FBI·미 비밀경호국 FortiBleed 경고…FortiGate 노출 시스템에 지금 필요한 조치

이번 경고는 단일 신규 취약점 공지가 아니다

공동 권고 JCSA-20261006-01에 따르면 FortiBleed는 인터넷에 노출된 FortiGate 방화벽과 SSL VPN 게이트웨이를 상대로 하는 자격증명 침해 캠페인이다. 과거 유출 계정과 재사용 암호를 동원하고, 구형 SHA-256 기반 저장 방식으로 얻은 인증 데이터를 오프라인에서 분석한 정황이 설명된다.

86,644대와 194개국: 통계의 의미

권고는 보안업체 SOCRadar가 194개국에서 86,644대가 넘는 침해 기기를 확인했다고 인용한다. 이 수치는 해당 출처가 파악한 규모이지 현재 인터넷에 연결된 모든 FortiGate의 감염률이나 국내 피해 수치를 뜻하지 않는다.

조직 입장에서는 전 세계 수치보다 현재 장비의 관리 인터페이스가 외부에 노출돼 있는지, 원격접속 계정이 재사용된 적이 있는지, 접근 로그를 얼마나 보존하는지가 우선적인 판단 기준이다.

어떤 버전이면 안전하다는 결론은 성급하다

이번 공동 권고는 자격증명 탈취와 관리자 접근 악용이라는 복합 경로를 다룬다. FortiOS의 패치 상태를 최신 보안 권고와 대조해야 하지만 특정 버전이 모든 상황에서 안전하다는 단일 기준은 공동 권고만으로 제시할 수 없다.

다만 권고는 FortiOS 7.2.11 이상에서 관리 자격증명 저장에 PBKDF2 사용을 확인하도록 관련 기술 지침을 안내한다. 이를 모든 장비에 대한 완전한 면역 버전이라는 뜻으로 받아들여서는 안 된다.

침해 흔적: 새 관리자 계정과 접속 기록을 함께 본다

공동 권고는 공격자가 침입 후 새 관리 계정을 만들고, 정상 관리자의 암호를 바꾸거나 계정을 삭제해 관리자를 잠그는 사례를 언급한다. 방화벽·VPN·인증·도메인 컨트롤러 로그에서 평소와 다른 시간대의 접근, 비정상적 계정 생성, 불명확한 설정 변경, 이전에 보지 못한 API 키를 조사한다.

즉각적인 완화 조치의 우선순위

관리 인터페이스의 인터넷 직접 노출을 없애거나 신뢰 호스트 및 local-in 정책으로 제한한다. 필요 시 사고 대응 절차에 따라 활성 관리자·VPN 세션을 종료하고 자격증명을 교체하며, 원격접속과 관리자 계정에 피싱 저항성 MFA를 적용한다. 계정과 설정 파일을 정상 기준선과 비교하고 불필요하거나 알 수 없는 REST API 키를 재검토한다.

현재 침해가 의심된다면 로그·이미징·증거 보존과 격리 계획을 먼저 수립하고, 순서 없는 계정 삭제나 장비 초기화로 증적을 잃지 않도록 내부 사고 대응팀과 조율해야 한다.

랜섬웨어 연계까지 고려한 대응

공동 권고는 초기 접근 브로커가 탈취한 접근 권한을 후속 공격자에게 제공하고, INC/Lynx 및 Payload 랜섬웨어 관련 사례로 이어진 정황을 명시한다. 방화벽 장비만 확인하고 끝낼 문제가 아니라 내부 계정·디렉터리 서비스·원격접속 후 이동 흔적까지 범위를 넓혀야 한다.

장비 복구와 함께 계정 재발급, 네트워크 분리, 로그 보존, 내부망 조사와 재발 방지 검증을 묶은 사고 대응 계획이 필요하다.