骇客公布50万组Fortinet VPN用户账号与密码，74个国家受影响，台湾第二严重

资安媒体BleepingComputer在9月8日发现，骇客于暗网中免费公布了近50万组的Fortinet VPN使用者账号与密码，涉及逾1.2万台VPN装置，同一天Fortinet也指出，有骇客公布了8.7万台FortiGate SSL-VPN装置的存取账号与密码。

目前并不确定BleepingComputer或Fortinet所看到的是否为同一批资料，但相信皆是由CVE-2018-13379漏洞所造成的。

值得注意的是，资安业者AdvIntel指出，根据这批揭露的Fortinet VPN SSL列表显示，74个国家受影响。其中，受影响最严重的前五大国家，分别是印度（11%）、台湾（8.45%）、意大利（7.96%）、法国（6.15%）与墨西哥（5.01%）。台湾位居第二严重，值得国内企业注意，至今仍未妥善因应的用户应尽速采取行动。

关于CVE-2018-13379漏洞，这是一个预先授权的任意档案读取漏洞，允许骇客存取FortiOS上所存放的明文密码，是由台湾资安公司戴夫寇尔（Devcore）所发现，而Fortinet也早在2019年5月就修补了该漏洞。

然而，CVE-2018-13379却一直是骇客的热门攻击目标，在2020年身居全球前四大热门漏洞，去年11月还有人揭露近5万笔未修补CVE-2018-13379漏洞的装置名单，即便到了今年4月，该漏洞还成为Cring勒索软件的攻击目标。

Fortinet更是分别在2019年8月、2020年7月、今年4月与今年6月，多次提醒用户修补。

值得注意的是，就算使用者已经修补了CVE-2018-13379漏洞，若是在修补之前就曾遭到入侵，所存放的使用者账号与密码也已经外泄，因此，最安全的办法是在修补之后重设所有的密码，并启用双因素认证，以避免外泄凭证遭到滥用。