מי שמנהל firewall של Fortinet יכול להוריד ממנו קובץ הגדרות, גיבוי שאפשר לשחזר ממנו את המכשיר. בתוך הקובץ יושבות מוצפנות גם הסיסמאות שה-firewall עצמו מחזיק, בין השאר זו שבה הוא מתחבר לשרת המשתמשים של הארגון. הבעיה היא שבמכשיר שלא הוגדר אחרת, המפתח שמצפין אותן זהה בכל מכשיר בעולם. Group-IB ו-NyxLab פרסמו ב-21 באוקטובר דוח משותף על קבוצה שבנתה על זה שיטת עבודה שלמה, וספרו אצלה יותר מ-70 אלף פרטי אימות של ארגונים.

מה קרה

הקבוצה, שהחוקרים מזהים לפי הכינוי k0t, לא חיפשה ארגון מסוים. היא השתמשה במנועי חיפוש שמאנדקסים מכשירים המחוברים לאינטרנט, FOFA ו-ZoomEye, כדי לבנות רשימות של firewall-ים וקופסאות VPN חשופות, ואז עברה עליהן אחת אחת. על FortiGate זה היה בעיקר ניחוש סיסמאות דרך ממשק ה-API. ב-FortiWeb הם ניצלו CVE-2025-64446, חולשה שמאפשרת לבקש מהשרת קבצים מחוץ לתיקייה שהוא אמור להגיש, וליצור דרכה משתמש מנהל חדש. ב-GlobalProtect של Palo Alto הם זייפו cookie שמשכנע את השרת שהמשתמש כבר עבר אימות (CVE-2026-0257).

משם הגיע השלב שהפך את הקמפיין לרווחי. הקבוצה הורידה את קובץ ההגדרות, פענחה אותו בעזרת אותו מפתח קבוע (CVE-2019-6693, חולשה שפורסמה כבר ב-2019), וקיבלה את פרטי האימות שהמכשיר מחזיק מול שרת המשתמשים. עם אלה ביד הם מיפו את הרשת הפנימית, הסלימו הרשאות בעזרת שתי חולשות ותיקות ב-Active Directory, והתקינו כלי שליטה מרחוק מהסוג שצוותי IT משתמשים בו ממילא.

מה שהקבוצה הזאת לא עשתה זה להצפין קבצים ולדרוש כסף. היא מכרה את הדרך פנימה למי שכן עושה את זה, ולתפקיד הזה קוראים בתעשייה initial access broker. חלק מהקורבנות הופיעו אחר כך באתרי ההדלפות של קבוצות הכופרה Qilin ו-The Gentlemen, אבל החוקרים מדגישים שאופי הקשר בין הצדדים לא אומת. פירוט לפי מדינה אין בדוח, ואין דרך לדעת כמה ארגונים ישראליים ברשימה. מה שכן, המזרח התיכון וצפון אפריקה מהווים כ-12.7 אחוז מהדומיינים שזוהו.

למה זה חשוב לכם

הקופסה שמדובר בה היא בדיוק זו שדרכה אתם מתחברים לרשת של העבודה מהבית. הסיסמה שאתם מקלידים ב-VPN של המשרד היא אחת מאלה שיושבות בקובץ ההגדרות שלה. כשהיא דולפת, התוקף לא צריך לשבור שום דבר: הוא נכנס בתור מישהו, לפעמים בתור עובד אמיתי, ומערכות ההגנה רואות התחברות שנראית רגילה לגמרי.

כאן נכנס לתמונה הדבר שכן בשליטה שלכם. אם הסיסמה של חשבון העבודה היא גם הסיסמה של אתר הקניות או של המייל הפרטי, דליפה במקום אחד הופכת למפתח במקום השני. רוב ההשתלטויות בדוח התחילו בניחוש של שילובי שם וסיסמה נפוצים, לא בחולשה מתוחכמת.

מה עושים?

תנו לחשבון העבודה סיסמה שלא חוזרת באף מקום אחר, ובמיוחד לא באתרי קניות או במייל הפרטי. אם קשה לזכור, מנהל סיסמאות עושה את זה בשבילכם.

אם הארגון שלכם מאפשר אימות דו-שלבי על ה-VPN או על המייל, הפעילו אותו היום ולא בשבוע הבא. סיסמה שדלפה לא מספיקה לתוקף כשיש שלב שני.

בקשה לאפס סיסמת עבודה שמגיעה במייל או בהודעה היא דגל אדום. אל תלחצו על הקישור, היכנסו לכתובת שאתם מכירים או הרימו טלפון ל-IT.

ואם אתם אלה שמנהלים מכשיר כזה בעסק קטן: אל תשאירו את ממשק הניהול פתוח לאינטרנט, והחליפו כל סיסמה שמופיעה בקובץ הגדרות שאולי נחשף.

הארגונים ברשימה הזאת לא נפרצו דרך משהו שאי אפשר היה לצפות. הם נפרצו דרך קופסה שאף אחד לא בדק מספיק טוב אם היא פתוחה לאינטרנט.