Traficomin Kyberturvallisuuskeskus on kertonut, että kansainvälinen FortiBleed-niminen kyberhyökkäyskampanja on ulottanut vaikutuksensa Suomeen. Keskuksen tietojen mukaan kampanjassa on vaarantunut noin kahdenkymmenen suomalaisorganisaation tietoja. Vaikutukset Suomessa ovat keskuksen mukaan toistaiseksi jääneet maltillisiksi.

Mistä FortiBleedissä on kyse

FortiBleed on laaja tunnusten kalastelu- ja murtokampanja, joka kohdistuu Fortinet-yhtiön FortiGate-palomuureihin ja niiden SSL-VPN-etäyhteyksiin. Kansainvälisten tietoturvayhtiöiden mukaan kampanja on ulottunut lähes 200 maahan ja koskettanut kymmeniätuhansia internetiin avoinna olevia laitteita.

Kampanja ei perustu yksittäiseen ohjelmistovirheeseen, vaan tapaan, jolla osa FortiGate-laitteista on aiemmin tallentanut ylläpitäjien salasanoja. Vanhemmissa laiteohjelmistoversioissa salasanat tallennettiin muodossa, jonka nykyaikaisilla työkaluilla pystyy murtamaan verrattain helposti. Tietoturvayhtiö Arctic Wolfin mukaan uudemmat versiot käyttävät vahvempaa suojausta, mutta päivityksen jälkeen vanhat tunnukset säilyvät heikommassa muodossa, kunnes ylläpitäjä kirjautuu sisään uudelleen.

Näin hyökkäys etenee

Hyökkääjät kartoittavat internetistä avoinna olevia laitteita, varastavat niiden asetustiedostot ja erottavat niistä salasanat. SOCRadarin mukaan murrettuja palomuureja on käytetty myös tarkkailuasemina, joiden kautta on kerätty lisää VPN-yhteyksien tunnuksia. Käytännössä yhden laitteen vaarantuminen voi avata pääsyn organisaation sisäverkkoon.

Kyberturvallisuuskeskus on kertonut olleensa yhteydessä Suomessa vaarantuneisiin organisaatioihin ja antaneensa niille toimintaohjeita. Vaarantuneiden organisaatioiden nimiä tai toimialoja ei ole julkistettu.

Näin organisaatio voi suojautua

Fortinet-laitteita käyttävien organisaatioiden kannattaa toimia nopeasti:

  • Vaihda kaikki ylläpito- ja VPN-tunnukset välittömästi – jo vuotaneet salasanat on syytä olettaa murretuiksi.
  • Ota käyttöön monivaiheinen tunnistautuminen kaikilla ylläpito- ja etäyhteystileillä.
  • Rajaa hallintaliittymän käyttö vain luotettuihin sisäverkkoihin, ei avoimeen internetiin.
  • Pakota ylläpitäjät kirjautumaan uudelleen laiteohjelmiston päivityksen jälkeen.
  • Päivitä laiteohjelmistot ja seuraa Kyberturvallisuuskeskuksen haavoittuvuustiedotteita.

Keskus muistuttaa, että tunnusten vuotaminen on yksi yleisimmistä reiteistä laajempiin tietomurtoihin. Vahva tunnistautuminen ja hallintaliittymien rajaaminen ovat tehokkaimpia keinoja pienentää riskiä.