Fortinet ließ eigene Daten auf einem ungeschützten Cloud-Laufwerk zurück – ein Hacker verkaufte 440 GB davon

Mitte Januar 2025 begann ein Bedrohungsakteur mit dem Decknamen „Fortibitch“, in einem Hackerforum zu posten und zu behaupten, rund 440 GB an Daten von Fortinet gestohlen zu haben, einem der weltweit größten Anbieter von Netzwerksicherheit. Der Akteur gab an, die Beute – „Fortileak“ genannt – sei von einem bei Microsoft Azure gehosteten SharePoint-Dateilaufwerk abgezogen worden, das Fortinet als gemeinsam genutzte, externe Dateispeicherplattform verwendete, und bot die Daten zum Verkauf an, nachdem er kleine Beispieldateien als Beweis veröffentlicht hatte.

Fortinet bestätigte den Eindringling mit einem ungewöhnlichen Eingeständnis: Das Unternehmen teilte seinen Kunden mit, eine „begrenzte“ Datenmenge sei von „einem einzelnen Bedrohungsakteur“ über ein cloudbasiertes, gemeinsam genutztes Dateilaufwerk eines Drittanbieters abgerufen worden, und der Angreifer habe die Dateien anschließend veröffentlicht und verkauft. Der eigene PSIRT-Blog des Unternehmens spielte das Ausmaß herunter und argumentierte, die Behauptung des Akteurs von 440 GB sei irreführend, da das Laufwerk eine Mischung aus Mitarbeiter- und Kundendaten enthielt, teils Duplikate, und erklärte, der Vorfall betreffe nur einen Bruchteil eines Prozents der Kunden.

Bemerkenswert war die Verletzung vor allem wegen des Betroffenen: eines Unternehmens, dessen gesamte Produktpalette genau das verhindern soll. Fortinet verkauft Firewalls und Sicherheitssoftware an Zehntausende von Organisationen, und seinen Kunden musste mitgeteilt werden, dass ein Anbieter, dem sie ihre Verteidigungsinfrastruktur anvertrauen, seine eigenen Dokumente nicht unter Verschluss halten konnte. Das Unternehmen erklärte, einen externen Ermittler eingeschaltet, dem Angreifer den Zugang entzogen und gewarnt zu haben, dass die geleakten Daten für Social-Engineering- oder Phishing-Angriffe gegen seine Kunden genutzt werden könnten.

Fortinet ließ seine eigenen Dateien auf einem ungeschützten Azure-SharePoint-Laufwerk zurück; ein Hacker verkaufte 440 GB – ein Beweis dafür, dass der Firewall-Anbieter seinen eigenen Maßstab nicht erfüllte.

Fortinet speicherte kundenbezogene und Unternehmensdokumente auf einem extern gehosteten Cloud-Laufwerk, auf das ein einzelner Bedrohungsakteur zugreifen und das er exfiltrieren konnte.

Der Sicherheitsanbieter wandte auf seinen eigenen Dateispeicher nicht dieselbe Segmentierung und Zugriffskontrolle an, die er seinen Kunden verkauft.

Der Vorfall wurde durch den Forenbeitrag des Angreifers öffentlich, nicht durch Fortinets eigene Offenlegung, sodass das Unternehmen stets nur reagierte.

Ein Sicherheitsunternehmen wird an demselben Maßstab gemessen, den es verkauft. Wenn auf Ihr eigenes gemeinsam genutztes Cloud-Laufwerk ein einzelner Außenstehender zugreifen kann, leistet die Firewall, die Sie verkaufen, weniger als die, die Sie selbst betreiben.

Fortinet bestätigte die Verletzung gegenüber Kunden, schaltete forensische Ermittler ein, entzog dem Angreifer den Zugang und warnte, dass geleakte Materialien genutzt werden könnten, um Kunden mit Phishing anzugreifen. Die Persona „Fortibitch“ und der „Fortileak“-Dump wurden in Sicherheitskreisen zum Synonym für die Peinlichkeit eines Anbieters, dessen eigenes Haus nicht in Ordnung war – und eine Erinnerung daran, dass die Speicherebene oft der weichste Teil selbst des Besitzstands eines Sicherheitsanbieters ist.