Fortinet, 자사 데이터를 무단 클라우드 드라이브에 방치 — 해커가 그중 440GB를 판매

2025년 1월 중순, 'Fortibitch'라는 핸들을 사용하는 위협 행위자가 해커 포럼에 글을 올리기 시작하며 세계 최대 네트워크 보안 벤더 중 하나인 Fortinet에서 약 440GB의 데이터를 탈취했다고 주장했다. 이 행위자는 'Fortileak'이라 명명된 이번 유출물이 Fortinet이 공유 외부 파일 저장 플랫폼으로 사용하던 Microsoft Azure 호스팅 SharePoint 파일 드라이브에서 빼낸 것이라고 말했으며, 증거로 소량의 샘플 파일을 게시한 뒤 데이터를 판매하겠다고 제안했다.

Fortinet은 이례적인 인정으로 침입을 확인했다. 회사는 고객들에게 '제한적인' 양의 데이터가 제3자 클라우드 기반 공유 파일 드라이브를 통해 '개별 위협 행위자'에 의해 접근되었고, 그 공격자가 이후 파일을 게시하고 판매했다고 밝혔다. 회사 자체 PSIRT 블로그는 규모를 축소하려 하며, 해당 드라이브에 직원과 고객 데이터가 섞여 있었고 일부는 중복이었기 때문에 행위자의 440GB 주장은 오해를 부른다고 주장했으며, 이 사건은 고객의 1퍼센트 중 일부에만 영향을 미쳤다고 말했다.

이번 침해는 주로 누구에게 일어났는지 때문에 주목할 만했다. 바로 이런 일을 막기 위해 제품군 전체가 존재하는 회사였다. Fortinet은 수만 개 조직에 방화벽과 보안 소프트웨어를 판매하며, 고객들은 자신의 방어 인프라를 맡긴 벤더가 자사 문서조차 안전하게 지키지 못했다는 통보를 받아야 했다. 회사는 제3자 조사관을 투입하고 공격자의 접근 권한을 취소했으며, 유출된 데이터가 고객을 대상으로 한 사회공학 공격이나 피싱 공격에 사용될 수 있다고 경고했다고 밝혔다.

Fortinet은 자사 파일을 무단 Azure SharePoint 드라이브에 방치했고, 해커가 440GB를 판매했으며, 이는 방화벽 벤더가 자사 기준을 스스로 지키지 못했음을 보여준다.

Fortinet은 고객 관련 문서와 기업 문서를 단일 위협 행위자가 접근하고 유출할 수 있는 외부 호스팅 클라우드 드라이브에 저장했다.

이 보안 벤더는 고객에게 판매하는 것과 동일한 분할 및 접근 제어를 자사 파일 저장소에는 적용하지 않았다.

이 사건은 Fortinet 자체의 공개가 아니라 공격자의 포럼 게시글로 세상에 알려졌기에, 회사는 내내 대응에 나서는 입장이었다.

보안 회사는 자기가 판매하는 것과 동일한 기준으로 평가받는다. 자사의 공유 클라우드 드라이브가 외부인 한 명에게 접근 가능하다면, 판매하는 방화벽은 자사가 운영하는 방화벽보다 하는 일이 적은 것이다.

Fortinet은 고객들에게 침해를 확인하고 포렌식 조사관을 투입했으며 공격자의 접근 권한을 취소했고, 유출된 자료가 고객을 겨냥한 피싱에 사용될 수 있다고 경고했다. 'Fortibitch'라는 인물과 'Fortileak' 유출물은 보안 업계에서 자사 집안이 정돈되지 않은 벤더의 곤혹스러움을 가리키는 약칭이 되었으며, 보안 벤더의 자산에서도 저장 계층이 종종 가장 취약한 부분이라는 점을 상기시켜 주었다.