FBI memperbarui peringatannya soal FortiBleed, dan kabarnya tidak bagus: kampanye yang menyasar firewall serta gateway VPN Fortinet itu belum berhenti. Bedanya dengan kebanyakan kebocoran kredensial, kali ini korban bukan cuma kehilangan data — administrator yang sah justru dikunci dari perangkatnya sendiri.
Angka terbarunya: 86.644 perangkat Fortinet sudah terkompromi, tersebar di 194 negara. Angka itu naik dari temuan awal Juni 2026, ketika server milik penyerang bocor tanpa sengaja dan memperlihatkan 73.932 URL firewall lengkap dengan username dan password yang tersimpan sebagai teks biasa.
Masuk lewat kredensial lama, lalu di-crack pakai GPU
Menurut FBI, penyerang masuk ke endpoint FortiGate dan SSL VPN yang terbuka ke internet memakai kredensial yang sudah bocor sebelumnya, log dari infostealer, serangan credential stuffing, dan password spraying. Setelah masuk, mereka menyedot data autentikasi tambahan dari perangkat korban.
Bagian yang bikin kampanye ini mahal untuk dilawan: password hash hasil curian tidak dibuka di perangkat korban, melainkan di-crack offline pakai klaster GPU terdistribusi yang menjalankan Hashcat dan Hashtopolis. Server backend penyerang yang sempat terbuka memperlihatkan skrip otomatis untuk memindai portal FortiGate SSL VPN, menandai honeypot, dan mengurutkan target berdasarkan pendapatan serta struktur jaringan.
Dari mana asal datanya
FortiBleed bukan kerentanan yang baru ditemukan kemarin. Ini nama untuk kebocoran kredensial Fortinet berskala besar yang tersingkap Juni 2026, ketika penyerang tanpa sengaja membuka server backend-nya sendiri. Isinya: kumpulan alat, dataset, skrip validasi kredensial, daftar target, dan konfigurasi VPN yang masih berfungsi — bukti bahwa akses hasil curian itu memang disiapkan untuk dijual.
Pada Juli, firma keamanan SOCRadar mengaitkan kampanye ini dengan operasi ransomware INC dan Lynx setelah mendapat akses ke panel negosiasi kedua kelompok tersebut di server yang sama. Dari situ jumlah perangkat terkompromi terus diperbarui, sampai angka terakhir 86.644.
FBI mencatat rantai serangan FortiBleed sudah dipakai sebagai titik masuk awal oleh afiliasi ransomware — di antaranya INC/Lynx dan Payload.
Korbannya kehilangan akses, bukan cuma data
Dalam beberapa insiden, penyerang membuat akun administrator baru, lalu memakai hak istimewa itu untuk menghapus akun admin lama atau mengubah password-nya. Efeknya, tim internal kehilangan akses ke perangkatnya sendiri, sementara penyerang leluasa menyiapkan persistensi dan bergerak menyamping di dalam jaringan.
Mitigasinya bukan cuma patch dan ganti password
FBI menegaskan perbaikan sederhana tidak cukup. Langkah yang diminta: batasi akses eksternal ke perangkat, hentikan semua sesi VPN yang masih aktif, wajibkan MFA, dan audit log untuk mencari perubahan administrator yang tidak sah. Satu rekomendasi teknis yang sering dilewatkan adalah mengaktifkan PBKDF2 untuk penyimpanan password administrator, karena hash SHA-256 generasi lama praktis masih bisa dibuka dengan komputasi GPU seperti ini.
Kenapa ini relevan buat Indonesia
FortiGate termasuk perangkat keamanan yang paling umum dipakai di perusahaan dan lembaga keuangan Indonesia, dan portal VPN-nya kerap dibuka dari luar agar karyawan bisa kerja remote. Artinya, profil perangkat yang dibidik FortiBleed bukan sesuatu yang eksotis — banyak organisasi di sini punya kombinasi yang sama.
Ini juga bukan masalah satu kali di ekosistem Fortinet. Awal Oktober, situs ini melaporkan kerentanan FortiMail dengan skor CVSS 9,8. Polanya mirip: celah ada di perangkat yang dipercaya sebagai pelindung, bukan di aplikasi biasa. Bagi tim TI, pertanyaan praktisnya sederhana — apakah portal VPN FortiGate di kantor Anda benar-benar hanya bisa diakses dari jaringan internal, dan apakah akun administrator-nya masih memakai hash lama?
Sumber
- BleepingComputer — FBI: Ongoing FortiBleed attacks lock out FortiGate VPN admins
- The Register — FortiBleed still a bleeding nuisance as FBI confirms ongoing attacks
- SC World — FortiBleed campaign still attacking Fortinet devices, US agencies warn
- CyberScoop — Alert: FortiBleed remains active campaign
