FortiBleed: Kampanye Massal Pencurian Kredensial 73.932 Perangkat FortiGate di 194 Negara
Daftar Isi 20 bagian
“FortiBleed bukan sekadar satu kerentanan — ini adalah kegagalan keamanan berlapis yang mengekspos fondasi pertahanan jaringan ribuan organisasi di seluruh dunia.”
Ringkasan Eksekutif
Pada pertengahan 2026, kampanye massal yang dijuluki FortiBleed mengguncang dunia keamanan siber. Targetnya adalah perangkat Fortinet FortiGate — firewall yang menjadi tulang punggung pertahanan jaringan bagi pemerintah, operator telekomunikasi, infrastruktur kritis, institusi keuangan, dan rumah sakit di seluruh dunia.
Berdasarkan analisis dari Recorded Future, Cloud Security Alliance, dan Orca Security, kampanye ini berhasil mengekspos kredensial dari lebih dari 73.932 perangkat FortiGate yang tersebar di 194 negara, dengan lebih dari 110 juta kredensial berpotensi terdampak. Yang membuat serangan ini sangat serius: ia bukan hasil dari satu kerentanan tunggal, melainkan eksploitasi kelemahan berlapis dalam praktik konfigurasi, penyimpanan password, dan kebersihan kredensial di ribuan organisasi.
Apa Itu FortiBleed?
FortiBleed adalah istilah yang digunakan untuk menggambarkan kampanye terkoordinasi di mana threat actor secara sistematis:
- Mengekstrak file konfigurasi backup dari firewall FortiGate yang terhubung ke internet
- Memecahkan hash password yang tersimpan dalam konfigurasi menggunakan GPU cluster
- Mengambil alih akun administrator untuk membangun akses persistence ke jaringan internal
Yang membuat kampanye ini sangat berbahaya adalah bahwa serangan ini bukan hasil dari satu kerentanan software tunggal, melainkan eksploitasi kelemahan mendasar dalam praktik konfigurasi, penyimpanan password, dan kebersihan kredensial di ribuan organisasi.
Skala dan Cakupan Serangan
| Metrik | Angka |
|---|---|
| Perangkat FortiGate terdampak | 73.932+ |
| Negara terdampak | 194 |
| Kredensial terekspos (estimasi Orca) | 110+ juta |
| Akun dengan kredensial default/generik | > 60% |
Distribusi geografis serangan mencakup hampir seluruh dunia — dari Amerika Utara, Eropa, Asia-Pasifik, hingga Timur Tengah dan Afrika.
Bagaimana Serangan Ini Bekerja
FortiBleed mengikuti rantai serangan yang metodis dan terotomatisasi:
Fase 1: Identifikasi Target
Threat actor memindai internet untuk mendeteksi perangkat FortiGate yang:
- Mengekspos antarmuka manajemen (web console/SSH) ke internet publik
- Menggunakan firmware versi lama dengan kelemahan hashing
- Memiliki file konfigurasi backup yang dapat diakses
Fase 2: Ekstraksi Konfigurasi
File konfigurasi backup FortiGate (*.conf) seringkali dapat diakses atau diekstrak melalui berbagai teknik:
- Eksploitasi kerentanan yang memungkinkan pembacaan file
- Akses tidak sah ke repositori backup
- Sniffing traffic konfigurasi yang tidak terenkripsi
# Contoh isi konfigurasi FortiGate yang terekstrak
config system admin
edit "admin"
set accprofile "super_admin"
set password ENC SHA256$salt$hash
set old-password ENC SHA256$old_salt$old_hash
next
end
Fase 3: GPU-Accelerated Password Cracking
Hash password yang berhasil diekstrak kemudian dipecahkan secara offline menggunakan GPU cluster yang menjalankan Hashcat dan Hashtopolis:
hashcat -m 1410 -a 3 fortigate_hashes.txt ?a?a?a?a?a?a?a?a -O -w 3
Dengan kekuatan komputasi GPU modern (RTX 4090, A100), hash SHA-256 salted dapat dipecahkan dalam hitungan jam hingga hari, tergantung kompleksitas password.
Fase 4: Pengambilalihan dan Persistence
Setelah kredensial administrator berhasil didapatkan:
- Pembuatan akun backdoor — akun admin baru dengan nama samar
- VPN tunnel rogue — tunnel VPN tidak sah untuk akses persistence
- Reconnaissance internal — pemetaan Active Directory dan infrastruktur internal
- Lateral movement — pergerakan ke server dan sistem kritis lainnya
- Eksfiltrasi data — pencurian data sensitif secara bertahap
Mengapa Hash Password Fortinet Rentan
Salah satu faktor kunci keberhasilan FortiBleed adalah kelemahan dalam mekanisme hashing password Fortinet:
Masalah old-password
Fortinet menyimpan field old-password dalam file konfigurasi backup yang berisi hash password sebelumnya — seringkali menggunakan algoritma hashing yang lebih lemah (SHA-256 salted) bahkan pada perangkat yang sudah di-upgrade ke PBKDF2 yang lebih kuat.
Intinya: meskipun perangkat sudah di-upgrade dengan hash PBKDF2 modern, field
old-passwordyang tersisa masih menggunakan SHA-256 salted yang jauh lebih mudah dipecahkan.
Kredensial Default & Generik
Lebih dari 60% akun terdampak menggunakan username bawaan seperti:
adminfortinet-supportguest- Nama generik yang mudah ditebak
Password default atau yang jarang diubah semakin mempermudah serangan brute-force dan dictionary attack.
CVE Terkait dalam Ekosistem FortiBleed
Selama paruh pertama 2026, beberapa kerentanan Fortinet berkontribusi terhadap lanskap ancaman yang lebih luas:
| CVE | Deskripsi | CVSS | Status |
|---|---|---|---|
| CVE-2026-24858 | Authentication bypass FortiCloud SSO — memungkinkan pembuatan akun admin rogue | 9.4 (Critical) | Aktif dieksploitasi sejak Januari 2026 |
| CVE-2026-35616 | FortiClient EMS — injeksi skrip malicious & credential sniffing (RADIUS, NTLM, Kerberos) | 8.8 (High) | Digunakan bersama FortiBleed |
Kedua kerentanan ini, meskipun terpisah, memperkuat efektivitas kampanye FortiBleed secara keseluruhan.
Dampak Terhadap Organisasi
Organisasi yang terdampak FortiBleed menghadapi risiko serius:
- Kompromi total perimeter jaringan — firewall adalah garis pertahanan pertama
- Akses persistence ke jaringan internal — sulit dideteksi tanpa monitoring yang tepat
- Eksfiltrasi data sensitif — termasuk intellectual property, data keuangan, dan informasi pelanggan
- Potensi serangan ransomware lanjutan — akses awal sering dijual ke ransomware affiliate
- Kerusakan reputasi dan kepatuhan — pelanggaran regulasi seperti GDPR, HIPAA, UU PDP
Sektor Paling Terdampak
Berdasarkan data dari Recorded Future dan CSA:
- Pemerintah — Kementerian, lembaga pertahanan, infrastruktur publik
- Telekomunikasi — ISP, operator seluler, penyedia backbone
- Infrastruktur Kritis — Energi, air, transportasi
- Keuangan — Bank, asuransi, fintech
- Kesehatan — Rumah sakit, laboratorium, sistem rekam medis
- Manufaktur — Pabrik, rantai pasok, sistem SCADA
Langkah Mitigasi Darurat
CISA, Fortinet, dan lembaga keamanan global merekomendasikan tindakan segera berikut:
Tindakan Segera (24 Jam Pertama)
- Rotasi semua kredensial — reset password administrator, VPN, dan akun layanan dengan password unik berkekuatan tinggi
- Terminasi semua sesi aktif — putuskan semua sesi administratif dan VPN yang sedang berjalan
- Audit akun — periksa dan hapus akun admin tidak dikenal atau mencurigakan
Tindakan Jangka Pendek (1 Minggu)
- Aktifkan MFA phishing-resistant — FIDO2 security key atau certificate-based authentication untuk semua akses manajemen dan VPN
- Hapus antarmuka manajemen dari internet publik — batasi akses web console/SSH hanya ke trusted internal network, VPN dengan MFA, atau management bastion
- Update firmware — patch ke versi terbaru yang mendukung PBKDF2 hashing dan membersihkan field
old-password
Tindakan Jangka Panjang
- Monitoring 24/7 — pantau log untuk indikasi lateral movement, koneksi mencurigakan, atau perubahan konfigurasi tidak sah
- Segmentasi jaringan — pisahkan manajemen perangkat dari jaringan produksi
- Penetration testing berkala — uji ketahanan firewall dan infrastruktur perimeter secara reguler
- Backup offline — pastikan backup konfigurasi disimpan di lokasi terisolasi dan terenkripsi
Kesimpulan
FortiBleed adalah peringatan keras bahwa firewall bukanlah kotak ajaib yang bisa dipasang lalu dilupakan. Keamanan perimeter membutuhkan perhatian berkelanjutan: pembaruan firmware, rotasi kredensial, enforcement MFA, dan audit konfigurasi berkala.
Threat actor modern tidak selalu membutuhkan zero-day yang canggih. Password default, hash yang lemah, dan konfigurasi yang tidak pernah di-audit — tiga kelemahan mendasar ini sudah cukup untuk membuka pintu masuk ke dalam jaringan paling kritis di dunia. Lebih dari 60% akun yang terdampak menggunakan kredensial generik atau default. Ini bukan kegagalan teknologi; ini kegagalan operasional.
Field old-password dalam konfigurasi backup Fortinet adalah bom waktu. Bahkan setelah perangkat di-upgrade ke algoritma hashing yang lebih kuat, hash lama dengan SHA-256 salted tetap tersimpan dan jauh lebih mudah dipecahkan dengan GPU cluster modern. Membersihkan field ini harus menjadi bagian dari setiap upgrade firmware.
Pelajaran paling mendasar: jika firewall masih mengekspos port manajemen ke internet tanpa MFA, organisasi tersebut tidak sedang “aman” — ia sedang menunggu giliran. Rotasi kredensial sekarang, aktifkan MFA phishing-resistant, dan hapus antarmuka manajemen dari internet publik. Tiga langkah ini menghilangkan sebagian besar attack surface yang dieksploitasi oleh FortiBleed.
Referensi
- Fortinet PSIRT: Analysis of Reported Credential Compromise of FortiGate Devices
- Recorded Future: FortiBleed Campaign Exposing Credentials for 73,932 FortiGate Systems
- Cloud Security Alliance: FortiBleed, Default Credential Exploitation and Mass Fortinet Compromise
- Orca Security: FortiBleed Harvests 110M+ Credentials
- CISA Known Exploited Vulnerabilities Catalog
