FortiBleed 심층 분석: 방화벽 자격증명 유출이 랜섬웨어·국가 표적으로

무슨 일이 벌어졌나

2026년 6월 13일, 보안 연구자 Volodymyr “Bob” Diachenko가 공격자가 실수로 인터넷에 열어둔 서버를 발견했습니다. 그 안에는 검증된 FortiGate 관리자·SSL VPN 자격증명 데이터베이스와 함께 공격 도구, 스크립트, 로그가 그대로 담겨 있었습니다. 위협 인텔리전스 기업 Hudson Rock이 이 데이터를 분석해 FortiBleed로 명명했고, 독립 연구자 Kevin Beaumont가 여러 조직의 자격증명을 직접 검증해 실제로 유효함을 확인했습니다.

규모는 전례가 없습니다.

  • 73,932개의 고유 FortiGate 방화벽 URL, 21,632개 도메인, 194개국
  • 인터넷에 노출된 전 세계 Fortinet 방화벽의 약 절반
  • 검증된 실제 동작 자격증명 다수 포함, 상당수 장비는 여전히 온라인
  • 배후는 금전 목적의 러시아어권 초기 침투 브로커(IAB)로 분석

가장 주목할 점은 데이터가 조직 규모·매출·업종별로 정리돼 있었다는 것입니다. 이는 랜섬웨어 제휴 조직에 초기 접근 권한을 판매하기 위한 “카탈로그” 형태로, 이 유출이 개인의 장난이 아니라 상업적 공격 파이프라인의 일부임을 보여줍니다. FortiBleed는 취약점을 뚫는 공격이 아니라, 이미 유효한 FortiGate 관리자·VPN 자격증명이 대규모로 유출·검증된 사건입니다. 과거 유출 정보와 인포스틸러 로그의 자격증명 재사용, 무차별 대입, 그리고 설정 파일 추출·오프라인 해시 크래킹으로 조립된 동작하는 자격증명 데이터셋입니다. 194개국, 인터넷에 노출된 FortiGate의 약 절반이 영향권으로 보고되었습니다.

초기에는 “노출”에 그치는 듯 보였으나, 이후 조사에서 이 접근이 실제 피해로 이어진 것이 확인되었습니다. 공격자는 침해한 FortiGate에 커스텀 패킷 스니퍼를 심어 환경 전체의 NTLM·Kerberos 해시를 수집했고, 이를 랜섬웨어로 수익화했습니다. 즉 방화벽 침해가 내부 Active Directory 침해와 랜섬웨어로 직결되는 체인이 실증된 것입니다. 더 중요한 점은, 이것이 지금도 진행 중인 캠페인이라는 것입니다 — SOCRadar는 공격자 인프라가 여전히 살아 있고 새로운 피해자가 계속 추가되고 있다고 밝혔습니다.

피해 규모 — 숫자로 보는 FortiBleed

이 공격은 전 세계 약 150개국의 11,250개 FortiGate 포털을 대상으로 스캐닝 활동을 벌였습니다. 그중 409개 표적에서 관리자(Admin) 수준의 권한 획득이 확인되었으며, 354개 대상에 대해 최종 공격 체인을 성공시켰습니다. 이 권한을 바탕으로 최소 12건의 랜섬웨어 배포가 이루어져, 피해 기업의 수백 개 엔드포인트(PC 및 서버)가 암호화되었습니다.

전체 캠페인 규모로 보면 전 세계 430,000대의 FortiGate 방화벽을 노렸고, 약 1억 1,000만 개의 계정 정보를 수집한 것으로 추정됩니다. 초기 확인된 유효 자격증명은 약 30,791건이었으나, SOCRadar 텔레메트리 기준 침해 장비는 86,644대, 영향받은 기업 도메인은 22,000곳 이상으로 상향되었습니다(F5 Labs, 분석 종합).

글로벌 위협 인텔리전스 전수 조사 결과, 한국에서도 총 1,167개의 IP가 이 공격에 노출된 것으로 확인되었습니다. 특히 국내 피해 사이트들은 장비를 납품한 리셀러가 관리 편의상 설정한 접속 정보가 유출된 것으로 확인됨에 따라, 선의의 피해까지 우려되는 상황입니다.

랜섬웨어 연계 — “노출”이 “돈”이 되는 순간

SOCRadar는 FortiBleed 인프라에 접근 권한이 있는 한 공격자가 INC Ransom과 Lynx 두 랜섬웨어 그룹의 협상 패널에 동시에 로그인한 흔적을 발견했으며, INC Ransom이 공개한 피해자 목록이 이 캠페인 데이터와 겹쳤습니다. 이는 대규모 FortiGate 자격증명 탈취가 랜섬웨어 배포로 직접 연결된 첫 확인 사례로 평가됩니다(The Hacker News 보도). 앞서 언급한 대로 최소 12건의 랜섬웨어 공격이 이 접근에서 비롯된 것으로 연결되었습니다.

국가·정부 피해 — 첩보와 갈취의 경계가 흐려지다

이번 캠페인은 단순한 금전 범죄를 넘어 국가안보 사안의 성격을 띱니다.

NATO 방위 계약업체 침해. 가장 심각한 확인 사례는 튀르키예의 NATO 방위 계약업체로, 침해가 경계 방화벽을 넘어 내부망까지 확장되었고 기밀 방위 문서가 유출된 것으로 보고되었습니다(Hudson Rock 확인). 발견자 Diachenko는 일본·대만·베트남·이라크·튀르키예의 조직들이 전체 네트워크 침해를 당했다고 밝혔습니다(SOFX 종합 보도).

정부 표적의 편중. SOCRadar에 따르면 데이터셋 내 정부 피해자 중 인도가 60% 이상을 차지했고, 우크라이나·폴란드·대만 등 NATO 인접국이 다수 포함되었습니다. 러시아어권 운영자들이 NATO 연계 조직·정부기관·핵심 인프라를 우선 표적화한 정황이 있어, 순수 금전 동기를 넘어 첩보 목적이 병존할 가능성이 제기됩니다.

캠페인의 핵심 — “악성코드 없는 자격증명 파이프라인”

기존의 해킹 공격이 취약점을 뚫고 장비 내에 악성코드(페이로드)를 직접 실행시키는 방식이었다면, FortiBleed는 철저하게 기업의 ‘인증 열쇠(자격증명)’를 수집하고 이를 수익화하는 고도화된 워크플로우를 가지고 있습니다.

  • 초기 정찰 및 수집. 인터넷에 노출된 FortiGate 관리 포털 및 SSL VPN 게이트웨이를 대상으로 대규모 자격증명 스터핑과 패스워드 스프레이 공격을 감행합니다.
  • 구형 해시 추출. 멀웨어를 심는 대신, 장비 내에 남아 있는 구형 암호화 해시(Legacy Hashes)를 추출하여 오프라인 GPU 클러스터로 해독합니다.
  • 초고속 오프라인 크래킹. 탈취된 해시는 중앙 C2 서버로 전송되어, 45개의 고성능 GPU 클러스터를 통해 평문 비밀번호로 초고속 해독됩니다.
  • 내부 피보팅(Lateral Movement). 해독된 진짜 자격증명으로 내부 네트워크(Active Directory, SMB/DFS 등)에 정상 사용자처럼 로그인해, 대량의 기밀 서류를 유출하거나 랜섬웨어(Lynx, INC Ransom 등)를 배포합니다.
  • 자가 증식 루프. 한 번 뚫린 방화벽은 감청 거점이 됩니다. 그 장비를 지나는 트래픽에서 새 자격증명을 긁어내 다시 스캐너에 넣어 다음 장비를 침해합니다. 이 자기 강화 루프가 피해가 눈덩이처럼 불어난 이유입니다.
리셀러가 장비를 관리할 때의 위험

등록 계정 ≠ 소유자. CloudSEK는 FortiGuard 등록에 도메인 소유 검증이 없어, 등록 이메일이 실제 소유 조직이 아니라 그 장비를 등록한 MSP·통합사업자·유통사·계약업체를 가리킨다고 분석했습니다.

소수의 비밀번호가 광범위하게 재사용됩니다. 개별 비밀번호를 검색하면 소수의 문자열이 서로 무관한 수십 개 브랜드·지역에 반복 등장하는 심한 재사용이 드러났습니다. 이는 저희가 국내에서 정량화한 것과 정확히 같은 현상입니다.

국내 실측 — 한국 파트너 공급망 위생 정량화

저희는 위 담론이 국내에 어떻게 나타나는지를 공개 데이터셋으로 측정했습니다. 분석은 자격증명 값을 일절 사용·노출하지 않고, 비밀번호는 내부에서 해시로만 비교해 “몇 대가 같은 비밀번호를 공유하는가”라는 재사용 클러스터 크기로만 다루었습니다. 등록 도메인은 Fortinet 한국 공식 파트너 디렉터리와 대조해 검증했습니다.

  • Fortinet 한국 공식 파트너 42곳 중 29곳(약 69%)이 데이터셋에서 확인되었습니다.
  • 확인된 파트너의 노출 장비 중 약 84%가 동일 비밀번호 재사용 클러스터에 속했습니다.
  • 9곳 이상이 단일 비밀번호를 10대 이상 장비에 재사용했고, 13곳은 공용 계정(admin류) 비율이 50%를 넘었습니다.
  • 최대 사례에서 하나의 비밀번호가 91대 장비에 재사용되었습니다.

대응 권고

리셀러·MSP·통합사업자께서는 구축용 공용 관리자 계정을 폐지하고 고객·장비별 고유 자격증명을 사용하시기 바랍니다. 인수인계 시 설치업체 표준 계정을 제거하고, 원격 유지보수 계정에는 MFA와 접근 제한을 적용하며, FortiGuard 등록을 고객별로 분리하고 자사 계정으로 등록된 전 장비를 감사하시길 권장합니다.

최종 고객(파트너 납품 조직)께서는 “설치업체가 알아서 보안 설정했을 것”이라고 가정하지 않으셔야 합니다. 관리자·VPN 계정을 고유값으로 재설정하고, 관리 인터페이스를 인터넷에서 내리며, MFA를 강제해야 합니다.

규제·대응 기관에서는 개별 장비가 아니라 리셀러 단위로 통지·대응 범위를 확장하는 것이 효과적입니다. 하나의 리셀러 계정에 묶인 다수 고객을 한 묶음으로 다루고, 공공·정부망 연계 자산은 우선 식별·통지해야 합니다.

결론

FortiBleed는 새로운 공격 기법이 아니라, 오래된 공급망 위생 실패가 대규모로 드러난 사건입니다. Fortinet 등록의 소유 검증 부재라는 설계 공백과, 리셀러·MSP의 공용 자격증명 재사용이라는 관행이 만나, 랜섬웨어와 국가 표적으로까지 번졌습니다. 이미 튀르키예 NATO 방위 계약업체의 기밀 문서 유출과 다수 국가의 전면 침해가 확인되었고, 공격은 지금도 진행 중입니다. 대응은 개별 장비가 아니라 리셀러 단위로, 그리고 방화벽 계정이 아니라 AD를 포함한 전 비밀값 회전으로 확장되어야 합니다. 패치했다고 안심할 수 없으며, 노출되지 않았다고 안전한 것도 아닙니다.

출처 및 참고자료

admin

,