MOSKAU / LONDON (IT BOLTWISE) – Eine groß angelegte Credential-Harvesting-Kampagne namens FortiBleed kompromittiert offenbar über 430.000 FortiGate-Firewalls und identifiziert insgesamt mehr als 110 Millionen Zugangsdaten. Die Angreifer nutzen in FortiOS integrierte Diagnosebefehle, um Authentifizierungsverkehr passiv mitzuschneiden, anschließend zu knacken und für weitere Zugriffe zu verwenden. Besonders auffällig ist der starke Fokus auf kleine und mittlere Unternehmen sowie eine mehrstufige Pipeline aus Scanning, Ausnutzung und automatisierter Verwertung. Sicherheitsverantwortliche sollten in den nächsten Tagen Protokollierung, Patch-Stand und Angriffserkennung auf FortiGate-spezifische Muster priorisieren.
FortiBleed zeigt einmal mehr, wie stark sich Credential-Harvesting-Kampagnen von „reinem Ausnutzen“ hin zu „laufenden Zugriffsketten“ entwickeln. Laut Berichten wurden über 430.000 FortiGate-Firewalls weltweit angegriffen, wobei die Operation seit Februar 2026 aktiv sein soll. Am Ende der Attack-Logik steht ein Volumen, das für Security-Teams schwer zu verarbeiten ist: Die Rede ist von mehr als 110 Millionen identifizierten Credentials. Dazu zählen unter anderem 14,8 Millionen RADIUS-Daten sowie große Mengen an NTLM- und Kerberos-Hashes und etliche Auth-Token aus Datenbankdiensten. Der zentrale Punkt für Unternehmen: Mit gestohlenen Anmeldedaten lässt sich nicht nur „Zugang zum System“ herstellen, sondern später auch gezielt lateral in Verzeichnisse und weitere Perimeter eindringen.
Technisch interessant ist, dass die Angreifer den Ertrag direkt an der kompromittierten Appliance einsammeln. Kernkomponente ist ein in Golang geschriebenes Tool namens FortigateSniffer. Es nutzt eine im FortiOS vorhandene Diagnosefunktion, konkret den Befehl -diagnose sniffer packet, um Authentifizierungsverkehr passiv zu erfassen. Damit können die Angreifer nicht nur Klartext-Credentials, sondern auch Passwort-Hashes aus Traffic gewinnen, der über die infizierten Geräte läuft. Das Sniffer-Modul ist zudem auf eine breite Protokollabdeckung ausgelegt, inklusive TLS-„Randfällen“ wie RADIUS sowie klassischer Netzprotokolle. Für die Verteidigung bedeutet das: Selbst wenn „Patchen“ einmal gelungen ist, kann eine bereits kompromittierte Appliance noch lange Zeit als Sensor für Credentials fungieren.
Die Kampagne folgt dabei einem klaren industriellen Muster: Reconnaissance mit Werkzeugen wie Masscan und Shodan, danach gezieltes Filtern und Gruppieren betroffener FortiGate-Hosts. Berichten zufolge kommen dafür Utilities wie FortiProbe-fast und GeoSplit zum Einsatz, um Systeme nach Standort zu bündeln und weitere Schritte effizient zu steuern. Anschließend wird ein Credential-Check (genannt „forticheck“) verwendet, der speziell die administrativen Schnittstellen und SSL-VPN-Portale adressiert. Danach etabliert das Team über SSH offenbar administrative Zugänge mithilfe von Credential-Stuffing und Wörterbuchangriffen, bevor der FortigateSniffer ausgerollt wird. Die Ausbeute wird anschließend über Hashmat und Hashtopolis in verwertbare Passwörter überführt und durch einen Telegram-Bot orchestriert. So entsteht eine Pipeline aus Messung, Validierung und Ausnutzung statt eines einmaligen „Einstiegs-Bugs“.
Für den Markt ist besonders relevant, dass diese Art von Angriff nicht auf ein einzelnes Produkt beschränkt bleiben muss. SpyCloud stellt heraus, dass das dahinterliegende Akteurmodell offenbar eine Standard-Kette verfolgt („spray-and-pray“) mit massenhaftem Scannen und Login-Brute-Forcing über unterschiedliche Internet-Appliances. Als Konsequenz sollten Unternehmen ihren Blick nicht nur auf Fortinet richten, sondern das eigene „Extern-angreifbare“ Geräteinventar ganzheitlich betrachten. Der Kontext wird noch deutlicher, wenn man sich ähnliche Abfang- und Credential-Harvesting-Mechaniken vor Augen führt, die in der Vergangenheit schon bei VPN- und Remote-Access-Ökosystemen zu massiven Incidents geführt haben. Als Benchmark für die Abwehrfunktionen lohnt zudem ein Vergleich mit etablierten Security-Plattformen wie Palo Alto Networks (Cortex XDR / Threat Prevention) oder Microsoft Defender for Endpoint: Sie können zwar scannen und korrelieren, aber die Qualität der Erkennung hängt stark von Telemetrie, Logging-Granularität und schneller Reaktion ab.
Auch die Zielauswahl wirkt strategisch, nicht zufällig. Laut den Berichten liegt ein schwerer Fokus auf Small and Medium Businesses mit weniger als 200 Mitarbeitenden, verteilt über mehrere Branchen und Regionen – mit besonderer Betonung auf die USA und Indien. Das ist marktlogisch plausibel: Kleinere Organisationen haben häufig weniger ausgereifte Monitoring-Ketten, geringere Redundanzen und kürzere Reaktionsfenster. Zusätzlich wird die Ausnutzung durch Ranking priorisiert, also nach wirtschaftlichem Wert der Ziele sortiert, bevor Ressourcen in die Exploitation fließen. Technisch wird das Ganze durch Geofencing-Filter und Zeitschlitze abgesichert: Aktivität sei zwischen 7:00 und 18:00 Moskauer Zeit begrenzt, und das Sniffing soll sich auf bestimmte IP-Ranges beschränken. In der Praxis heißt das: Musteranalysen, die nur „am Tag“ oder nur „nach dem Patchdatum“ schauen, können trotz hoher Relevanz Lücken lassen.
Für Regulatorik und Datenschutz ist der Schaden häufig indirekt, aber real. Credential-Harvesting bedeutet in der Regel: Zugriff auf interne Verzeichnisse, Session-Cookies, Shares und potenziell personenbezogene Daten. Spätestens wenn Exfiltration aus Netzwerkfreigaben erfolgt und Authentifizierungssitzungen für persistente Zugriffe genutzt werden, geraten Unternehmen in den Bereich Meldepflichten und Haftungsfragen – je nach Rechtsraum und Datenkategorien. Die gute Nachricht: Viele Gegenmaßnahmen sind inzwischen „auditfähig“ und lassen sich in Sicherheitsprozesse integrieren. Dazu zählen harte MFA-Anforderungen für Fernzugriff, die konsequente Deaktivierung unsicherer Auth-Flows, die Validierung von FortiGate-Integritätszuständen und eine zentralisierte Log-Sammlung, die auch Diagnose-Kommandos sowie ungewöhnliche Sniffer-ähnliche Artefakte erkennt. Entscheidend ist, dass man nicht nur die „Eingangstür“ schließt, sondern die Appliance als potenzielles Credential-Sammelwerk behandelt.
Der Ausblick zeigt, wie schnell solche Kampagnen eskalieren können, sobald die Infrastruktur einmal steht. Die Berichte nennen „Pipeline“-Zyklen von 300 Minuten mit Status-Updates im Minutentakt und Validierung über Tausende Threads. In frühen Zyklen soll die Erfolgsquote bei der Credential-Validierung nahe 90% gelegen haben, was auf gut abgestimmte Listen und wiederverwendbare Konten hindeutet. In Teilen tauchten zudem identische Username-Passwort-Paare über viele IPs hinweg auf, was auf das Platzieren von Backdoor-ähnlichen Zugangsdaten schließen lässt. Gleichzeitig wird aus der Szene von einem Angebot „für den Zugriff auf tausende Fortinet-Geräte“ zu Preisen um 30.000 bis 60.000 US-Dollar berichtet. Ob das direkt mit FortiBleed zusammenhängt, bleibt unklar – der wirtschaftliche Anreiz ist jedoch ein eindeutiger Hinweis auf Wiederverwendbarkeit in einem größeren Untergrund-Ökosystem. Für Security-Teams heißt das: Annahmen über „einmaligen Vorfall“ sind gefährlich; besser ist die Annahme, dass Zugangsketten weiterlaufen, bis Telemetrie, Identitäten und Session-Historien bereinigt sind.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- NIEDLICHER BEGLEITER: Eilik ist der ideale Begleiter für Kinder und Erwachsene, die Haustiere, Spiele und intelligente Roboter lieben. Mit vielen Emotionen, Bewegungen und interaktiven Funktionen.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "FortiBleed: 110 Millionen Credentials über kompromittierte FortiGate Firewalls" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "FortiBleed: 110 Millionen Credentials über kompromittierte FortiGate Firewalls" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »FortiBleed: 110 Millionen Credentials über kompromittierte FortiGate Firewalls« bei Google Deutschland suchen, bei Bing oder Google News!