2026 年 10 月 6 日，美国联邦调查局（FBI）与美国特勤局（USSS）联合发布网络安全公告，警告代号 FortiBleed 的凭证窃取行动仍在持续，目标是暴露在互联网上的 Fortinet FortiGate 防火墙与 SSL VPN 网关。公告确认，这并非一次已经结束的历史泄露事件，而是一场仍在进行中的活跃威胁。
规模：194 个国家的 86,644 份有效凭证
据安全公司 SOCRadar 的统计，截至 2026 年 6 月 19 日，这一由俄语系团伙主导的行动已窃取 86,644 份可用的设备凭证，波及 194 个国家。该行动最早于 2026 年 6 月由 SOCRadar 与 Hudson Rock 记录，当时便针对数千台 Fortinet 防火墙展开。
两家机构在公告中指出，攻击者利用被重复使用或已泄露的凭证，以及陈旧的 SHA-256 密码存储方式，得以大规模采集并破解认证数据。公告称："初步发现表明，攻击者正利用此前获取的失陷凭证，持续扫描暴露在互联网上的 Fortinet 防火墙。"
五阶段攻击链
根据公开分析，FortiBleed 是一条完整的五阶段攻击链：
- 侦察：大范围扫描，定位暴露的登录门户；
- 入侵：基于此前泄露的数据与信息窃取日志，通过凭证填充（credential stuffing）与密码喷洒（password spraying）获取设备访问权限；
- 嗅探：部署名为 FortigateSniffer 的 Go 语言工具，被动拦截跨 24 种协议的认证流量，采集凭证与密码哈希；
- 破解：把哈希送入 GPU 加速的破解集群，使用 Hashmat 与 Hashtopolis 进行离线破解；
- 横向移动与持久化：利用破解出的凭证进行横向移动、Active Directory 枚举、Kerberos 校验与 SMB 认证，并从网络共享中外泄敏感数据；同时利用窃取的会话 Cookie 维持已认证的持久访问。
受害者可能被"锁在门外"
公告特别提醒，攻击者会在防火墙上创建新的管理员账户以维持持久化，在某些情况下还会删除原有账户，导致受害组织被锁在自己的设备之外，无法访问受影响的设备。公告列出了一批常见的失陷账户名，包括 admin、fortiAdmin、forticloud-sync、itadmin、support_fortinet 等。
分析认为，幕后团伙疑似一个"初始访问代理（initial access broker）"，将窃取的信息打包转售给下游威胁行为者；其操作特征与 INC、Lynx 勒索软件团伙存在重叠，暗示这些访问权限很可能被用于部署勒索软件。
建议的应对措施
CISA 此前已建议 Fortinet 客户：启用抗钓鱼认证（phishing-resistant authentication）、终止活跃的 SSL VPN 与管理会话、重置 Fortinet VPN 与管理密码、使用 PBKDF2 算法存储管理员凭证，并排查日志中的可疑活动。FBI 与特勤局则建议，一旦怀疑遭到入侵，应立即隔离受影响设备、收集必要的取证材料与日志，并向 FBI 与特勤局报告事件，同时采取相应的缓解措施。
FBI 与 USSS 在公告中称："攻击者正利用被重复使用或已泄露的凭证，以及陈旧的 SHA-256 密码存储方式，从而大规模地采集并破解认证数据。"
影响与观察
FortiBleed 揭示了一个常被低估的风险面：边界安全设备本身正在成为被大规模攻陷的目标。防火墙与 VPN 网关一旦失守，攻击者拿到的往往不只是单台设备，而是进入内网的"钥匙"。对仍在使用 FortiGate 设备、且存在弱口令或陈旧密码存储配置的组织而言，这份公告是一记直接警报——重置凭证、启用抗钓鱼认证、清理可疑账户与排查日志，应当立即执行，而不是等到被锁出门外。
信息来源：FBI/USSS 联合网络安全公告（IC3 CSA，2026-10-06）、The Hacker News、The Record。