חלק מהארגונים שנפגעו גילו בחומת האש שלהם חשבונות מנהל שאף אחד אצלם לא יצר, עם שמות שנראים תמימים כמו fortiAdmin או forticloud-sync. אחרים גילו משהו גרוע יותר, שהחשבון שלהם עצמם נמחק והם נעולים מחוץ להתקן שאמור להגן על הרשת שלהם. ביום שלישי הזהירו ה-FBI והשירות הסודי האמריקאי שהקמפיין שעושה את זה, FortiBleed, עדיין פעיל.

מה קרה

הדבר המעניין ב-FortiBleed הוא דווקא מה שאין בו. אין פה חולשה בתוכנה, ולכן אין גם עדכון שסוגר אותה. התוקפים לקחו צמדים של שם משתמש וסיסמה משתי ערימות קיימות, דליפות ישנות של אתרים אחרים ולוגים של נוזקות גניבת מידע ששולפות סיסמאות שמורות מהדפדפן, והריצו אותם אוטומטית מול דפי ההתחברות של חומות אש ושערי VPN של Fortinet שחשופים לאינטרנט. בכל מקום שבו מישהו בארגון השתמש באותה סיסמה בשני מקומות, זה עבד. לשיטה הזאת קוראים credential stuffing.

מכאן זה נהפך למכונה. על ההתקנים שנפרצו הותקן כלי בשם FortigateSniffer, כתוב ב-Go, שיושב בשקט וקורא את תעבורת האימות שעוברת דרך ההתקן ב-24 פרוטוקולים שונים, וכך מחלץ פרטי אימות נוספים וגם hash-ים של סיסמאות. ה-hash הוא טביעת אצבע חישובית של הסיסמה, שאמור להיות בלתי אפשרי להפוך בחזרה. אז כשההתקן שומר אותה בשיטה ישנה שמבוססת SHA-256, חוות שרתים עם כרטיסים גרפיים מנחשת סיסמאות מול הטביעה הזאת במהירות עצומה, וזה מה שהתוקפים עשו. עם הסיסמאות שנפענחו הם המשיכו פנימה לרשת, מיפו את ה-Active Directory, שלפו מידע מתיקיות שיתוף, ושמרו על הגישה דרך עוגיות התחברות וחשבונות מנהל חדשים שיצרו בהתקן.

את הקמפיין תיעדו לראשונה ביוני 2026 חוקרי SOCRadar ו-Hudson Rock, אחרי שמצאו שרת של התוקפים שנחשף בטעות. המספר שמצוטט מאז, 86,644 צמדי פרטי אימות תקפים להתקנים ב-194 מדינות, הוא הספירה שלהם לתאריך 19 ביוני ולא נתון רשמי של Fortinet. החוקרים מצביעים גם על חפיפות בין המפעילים לבין קבוצות הכופרה INC ו-Lynx, כלומר שהגישה כנראה נמכרת הלאה למי שמצפין רשתות. Fortinet מצידה אומרת שמדובר בסיסמאות שחזרו על עצמן ובהתקנים שאין בהם אימות דו-שלבי.

למה זה חשוב לכם

קל לקרוא את זה כסיפור של מנהלי רשת, אבל השרשרת מתחילה דווקא אצל המשתמש הפרטי. הסיסמה שפתחה את חומת האש של ארגון שלם הגיעה בחלק מהמקרים מאתר קניות שדלף, או ממחשב ביתי נגוע שבו הסיסמה של ה-VPN בעבודה הייתה שמורה בדפדפן. ואם ארגון שמחזיק מידע עליכם, קופת חולים, מקום עבודה או ספק שירות, נכנס בדרך הזאת, מה שיוצא בצד השני הוא תיקיות השיתוף שלו, כלומר גם הקבצים שאתם מופיעים בהם.

מה עושים?

סיסמה שונה לכל חשבון, בלי יוצאי דופן, ובמיוחד לא אותה סיסמה בעבודה ובאתר קניות. מנהל סיסמאות הוא מה שהופך את זה לאפשרי בפועל.

הפעילו אימות דו-שלבי בכל מקום שמציע אותו, והעדיפו אפליקציית אימות או passkey על קוד שמגיע ב-SMS.

בדקו ב-Have I Been Pwned אם כתובת המייל שלכם מופיעה בדליפות. אם כן, החליפו את הסיסמאות באותם שירותים, וגם בכל מקום אחר שבו השתמשתם באותה סיסמה.

ואם אתם מי שמתחזק התקן Fortinet בעבודה, CISA ממליצה לאפס את הסיסמאות של ה-VPN ושל חשבונות הניהול, לנתק את כל ה-session-ים הפעילים, לעבור לשמירת סיסמאות מנהל בשיטת PBKDF2, לעבור על הלוגים, ולחפש חשבונות מנהל שאף אחד לא זוכר שיצר.

אין כאן חולשה שצריך לתקן. יש סיסמה שחזרה על עצמה, ואחריה עוד 86 אלף.