Хакеры опубликовали конфиденциальные данные VPN для 15 000 устройств FortiGate
Хакерская группа Belsen Group, недавно появившаяся на рынке киберпреступлений, разместила на даркнет-ресурсе конфиденциальные файлы с данными о более чем 15 000 устройствах FortiGate. Среди обнародованных сведений — конфигурации систем, IP-адреса и учётные данные VPN. Эта утечка открывает доступ к огромному объёму чувствительной информации, представляющей серьёзный интерес для злоумышленников.
Группа Belsen Group впервые заявила о себе в январе 2025 года, начав активно продвигать свои действия в социальных сетях и на специализированных форумах. Для демонстрации своих возможностей группа создала веб-платформу в сети Tor, где и разместила архив данных, предоставив свободный доступ другим киберпреступным группировкам.
Согласно заявлениям, опубликованным на платформе, злоумышленники позиционируют эту утечку как свою первую крупную операцию, направленную на привлечение внимания и закрепление имени группы в сообществе. В архиве, объём которого составляет 1,6 ГБ, содержатся данные, организованные по странам. Каждая из папок дополнительно разделена на подпапки, соответствующие IP-адресам устройств FortiGate.
Киберэксперт Кевин Бомонт отметил, что каждому из IP-адресов сопутствуют файлы configuration.conf, содержащие настройки устройств, а также vpn-passwords.txt, где часть паролей представлена в незашифрованном виде. В файлах обнаружены такие чувствительные данные, как приватные ключи и настройки межсетевого экрана.
Кевин Бомонт в своём блоге уточнил, что утечка может быть связана с уязвимостью CVE-2022–40684, обнаруженной в 2022 году. Эта брешь в безопасности использовалась злоумышленниками до того, как производитель выпустил патч.
По словам эксперта, он лично столкнулся с последствиями атаки на одном из устройств пострадавшей организации. Анализ показал, что действия злоумышленников действительно основывались на указанной уязвимости. Более того, данные из опубликованного дампа совпадали с информацией, обнаруженной на атакованном устройстве.
Как отмечается в отчёте, сбор данных происходил в октябре 2022 года, то есть в период, когда уязвимость ещё не была закрыта. Почему хакеры решили обнародовать архив спустя два года, остаётся неизвестным.
