美国联邦调查局（FBI）与美国特勤局（USSS）于 2026 年 10 月 6 日联合发出警告，称针对 Fortinet FortiGate 防火墙与 SSL VPN 网关的 FortiBleed 凭证窃取行动仍在持续。攻击者不仅建立自己的管理员账号，还会删除或篡改原有账号，直接把企业锁在自己的设备之外。与常规漏洞事件不同，这轮攻击没有任何 CVE 可以修补，入口是复用与泄露的口令，而不是软件缺陷。
事件概述
FortiBleed 最早由 SOCRadar 与 Hudson Rock 在 2026 年 6 月披露，当时统计已有分布在 194 个国家的 86644 台 Fortinet 设备凭证被收集。Fortinet 在 6 月 19 日回应称，这不是一个新的 Fortinet 漏洞。执法部门在 10 月 6 日发布的联合公告中表示，攻击者仍在持续扫描暴露在互联网上的 Fortinet 设备，并使用此前获得的凭证发动攻击，公告未点名任何被入侵单位。
技术细节
整个攻击分为五个阶段。第一步是广撒网式侦察，通过端口扫描定位暴露在公网的 FortiGate SSL VPN 门户；第二步用凭证填充与口令喷洒试探登录，数据来源包括历史泄露库与信息窃取木马日志，部分场景还直接尝试开放的 SSH 端口。取得入口后，攻击者部署名为 FortigateSniffer 的 Go 语言工具，被动抓取 24 种协议上的认证流量并提取凭证与口令哈希，被盗的 FortiOS 用户库持续回传至攻击者服务器。
由于设备仍以旧式 SHA-256 方式存储口令哈希，攻击者把这些哈希送入租用的 GPU 集群，用 Hashcat 与 Hashtopolis 做分布式离线破解，速度远快于在线爆破；破解出的口令随后被校验、过滤并用于优先挑选高价值目标。这些凭证被用于枚举 Active Directory、验证 Kerberos 票据并做 SMB 认证，同时在防火墙上新建管理员账号以维持持久化。
影响评估
最直接的后果是被锁在门外。公告明确提到，部分受害单位因为原有账号被删除或被改密，已无法登录自己的设备，也就无法查看流量、修改策略或排查入侵路径，恢复往往需要整机重建而不是简单改密。攻击者还借已验证的凭证向设备后方横向移动，并继续做口令喷洒以定位高权限账号。执法公告将这一活动判定为初始访问代理模式，访问权被打包后转卖给下游勒索团伙。公告列出的常见恶意管理员账号名包括 adminin、fortiAdmin、forticloud-sync、fgtsecure、support_fortinet、IT_Manager、my_admin 等，核对设备上是否出现这些名称是快速判断是否失陷的有效切入点。
修复建议
- 因为没有 CVE 可修，升级固件并不能关闭攻击路径：必须重置全部 Fortinet VPN 与管理员口令，并启用抗钓鱼的多因素认证。
- 改用 PBKDF2 存储管理员凭证，终止所有在线的 SSL VPN 与管理会话，使被盗令牌立即失效。
- 逐台核对账号列表：出现未由本团队创建的账号，或原有账号被删除、被改密，即应判定为已失陷。
- 同步审查设备配置与 API 密钥，收回管理面的公网暴露范围，并对无法确认状态的设备做隔离处理。