FortiBleed: hoe gelekte Fortinet-wachtwoorden ook Nederlandse organisaties raken

Als het slot deugt maar de sleutels zijn gekopieerd

Een firewall koop je om anderen buiten te houden. Het ongemakkelijke aan FortiBleed is dat de firewalls gewoon hun werk deden, en dat het niet uitmaakte. De aanvallers braken niet door de FortiGate heen. Ze verzamelden de sleutels. Vanuit configuratiebestanden die via oudere Fortinet-kwetsbaarheden waren gestolen, kraakten ze de wachtwoorden in die bestanden, bouwden ze een doorzoekbare lijst met werkende logins en controleerden ze een groot deel daarvan tegen live apparaten. Vergelijk het met een slotenmaker wiens lijst met lopersleutels de deur uit loopt. Het slot op je voordeur is nog prima. Iemand anders heeft mogelijk al een kopie van jouw sleutel, en de vraag die ertoe doet is niet of je het slot vervangt, maar of iemand die sleutel al heeft gebruikt. Dat is FortiBleed in één zin, en het verandert hoe je moet reageren. Verhalen over gelekte Fortinet-wachtwoorden eindigen meestal met "installeer de patch." Dit verhaal niet, want een apparaat patchen terwijl de inloggegevens al in een criminele database staan, sluit een deur die allang niet meer de ingang is.

Wat er gebeurde

De campagne werd openbaar op 13 juni 2026, toen beveiligingsonderzoeker Volodymyr Diachenko een open server op internet meldde met een groeiende database vol inloggegevens voor Fortinet-apparaten. Het waren geen gokjes. De gegevens waren getest tegen live systemen, dus de aanvallers wisten al welke werkten. In de dagen erna werd de omvang duidelijker. Fortinet zelf kwam op 19 juni uit op 86.644 getroffen FortiGate-apparaten in 194 landen, terwijl onafhankelijke onderzoekers lagere gevalideerde aantallen noemden, van ongeveer 30.000 bevestigd door SOCRadar tot een schatting rond 75.000. Die cijfers verschillen omdat ze iets anders meten, bevestigd-werkend tegenover waarschijnlijk-blootgesteld, en dat verschil is het onthouden waard. Op 18 juni waarschuwden CISA in de Verenigde Staten en het Britse NCSC hun Fortinet-klanten, en Fortinet publiceerde een dag later zijn eigen PSIRT-analyse. Nederland staat tussen de getroffen landen, en latere berichtgeving wees erop dat Nederlandse organisaties ook indirect werden geraakt, doordat de Fortinet-inloggegevens van hun IT-dienstverleners in dezelfde dataset opdoken.

Hoe de aanval werkte

FortiBleed is geen nieuwe zero-day. Het is een keten van oudere problemen die tot één operatie zijn samengevoegd. Het begon met configuratiedata die van internet-facing FortiGate-apparaten was gestolen via kwetsbaarheden die Fortinet al had gedocumenteerd, intern bekend als FG-IR-26-060 en FG-IR-25-647. Zo'n configuratiebestand is op zichzelf al waardevol: het bevat lokale beheeraccounts, VPN-gebruikers, pre-shared keys, certificaten en een kaart van het netwerk achter de firewall. De wachtwoorden in oudere FortiOS-versies werden opgeslagen met een verouderde SHA-256-hash, en versies vóór 7.2.11, 7.4.8 en 7.6.1 hielden dat zwakkere formaat aan, waardoor aanvallers de hashes offline konden kraken tot leesbare inloggegevens. Daar bovenop draaiden ze brute force, woordenboekaanvallen en credential stuffing tegen VPN-portalen, met wachtwoorden uit eerdere datalekken. Volgens Fortinet draaide de campagne op het "reusing credentials from previous incidents" in combinatie met brute force tegen slecht beveiligde accounts. Onderzoekers die de infrastructuur volgden vermoeden een Russischtalige groep, al is dat hun aanname en geen vaststaand feit. Het gevaarlijke zit in de uitkomst. Een geldige VPN-login is geen exploit die een alarm laat afgaan. Het is gewoon inloggen. De aanvaller verbindt als een medewerker, vanaf een normale client, en niets aan de sessie oogt verkeerd, tenzij je let op een account dat zich vreemd gedraagt.

Wie zijn er getroffen

Elke organisatie met een internet-facing FortiGate-firewall of FortiOS-VPN op een getroffen versie valt mogelijk binnen scope, en dat is een grote groep. Fortinet is wereldwijd een van de meest gebruikte firewallmerken, en de blootstelling loopt over 194 landen. Onderzoekers zagen de zwaarste concentraties in telecom, overheid en onderwijs, met grote aantallen in India, de Verenigde Staten, Mexico, Colombia en Thailand. Volgens Arctic Wolf beheerden de aanvallers "databases of validated credentials organized by country, sector, and organization revenue," wat laat zien dat dit gericht oogsten was en geen toevallige ruis. Voor Nederland zit de zorg op twee plekken. FortiGate staat bij veel Nederlandse mkb-bedrijven, gemeenten en overheidsleveranciers, dus veel organisaties zijn direct blootgesteld. En omdat Nederlandse IT-dienstverleners firewalls beheren voor hun klanten, kan één gelekte set inloggegevens van zo'n dienstverlener elke klant erachter raken. Zo komen organisaties die zelf nooit in een scan opdoken alsnog in de problemen. Of jouw specifieke apparaat in de dataset zit, kun je controleren: de onderzoekers en enkele securityleveranciers publiceerden zoekhulpen op basis van serienummer of publiek IP-adres.

Wat dit betekent voor jouw organisatie

De reflex bij gelekte wachtwoorden is: resetten en door. Hier klopt die reflex half, en is hij half gevaarlijk.

Resetten is nodig, maar het beantwoordt niet de vraag die telt. Als jouw inloggegevens geldig en gecontroleerd waren, ligt het venster dat ertoe doet niet in de toekomst maar in het verleden. Iemand kan al hebben ingelogd, dagen of weken voordat je de naam FortiBleed hoorde. Een wachtwoordreset sluit de deur naar voren en zegt niets over wie er gisteren doorheen liep. Daarom is dit eerst een detectieprobleem en pas daarna een hardeningprobleem.

De volgorde is dus bewust. Controleer of je apparaten in de exposure-lijsten staan. Beëindig elke actieve VPN- en beheersessie. Reset alle lokale inloggegevens, niet alleen die van VPN-gebruikers, want de gestolen configuratiebestanden bevatten ook beheer- en serviceaccounts. Roteer pre-shared keys en certificaten, die zaten in dezelfde bestanden. Bekijk daarna je logs vanaf het moment van de configuratiediefstal op VPN-logins die je niet kunt plaatsen, nieuwe of gewijzigde beheeraccounts en configuratiewijzigingen die je niet zelf hebt gedaan. Pas daarna komt het harden: upgrade naar een FortiOS-versie met PBKDF2-hashing, zet internet-facing beheerinterfaces uit, beperk beheertoegang tot vertrouwde hosts en dwing MFA af op elke VPN- en beheerlogin.

Er is nog één stap die makkelijk overgeslagen wordt. Had een aanvaller geldige toegang en stonden er persoonsgegevens achter die firewall, dan kan er sprake zijn van een meldplichtig datalek onder de AVG. Of dat zo is, hangt volledig af van het logonderzoek dat de meeste organisaties nooit doen, en de meldtermijn van 72 uur begint zodra je het redelijkerwijs kunt weten.

Vind je jouw apparaat in de exposure-lijsten, of zie je VPN-logins die je niet kunt verklaren? Behandel het als een actief incident, niet als een onderhoudsklus. Het incident response team van SecDesk helpt Nederlandse organisaties vaststellen of gelekte inloggegevens daadwerkelijk zijn misbruikt en damt de inbraak in als dat zo is. Je bereikt de responders via response.secdesk.com.