aktualizacji oprogramowania i zmiany haseł. Firma SOCRadar, na którą powołuje się FBI, potwierdziła przejęte dane logowania do ponad 86 644 urządzeń w 194 krajach.

Co to jest FortiBleed i czy to nowa luka w FortiGate

FortiBleed to kampania przejmowania haseł do zapór FortiGate i bram SSL VPN firmy Fortinet, które są wystawione do internetu. Nie ma w niej nowej podatności z numerem CVE. Fortinet napisał to 19 czerwca w analizie zespołu bezpieczeństwa produktów (PSIRT). Napastnicy wykorzystują hasła z wcześniejszych incydentów, a do tego zgadują je na urządzeniach ze słabymi hasłami i bez drugiego składnika logowania.

Sprawa wyszła na jaw w czerwcu, bo operatorzy kampanii zostawili otwarty własny serwer. Według komunikatu FBI można było na nim zobaczyć cały proces. Napastnicy skanowali internet w poszukiwaniu portali SSL VPN. Próbowali logowania hasłami z dawnych wycieków dotyczących Fortinetu i z logów złośliwego oprogramowania kradnącego hasła (infostealerów). Stosowali też metodę zgadywania kilku popularnych haseł na wielu kontach naraz (password spraying).

Z urządzeń, do których weszli, wyciągali bazy użytkowników i zapisane skróty haseł. Łamali je potem offline na wynajętym klastrze kart graficznych, programami Hashcat i Hashtopolis. Słabym punktem był stary sposób przechowywania haseł administratorów, czyli skrót SHA-256. Dlatego hasło, które nie wyciekło nigdzie indziej, też mogło zostać złamane, jeśli napastnik zdobył wcześniej konfigurację urządzenia.

Na zdjęciu wyróżniającym: zapora Fortinet FortiGate 6501F. Fot. Premeditated, Wikimedia Commons, licencja CC BY-SA 4.0.

Jak napastnicy odcinają administratorów od FortiGate

Po wejściu napastnicy zakładają na zaporze nowe konta administratora, żeby zachować dostęp. Według FBI w części przypadków usuwają albo zmieniają hasła dotychczasowych kont. Administrator firmy próbuje się wtedy zalogować do własnego urządzenia i nie może. Agencje opisują to jako celowe odebranie dostępu.

Zapora jest dla napastników tylko furtką. Z ważnym kontem VPN rozpoznają domenę Active Directory, szukają kont z wysokimi uprawnieniami i zgadują kolejne hasła wewnątrz sieci. Gotowy dostęp sprzedają dalej. FBI, powołując się na doniesienia, wymienia wśród kupujących grupy ransomware INC/Lynx i Payload. Ransomware szyfruje pliki firmy i żąda okupu, więc przejęta zapora może być pierwszym etapem znacznie droższego ataku. Jak taki atak przebiega, opisujemy w tekście o ransomware i ochronie przed nim.

Skanowanie trwa. FBI podaje w komunikacie adresy IP, z których napastnicy próbowali logowania albo zalogowali się z sukcesem, z datami od 18 czerwca do 23 lipca 2026 roku. Zaznacza przy tym, że adresy w chmurze bywają później przydzielane komuś innemu. Listę warto więc wykorzystać przede wszystkim do przeszukania dzienników, a z blokowaniem adresów uważać.

Pierwsza Misja AI · Kodożercy

Pierwszy raz z AI? Zaczynasz od zera.

Pierwsza Misja AI to kurs dla osób bez technicznego przygotowania. Nie musisz pisać kodu ani znać żargonu. Dowiesz się, jak działa AI, jak promptować i jak korzystać z niej w pracy.

Wejdź na pokład →

Konta, które napastnicy zakładają na FortiGate: lista FBI

FBI zaleca przejrzeć wszystkie konta na urządzeniach Fortinet i potwierdzić, że każde jest znane. Tabela 2 komunikatu zawiera 19 nazw kont, które zespoły reagujące na incydenty znalazły na urządzeniach ofiar. Przepisujemy je dosłownie, z zachowaniem wielkości liter:

Na liście jest też admin, czyli domyślna nazwa wbudowanego konta FortiGate. Jego obecność niczego nie przesądza, choć ono też mogło zostać przejęte, więc nie usuwaj go tylko dlatego, że jest w tabeli. Ustal, czy należy do firmy, sprawdź jego logowania i zmień hasło. Wiele pozostałych nazw brzmi jak konta serwisowe albo administracyjne. Fortinet w czerwcowej analizie podawał jeszcze inne przykłady podejrzanych kont: forticloud, fortiuser, fortinet-support i fortinet-tech-support. Żadna z tych list nie jest zamknięta, więc liczy się każde konto, którego nikt w firmie nie zakładał.

Co zrobić na FortiGate: kroki z komunikatu FBI

FBI nazywa wprost, czego nie wystarczy zrobić: standardowa aktualizacja i reset haseł mogą nie usunąć napastnika. Kroki z sekcji zaleceń komunikatu, w kolejności, w jakiej ma sens je wykonać:

1. Zabierz panel z internetu. Minimum to dostęp tylko z zaufanych adresów (trusted hosts). Lepsza jest reguła local-in policy, a najlepiej wyłączyć administrację od strony internetu.
2. Zamknij wszystkie aktywne sesje administratorów i użytkowników VPN, a potem zmień hasła wszystkich kont VPN i administracyjnych.
3. Włącz uwierzytelnianie wieloskładnikowe (MFA) odporne na wyłudzenie na kontach zdalnego dostępu i administracyjnych, np. sprzętowy klucz bezpieczeństwa.
4. Porównaj konfigurację z kopią sprzed incydentu. Szukaj nieznanych kont, użytkowników VPN i niezleconych zmian.
5. Przejrzyj dzienniki zapory, VPN, uwierzytelniania i kontrolera domeny. Pomoże lista adresów IP z tabeli 1 komunikatu.
6. Sprawdź klucze REST API, które pozwalają zdalnie zmieniać konfigurację. Nieznane usuń, prawidłowe wygeneruj na nowo.
7. Przejdź na PBKDF2 jako sposób zapisu haseł administratorów i usuń stare skróty. Szczegóły niżej.

Jeśli zapora jest już przejęta, FBI zaleca odizolować ją, zebrać ślady, zanim zacznie się sprzątanie, i zgłosić incydent. W Polsce zgłoszenia przyjmuje CERT Polska. Firmy objęte przepisami o krajowym systemie cyberbezpieczeństwa mają tu własne obowiązki, opisane w tekście o NIS2 i KSC dla firm IT.

PBKDF2 w FortiOS: dlaczego sama aktualizacja nie usuwa starych skrótów

PBKDF2 to algorytm zapisu haseł, który celowo zwiększa koszt obliczeniowy każdej próby zgadywania. Dzięki temu utrudnia masowe łamanie haseł na kartach graficznych w porównaniu z SHA-256. Według instrukcji technicznej Fortinetu FortiOS zapisuje hasła administratorów w PBKDF2 od wersji 7.2.11, 7.4.8 i 7.6.1. Wcześniejsze wydania używają SHA-256.

Sama aktualizacja nie przepisuje jednak haseł. Hasło konkretnego administratora przechodzi na PBKDF2 dopiero wtedy, gdy ten administrator zaloguje się na nowej wersji. Konta, na które nikt się nie loguje, zostają ze starym skrótem i trzeba im zmienić hasło ręcznie. Do tego FortiOS dla zgodności wstecznej trzyma stary skrót SHA-256 w ukrytym ustawieniu old-password, widocznym w kopii konfiguracji.

Stare skróty usuwa opcja login-lockout-upon-weaker-encryption w sekcji config system password-policy. W gałęziach 7.2 i 7.4 ten sam przełącznik nazywa się login-lockout-upon-downgrade. Fortinet ostrzega, że po jej włączeniu powrót do starszego oprogramowania bez obsługi PBKDF2 zablokuje logowanie administratorów. Firma zaleca też aktualizację do najnowszych wydań gałęzi 7.4, 7.6 albo 8.0.

FortiGate w Polsce: co zalecał CSIRT NASK

Ani FBI, ani Fortinet nie podają liczby przejętych urządzeń w Polsce i nie wymieniają polskich ofiar. CSIRT NASK zareagował na czerwcową listę loginów i haseł od razu. 19 czerwca wydał komunikat 102/2026 z rekomendacjami dla wszystkich podmiotów, które korzystają z tego sprzętu.

Lista NASK pokrywa się z zaleceniami FBI i dokłada kilka rzeczy praktycznych. Zespół radził wyłączyć z internetu nie tylko panel WWW, ale też SSH. Zalecał prowadzić repozytorium konfiguracji z historią zmian i wysyłać dzienniki na zewnętrzne urządzenie, np. serwer Syslog albo FortiAnalyzer. Rekomendował też blokować ruch wychodzący typowy dla wynoszenia plików (SSH, FTP, TFTP). Komunikat wygasł 18 sierpnia, ale październikowe ostrzeżenie FBI pokazuje, że problem nie zniknął.

Zasada, żeby nie wystawiać panelu administracyjnego do internetu, wraca w każdej takiej sprawie. Opisywaliśmy ją przy luce w panelu WWW routerów MikroTik. Ten sam producent miał niedawno inną, niezwiązaną sprawę: lukę w FortiMail bez poprawki.

{ dla firm }

Co możemy zrobić dla Twojej firmy?

Budujemy strony, sklepy i aplikacje, łączymy systemy z KSeF i księgowością, wdrażamy automatyzacje i agentów AI, a na koniec dbamy o widoczność w Google. Zaczynamy od rozmowy o tym, co dziś zabiera Twojemu zespołowi najwięcej czasu.

strony i sklepyaplikacjeKSeF i integracjeautomatyzacjeagenci AISEO

Zobacz, co robimy dla firm → Software house, który prowadzi ten blog

Podsumowanie

FBI i Secret Service ostrzegły 6 października, że kampania FortiBleed wciąż skanuje zapory FortiGate i bramy SSL VPN wystawione do internetu. Napastnicy nie korzystają z nowej luki, tylko używają haseł z dawnych wycieków, zgadują słabe hasła i łamią stare skróty SHA-256 wyciągnięte z urządzeń. Według SOCRadar przejęte dane logowania dotyczą ponad 86 644 urządzeń w 194 krajach. Po wejściu zakładają własne konta administratora, czasem usuwają prawdziwe, a dostęp sprzedają m.in. grupom ransomware. Administrator FortiGate powinien dziś porównać konta z listą 19 nazw z komunikatu, zamknąć sesje, zmienić hasła i włączyć MFA odporne na wyłudzenie. Trzeba też zabrać panel z internetu, przejrzeć klucze REST API i dzienniki oraz wymusić PBKDF2 z usunięciem starych skrótów.

Mateusz Wojdalski

Specjalista SEO i content marketingu w Devstock. Zajmuję się strategią treści, automatyzacją procesów marketingowych i wdrożeniami AI w codziennej pracy. Badam nowe narzędzia, adaptuję je do realnych zadań i piszę o tym, co faktycznie działa.