FortiBleed 2.0: FortiBleed 1.0 자료에 없던 도메인 표기 975개와 노출된 비밀정보 40,573건

FortiGate 설정 보고서 1,703개에서 계정·인증정보 101,419건을 집계했으며, 이 중 평문 비밀정보는 40,573건입니다. 분석은 975개 도메인 표기가 이전 FortiBleed 자료와 겹치지 않는다고 보고하지만, 이를 신규 피해 기업이나 실제 침해 건수로 해석하지 않습니다.

주제: 보안 네트워크 시스템

에디터 노트

가장 설득력 있는 대목은 노출 기록과 실제 침해를 분리한 점입니다. 40,573건은 평문 비밀정보가 담긴 기록의 수이고, 975개는 정해진 세 필드에서 추출한 도메인 표기 중 이전 비교 집합에 없던 수입니다. 어느 수치도 침해된 조직이나 현재 유효한 계정의 수로 읽을 수 없습니다. 겹치는 호스트의 관리자 로그인 비교도 과거와 현재의 연속적인 접근을 증명하지 않고, 설정 자료에 계정이 함께 기재됐다는 사실을 보여줍니다. 대응 항목은 계정 소유자와 설정 이력 확인, LDAP 권한 검토, 자격 증명 교체처럼 자료가 뒷받침하는 조치에 맞춰져 있습니다. Reddit에는 분석 내용을 반복한 댓글 하나만 있어 별도의 검증이나 반론은 제시되지 않았습니다.

AI 요약

FortiBleed 2.0 분석은 FortiGate 설정 보고서 1,703개에서 계정 및 인증정보 101,419건을 집계했습니다. 이 가운데 평문 비밀정보는 40,573건이며, 로컬 사용자 암호 37,076건과 Active Directory LDAP 바인드 암호 1,576건이 포함됩니다. 보고서는 노출된 값이 실제로 사용됐거나 공격자가 내부망 접근에 성공했다는 뜻은 아니라고 구분합니다.

자료와 집계 범위

분석 대상은 비어 있지 않은 호스트 식별자 1,689개와 설정 보고서 1,703개입니다. 보고서 날짜가 있는 파일 1,672개는 모두 2026년 2월 20일로 표시되고 나머지 31개는 날짜가 없습니다. 이는 보고서의 날짜이지, 최초 침해나 설정 추출 시점이 독립적으로 확인됐다는 뜻은 아닙니다. 연구진은 이번 자료가 첫 FortiBleed 분석에서 다룬 것으로 추정하는 2026년 5~6월 자료보다 이른 시점의 정보라고 설명합니다.

101,419건은 로컬 사용자 및 SSL VPN 관련 기록 83,414건, 시스템 관리자 설정 13,786건, LDAP 바인드 2,163건, 관리자 로그인 1,672건, HA 클러스터 기록 208건, SMTP 계정 176건으로 구성됩니다. 평문으로 분류된 값은 총 40,573건입니다. 해시로 분류된 값 13,999건과 ENC 값 10,743건, 비어 있는 암호 필드 36,104건도 포함됩니다. 이 수치는 기록 건수이며 고유 사용자나 지금도 쓸 수 있는 자격 증명의 수가 아닙니다.

FortiBleed 1.0과 비교

첫 조사 자료에는 로그인 행 73,932건과 호스트 식별자 69,055개가 있습니다. 설정 자료의 호스트 식별자 1,689개 가운데 924개, 즉 54.7%는 첫 자료에 없었습니다. 두 자료가 공유하는 호스트 식별자는 765개입니다. 도메인 비교는 CSV의 세 필드에서 추출한 표기만 사용합니다. 이 기준으로 1,453개 중 975개가 1.0 비교 집합에 없었고, primary_victim_domain만 보면 962개 중 726개가 없었습니다.

이 비율은 도메인 표기의 중복 여부를 나타냅니다. 고유한 피해 기업 수나 새로 침해된 조직 수를 세지 않습니다. 등록 이메일 도메인은 고객사가 아니라 관리 서비스 제공업체나 IT 계약업체의 도메인일 수 있습니다. 개인 이메일과 NONE 값도 조직을 특정하기 어렵습니다. 연구진은 세 종류의 도메인 표기를 호스트별 기존 등록 이메일과 비교해 462개 호스트에서 추가 도메인 정보를 찾았다고 설명합니다. 이를 소유권 변경이나 신규 피해 조직으로 간주하지 않습니다.

노출 정보와 내부 접근 경로

보고서는 설정 유출에서 내부 접근 시도로 이어질 수 있는 도구 흐름을 설명합니다. forti_parse.py는 관리자 계정, 로컬 사용자, LDAP 연결, HA 설정과 이메일 서버 자격 증명을 수집하는 데 쓰입니다. 이어 vpn_checker.py와 openconnect로 조건에 맞는 VPN 자격 증명의 접속을 시도하고, 관련 도구 체인에는 내부 시스템을 대상으로 한 nxc 또는 NetExec 활동도 언급됩니다.

실제 접속 여부는 계정 상태와 VPN 정책, MFA 요구사항, 네트워크 연결성에 달려 있습니다. 방화벽 관리 권한과 VPN 사용자 권한도 서로 다릅니다. LDAP 바인드 계정에 과도한 권한이 있으면 노출 범위가 커질 수 있지만, 일반적인 LDAP 조회 권한만으로 도메인 관리자 권한이나 디렉터리 복제 권한, NTDS.dit 접근이 생기지는 않습니다.

두 자료가 겹치는 호스트의 관리자 로그인 766건 가운데 524건은 같은 호스트의 1.0 기록과 사용자 이름 및 평문 암호가 일치했습니다. 나머지 242건은 관리자 사용자 이름이 달랐고, 이 중 222건은 암호도 달랐으며 20건은 사용자 이름만 달랐습니다. 242건 중 216건에서는 1.0에 기록된 관리자 이름이 2.0의 이전 설정 자료 시스템 관리자 표에도 함께 있었습니다. 이 결과는 계정이 함께 기록됐다는 점을 보여줄 뿐, 지속적인 접근이나 계정 삭제 여부, 이후 조치 결과를 증명하지 않습니다. CSV의 Verified_Active_Login 표기도 새로 인증을 시험한 결과가 아니라 원본 자료의 분류입니다.

조직이 확인할 항목

보고서는 노출된 설정과 현재 계정 상태, 변경 이력, 로그를 대조하라고 권고합니다. 관리자 계정은 승인된 소유자와 설정 이력을 확인하고, 확인된 비인가 계정은 제거해야 합니다. LDAP 바인드 계정은 노출된 암호가 여전히 유효한지 확인해 필요한 경우 교체하고, 권한과 인증 활동을 점검합니다. 로컬 계정과 VPN 정책, 외부 인증 의존성도 확인하며 효과적인 MFA 적용 여부를 살펴야 합니다.

HA 클러스터와 RADIUS 공유 비밀, SMTP 계정은 해당 서비스를 사용하는 시스템과 함께 교체 여부를 조율해야 합니다. Fortinet 대응 지침에는 펌웨어 업데이트와 관리 접근 제한, 세션 종료, 자격 증명 재설정, 설정 검토와 측면 이동 조사도 포함됩니다. CSV의 MFA 필드가 비어 있는 경우는 2단계 인증이 비활성화됐다는 뜻이 아니므로, 장비와 외부 인증 제공자 또는 RADIUS 정책을 함께 확인해야 합니다.

Reddit 반응

@Malwarebeasts — 새로 확보한 FortiGate 설정 보고서에는 평문 비밀정보가 담긴 기록 40,573건이 있습니다. 여기에는 로컬 사용자 기록 37,076건과 Active Directory LDAP 바인드 기록 1,576건이 포함됩니다. 분석은 FortiBleed 1.0에는 없던 도메인 표기 975개도 확인했습니다. 설정 자료는 2026년 2월경의 것으로, 첫 조사에서 다룬 것으로 보이는 5~6월 자료보다 앞선 시점입니다.

원문 보기 ↗토론 보기 ↗