Chiến dịch đánh cắp thông tin đăng nhập FortiBleed bị liên kết với INC và ransomware Lynx
"Researchers linked the FortiBleed credential-theft campaign to INC and Lynx ransomware operations, indicating stolen Fortinet credentials were likely used to support later intrusions. The campaign involved harvesting VPN and authentication data from compromised FortiGate devices, affected more than 430,000 firewalls with about 19,000 initially compromised, and may have included exploitation of an undisclosed Nextcloud zero-day; no public fix details were provided in the article."
Nguy cơ cao do đánh cắp VPN/credential và khả năng dùng lại thông tin để mở rộng xâm nhập; bằng chứng liên quan trực tiếp tới hạ tầng Lynx/INC làm tăng mức độ tin cậy của chuỗi tấn công. Điểm cần chú ý: FortiGate Sniffer, tài khoản backdoor “adminin”, và phạm vi ảnh hưởng lớn tới 430.000 thiết bị.
Tác động đáng kể tới vận hành do rủi ro bị xâm nhập tiếp theo và gián đoạn do ransomware; dữ liệu bị thu thập có thể trùng lặp với các tổ chức xuất hiện trên trang rò rỉ của INC. Điểm cần chú ý: số lượng thiết bị bị ảnh hưởng lớn (hàng trăm nghìn), và khả năng phải xử lý khẩn IOC/khôi phục khóa giải mã.
Các nhà nghiên cứu cho biết chiến dịch FortiBleed đánh cắp thông tin đăng nhập từ thiết bị FortiGate có liên quan đến hoạt động của nhóm INC và ransomware-as-a-service Lynx. Theo phân tích, thông tin đăng nhập Fortinet bị đánh cắp nhiều khả năng được sử dụng để mở rộng xâm nhập vào các mạng mục tiêu trong các giai đoạn sau.
Đầu tháng 7/2026, một máy chủ chứa dữ liệu bị đánh cắp từ hơn 73.000 thiết bị Fortinet đã được phát hiện lộ ra trên Internet. Dữ liệu gồm tệp cấu hình FortiGate, thông tin đăng nhập thu thập từ thiết bị bị xâm nhập, cùng hạ tầng phục vụ bẻ khóa hash và credential-stuffing.
Điều tra tiếp theo từ SOCRadar cho thấy kẻ tấn công dùng công cụ tự phát triển “FortiGate Sniffer” để bắt lưu lượng và trích xuất VPN credentials cùng dữ liệu xác thực khác trực tiếp từ gói tin mạng. Nhóm cũng phát hiện bằng chứng truy cập bảng điều khiển đàm phán của cả Lynx/INC từ hạ tầng FortiBleed, cho thấy khả năng có cùng tác nhân vận hành.
Ước tính chiến dịch nhắm tới hơn 430.000 firewall FortiGate và triển khai sniffer trên khoảng 19.000 thiết bị; sau khi thông báo, con số còn khoảng 11.000. Các nhà nghiên cứu cũng nghi ngờ khai thác Nextcloud zero-day chưa công bố chi tiết và ghi nhận tài khoản backdoor bền vững với tên người dùng “adminin”. Khuyến nghị: rà soát thiết bị FortiGate lộ thông tin, kiểm tra dấu hiệu sniffer, thu thập IOC, và ưu tiên khôi phục/điều tra khả năng bị lộ khóa giải mã ransomware.