Взлом Fortinet стал угрозой для британских ведомств

Британские ведомства столкнулись не с единичной утечкой, а с последствиями крупной кампании против Fortinet-устройств. Через старые логины и пароли злоумышленники могли получать доступ к сетям, а часть данных уже выставлялась на продажу в даркнете.


История с «российскими хакерами», укравшими данные сотрудников британского правительства, выглядит громко, но её главное содержание не в национальной принадлежности атакующих. Важнее другое: взлом показал, насколько опасными остаются старые пароли, открытые VPN-интерфейсы и сетевые устройства, которые годами стоят на периметре организаций как будто сами по себе.

Британские The Telegraph и The Times пишут, что под удар попали учётные данные сотрудников Министерства иностранных дел Великобритании и местных органов власти. В публикациях упоминаются системы, связанные с Foreign Office, а также муниципальные структуры. Часть украденных логинов и паролей предлагалась на подпольных площадках за сумму порядка 40 тысяч фунтов стерлингов.

Технически эта история связана с кампанией, которую исследователи называют FortiBleed. Речь идёт о Fortinet FortiGate — межсетевых экранах и VPN-шлюзах, через которые компании, ведомства и больницы защищают доступ к внутренним сетям. По данным Recorded Future, в массиве FortiBleed фигурировали почти 74 тысячи FortiGate-адресов в 194 странах. В британских публикациях масштаб округляют до более чем 80 тысяч устройств и аккаунтов.

Сам механизм атаки не похож на киношный «взлом за минуту». Исследователи описывают более приземлённую схему: злоумышленники использовали ранее украденные или повторно применяемые пароли, проводили перебор и credential stuffing против открытых в интернете FortiGate и VPN-порталов. Если логин срабатывал, устройство превращалось в точку входа: через него можно было проверять настройки, создавать новые учётные записи, искать следы внутренней сети и пытаться двигаться дальше.

Британский Национальный центр кибербезопасности уже выпустил предупреждение для организаций, использующих Fortinet. Ведомство призвало проверить, не попали ли домены и устройства в утечки, искать признаки несанкционированных аккаунтов, необычную активность в логах, изолировать подозрительные устройства и не ограничиваться простой сменой пароля, если есть признаки закрепления атакующих в системе.

При этом прямое участие российского государства в этой истории не доказано. Корректнее говорить о русскоязычной или российско-связанной группе, на которую указывают исследователи. Это важная разница: в киберинцидентах атрибуция почти всегда сложнее заголовка. Но для британских ведомств практический риск от этого меньше не становится. Если рабочие логины чиновников, подрядчиков или IT-администраторов оказываются в продаже, атака перестаёт быть абстрактной.

Особенно опасен сам тип цели. Межсетевой экран или VPN-шлюз — это не обычный рабочий компьютер. Это дверь в организацию. Если такая дверь открыта старым паролем, снаружи может казаться, что периметр защищён, а внутри уже есть чужой доступ. Поэтому FortiBleed важен не только для Великобритании: он показывает слабое место всей современной инфраструктуры, где критически важные устройства часто медленнее обновляют, хуже инвентаризируют и дольше оставляют с устаревшими учётными данными.

ИЗНАНКА

Главный урок FortiBleed не в том, что хакеры снова что-то украли и выставили на продажу. Гораздо хуже другое: защитная инфраструктура сама становится входом, если её держат на старых паролях, открытых интерфейсах и привычке «поставили — забыли». В такой ситуации граница между защищённой сетью и даркнетом иногда оказывается тоньше, чем кажется ведомствам.

Фото: редакция ИЗНАНКИ.