تسريب FortiBleed يكشف بيانات اعتماد 73 ألف جهاز Fortinet VPN حول العالم

أبرز النقاط

• كشف تسريب FortiBleed عن بيانات اعتماد صالحة لـ 73,932 جهاز Fortinet VPN تابعة لمؤسسات في 194 دولة
• المهاجمون نفذوا أكثر من 1.16 مليار محاولة اختراق ضد أجهزة FortiGate باستخدام منهجية آلية متطورة
• الإمارات ضمن الدول العشر الأكثر تضرراً، مما يستدعي مراجعة عاجلة لإعدادات الأمان في المنطقة

كشف باحثون في الأمن السيبراني عن تسريب ضخم يحمل اسم FortiBleed، يتضمن بيانات اعتماد صالحة لأكثر من 73 ألف جهاز Fortinet VPN وجدران حماية FortiGate منتشرة في مؤسسات حول العالم. التسريب يُعدّ من أكبر عمليات كشف بيانات البنية التحتية الأمنية المسجلة، ويطال شركات عملاقة وجهات حكومية وقطاعات حيوية، بما في ذلك مؤسسات في الإمارات ودول الخليج.

كيف اكتُشف تسريب FortiBleed؟

رصد الباحث الأمني Bob Diachenko خادماً مكشوفاً يحتوي على قاعدة بيانات تضم أسماء مستخدمين وعناوين بريد إلكتروني وكلمات مرور بصيغة نصية واضحة. اللافت أن القاعدة تضمنت تعليقات توضيحية تصنّف كل مؤسسة حسب قطاعها وإيراداتها وعدد موظفيها، في إشارة واضحة إلى أن المهاجمين كانوا يخططون لاستهداف منهجي.

أشار Diachenko عبر منشور على LinkedIn إلى أن ملفاً واحداً فقط من الملفات المكتشفة يحتوي على 21,634 اسم نطاق، تتراوح بين شركة Chevron وصولاً إلى Fortinet نفسها. كما تضمنت القائمة أسماء مثل Samsung وFoxconn وComcast وAT&T وMercedes-Benz وToyota وSinopec وState Grid.

من يقف وراء الهجوم وما منهجيته؟

وفقاً لتحليل Diachenko، نفّذت مجموعة تهديد ناطقة بالروسية متعددة المشغلين هذه العملية عبر منهجية آلية شديدة التنظيم. أجرى المهاجمون نحو 1.16 مليار محاولة تسجيل دخول ضد 320,777 هدفاً من أجهزة FortiGate، إضافة إلى 2.1 مليار محاولة ضد 163,650 خادم Microsoft SQL Server.

اعتمد المهاجمون تقنية اعتراض تجزئات مصادقة SSL VPN ثم كسرها باستخدام عنقود معالجة رسومية يضم 45 وحدة GPU تُدار عبر منصة Hashtopolis. بعد استعادة بيانات الاعتماد، استخدموها للتحرك أفقياً داخل بيئات Active Directory الداخلية للمؤسسات المستهدفة.

أوضح Diachenko لموقع BleepingComputer أنه حصل على هذه التفاصيل بعد تحليل ملفات إضافية تركها المهاجمون مكشوفة عن طريق الخطأ على الخادم ذاته، متضمنة سجلات cron jobs وتاريخ أوامر bash وسكربتات الاتصال.

ما حجم الضرر الجغرافي والقطاعي؟

نشرت شركة Hudson Rock للاستخبارات الأمنية تحليلها الخاص بعد تلقيها مجموعة البيانات، واصفةً إياها بواحدة من أكبر مجموعات بيانات اعتماد Fortinet المخترقة المعروفة. القاعدة تشمل 73,932 عنوان URL فريداً لجدران حماية في 194 دولة، وتؤثر على 21,632 نطاقاً مختلفاً.

• الدول الأكثر تضرراً: الهند، الولايات المتحدة، تايوان، المكسيك، تركيا، تايلاند، كولومبيا، ماليزيا، تشيلي، والإمارات العربية المتحدة
• القطاعات المستهدفة: الاتصالات، خدمات تقنية المعلومات، الخدمات المالية، الجهات الحكومية، مقدمو الرعاية الصحية، المؤسسات التعليمية، والتصنيع
• مؤسسات مخترقة بالكامل في اليابان وتايوان وفيتنام والعراق وتركيا، بما فيها مقاول دفاعي تركي مرتبط بحلف الناتو سُرقت منه وثائق سرية

لماذا تثير كلمات المرور المعقدة القلق؟

أحد الجوانب المثيرة للدهشة في هذا التسريب أن كثيراً من كلمات المرور المكشوفة كانت طويلة ومعقدة، من النوع الذي يُفترض أنه صعب الكسر تقليدياً. يُرجح الباحثون أن هذه البيانات استُخرجت مباشرة من ملفات تكوين Fortinet المصدّرة، لا من هجمات التخمين وحدها.

أكد الباحث الأمني Kevin Beaumont صحة جزء من البيانات بعد مراجعة مستقلة، مشيراً إلى أن البيانات تتضمن عناوين بريد إلكتروني لا يمكن الوصول إليها عادةً إلا عبر ملفات التكوين. كما أوضح أن عناوين IP في هذا التسريب تختلف عن تلك الواردة في تسريب Belsen Group لعام 2025، مما يشير إلى أن هذه مجموعة أحدث وأكبر.

ما الذي يجب أن تفعله المؤسسات الآن؟

مع وجود الإمارات ضمن الدول العشر الأكثر تضرراً، تبرز ضرورة ملحة لمراجعة إعدادات أجهزة Fortinet في المنطقة. الخطوات الأساسية تشمل:

• التحقق الفوري من سجلات الدخول على أجهزة FortiGate وSSL VPN بحثاً عن أي نشاط مشبوه
• تغيير جميع كلمات مرور المسؤولين وحسابات VPN دون انتظار
• تفعيل المصادقة متعددة العوامل MFA على جميع نقاط الوصول الإدارية
• تطبيق قيود جغرافية وتقييد عناوين IP المسموح لها بالوصول إلى واجهات الإدارة
• مراجعة ملفات التكوين المصدّرة والتأكد من عدم تخزينها في مواقع غير آمنة

الأسئلة الشائعة

ما هو تسريب FortiBleed وكيف يؤثر على مؤسستي؟

تسريب FortiBleed هو كشف لبيانات اعتماد أكثر من 73 ألف جهاز Fortinet VPN وFortiGate حول العالم. إذا كانت مؤسستك تستخدم هذه الأجهزة، فقد تكون بيانات الدخول الخاصة بك مكشوفة، مما يتيح للمهاجمين الوصول إلى شبكتك الداخلية.

كيف أعرف إذا كانت مؤسستي متضررة من تسريب FortiBleed؟

راجع سجلات الدخول على أجهزة Fortinet بحثاً عن محاولات دخول غير معتادة. تواصل مع فريق الأمن السيبراني لديك للتحقق من قوائم المؤشرات المنشورة. الأفضل افتراض التعرض وتغيير جميع كلمات المرور فوراً.

لماذا لم تحمِ كلمات المرور المعقدة من هذا الاختراق؟

يُرجح أن المهاجمين استخرجوا البيانات من ملفات تكوين Fortinet المصدّرة مباشرة، وليس عبر تخمين كلمات المرور فقط. هذا يعني أن تعقيد كلمة المرور وحده لا يكفي دون تأمين ملفات التكوين وتفعيل MFA.

ما علاقة هذا التسريب بتسريب Belsen Group السابق؟

أكد الباحثون أن عناوين IP في تسريب FortiBleed مختلفة عن تسريب Belsen Group لعام 2025، مما يشير إلى أنها مجموعة أحدث ومنفصلة من الأجهزة المخترقة.