대상 독자: 사내에서 FortiGate(Fortinet의 방화벽 및 VPN 장비)를 직접 운영하거나 외부 업체에 운영을 맡긴 모든 분. 이 페이지는 Fortinet, CISA, JPCERT/CC, 싱가포르 CSA, FBI, 미국 비밀경호국의 공개 정보를 바탕으로 작성되었습니다. 공격 방식을 다루지 않으며 공격자의 IP 주소도 나열하지 않습니다.
続報待ち：この記事は公式発表に合わせて更新します
2026년 10월 26일 기준(JST)まだ分かっていないこと
- 자격 증명이 처음 어떻게 확보되었는지(Fortinet은 이전 사고의 재사용과 무차별 대입 공격으로 봄)
- 일본에서 영향을 받은 조직의 수와 해당 조직
- Fortinet의 고객 직접 연락 진행 상황
CISA는 6월 18일, Fortinet은 6월 19일, JPCERT/CC는 6월 23일에 발표했습니다. 10월 6일 FBI와 미국 비밀경호국은 공격이 계속되고 있다고 경고했습니다. 새로운 정보가 공개되면 이 페이지를 업데이트하겠습니다.
오늘 해야 할 일
관리자 및 VPN 세션을 종료한 뒤 비밀번호를 변경하십시오
활성 상태인 모든 관리자 및 SSL VPN 세션을 종료하십시오. 그다음 모든 관리자 및 VPN 비밀번호를 변경하십시오. 특히 인터넷에 노출된 장비를 우선하십시오(Fortinet, CISA, FBI). 같은 비밀번호를 다른 서비스에도 사용했다면 그 비밀번호도 변경하십시오(이 사이트의 권장 사항).
다단계 인증을 적용하십시오
모든 관리자 및 VPN 계정에 다단계 인증을 활성화하십시오. CISA와 FBI는 피싱에 강한 방식(패스키와 하드웨어 보안 키가 해당)을 요구합니다. 선택 방법은 MFA를 올바르게 고르는 방법을 참고하십시오.
관리 인터페이스를 인터넷에서 분리하십시오
FBI는 세 가지 수준을 제시합니다. 신뢰할 수 있는 호스트로 접근을 제한하는 것(좋음), 로컬 인바운드 정책(local-in policy)으로 제한하는 것(더 좋음), 인터넷에서의 관리 접근을 완전히 제거하는 것(최선)입니다. 최선을 목표로 하십시오.
펌웨어를 업그레이드하고 PBKDF2만 남기십시오
Fortinet은 최신 7.4, 7.6 또는 8.0 릴리스를 권장합니다. PBKDF2(해독이 느린 비밀번호 저장 방식)는 7.2.11, 7.4.8, 7.6.1부터 사용할 수 있습니다. 비밀번호를 변경해도 설정에는 레거시 SHA-256 사본이 남으므로 Fortinet의 기술 안내에 따라 이를 제거하십시오. 방법은 아래 섹션에서 설명합니다.
설정과 계정을 점검하십시오
설정을 알려진 정상 사본과 비교하고, 알 수 없는 관리자 계정, VPN 사용자 및 변경 사항을 확인하십시오. Fortinet은 자사 지원팀을 모방한 이름의 계정(예: forticloud)을 주시하라고 요청합니다. FBI는 REST API 키를 검토하고 알아보지 못하는 키를 삭제하라고 요청합니다.
로그를 검토하십시오
관리자 로그인, 설정 내보내기, VPN 로그인 출처를 확인하십시오. FortiGate가 Active Directory 또는 LDAP와 연동되어 있다면 연동 계정이 탈취되었다고 가정하고 도메인 컨트롤러 로그도 검토하십시오(Fortinet, JPCERT/CC). 이상 징후가 있으면 장비를 격리하고 기록을 보존한 뒤 Fortinet 지원팀 또는 국가 CERT에 문의하십시오.
영향을 받았나요? 간단한 점검
| 상황 | 이 사이트의 평가 |
|---|---|
| FortiGate 관리 인터페이스 또는 SSL VPN에 인터넷에서 접근할 수 있음 | 영향을 받은 것으로 간주하고 위의 모든 단계를 수행하십시오 |
| 펌웨어가 이미 수정된 버전임 | 비밀번호는 여전히 변경해야 합니다(자격 증명이 유출됨) |
| 7.2.11, 7.4.8 또는 7.6.1 이전 버전을 사용 중임 | PBKDF2를 사용할 수 없으므로 7.4 이상으로 업그레이드를 계획하십시오 |
| 조회 도구에서 발견되지 않음 | 안심의 근거로 삼지 마십시오(외부 업체가 등록한 경우 귀사의 도메인으로 나타나지 않을 수 있음) |
| 외부 업체가 장비를 운영함 | 비밀번호가 변경되었고 MFA가 켜져 있으며 로그가 검토되었는지 업체에 확인하십시오 |
| 다른 회사와 사이트 간 VPN을 사용함 | 상대 측이 침해될 경우의 영향을 검토하십시오(JPCERT/CC) |
무슨 일이 있었나요(공공기관 및 Fortinet 발표 기준)
2026년 6월 18일
CISA는 전 세계 보고에 따라 약 74,000대의 Fortinet 장비(방화벽 및 VPN 게이트웨이)와 관련된 자격 증명이 유출되었다고 언급하며 조직들에 Fortinet 장비 보안 강화를 촉구했습니다. 6월 22일에는 Fortinet 안내 링크를 추가했습니다.2026년 6월 19일
Fortinet은 분석 결과를 발표했습니다. 새로운 취약점이 아니다라고 밝혔고, 이 활동이 이전 사고의 자격 증명 재사용과 MFA가 없고 약한 비밀번호를 쓰는 장비에 대한 무차별 대입 공격을 포함할 가능성이 크다고 했습니다. 잠재적으로 영향을 받은 고객에게 연락하고 있다고도 밝혔습니다.2026년 6월 22일
싱가포르 사이버보안청(CSA)은 70,000대 이상의 FortiGate 장비의 자격 증명이 유출되었다고 경고했습니다.2026년 6월 23일
JPCERT/CC가 주의 공지(JPCERT-AT-2026-0019)를 발표하고, 유출된 데이터에 일본 기업과 관련된 정보가 포함되어 있다고 확인했다고 밝혔습니다.2026년 10월 6일
FBI와 미국 비밀경호국이 공동 권고(JCSA-20261006-01)를 발표했습니다. 활동이 계속되고 있으며, 일부 관리자가 차단되었고, 이 접근이 랜섬웨어의 침투 경로로 사용되었다고 밝혔습니다.
- 유형
- 유출된 자격 증명과 이를 이용한 로그인. 새로운 CVE 없음(Fortinet은 새로운 취약점이 아니라고 밝힘)
- 대상
- 인터넷에 노출된 FortiGate 방화벽 및 SSL VPN 게이트웨이
- 규모
- CISA: 약 74,000대. FBI와 JPCERT/CC는 민간 보안 기업이 집계한 194개국 86,644대 이상이라고 인용함
- Fortinet의 견해
- 새로운 취약점이 아님. 이전 사고(Fortinet 권고 FG-IR-26-060 및 FG-IR-25-647)의 자격 증명 재사용과 무차별 대입 공격
- FBI의 설명
- 유출된 자격 증명과 인포스틸러 로그를 이용한 로그인, 장비에서 가져온 비밀번호 해시의 오프라인 해독, 접근 유지를 위해 생성된 새 관리자 계정
- 일본
- JPCERT/CC는 유출된 데이터에 일본 기업과 관련된 정보가 포함되어 있다고 확인함
Fortinet이 이전 사고로 인용한 두 권고는 FortiCloud 싱글 사인온(SSO)의 인증 우회 취약점을 다룹니다(FG-IR-25-647: CVE-2025-59718 및 CVE-2025-59719, FG-IR-26-060: CVE-2026-24858). 두 취약점 모두 악용된 사례가 알려져 있습니다. Fortinet은 고객에게 해당 권고의 조치 사항을 완료했는지 확인하도록 요청합니다. FortiOS의 경우 FG-IR-26-060은 7.6.6, 7.4.11, 7.2.13, 7.0.19에서 수정되었습니다.
업그레이드만으로 끝나지 않는 이유
이 점이 이 사이트가 가장 강조하고 싶은 부분입니다. 취약점은 보통 수정 버전을 설치하면 해결되지만, 이번에는 유출된 것이 비밀번호 자체입니다. 이전 결함이 열려 있던 동안 설정 파일이나 자격 증명이 탈취되었다면, 업그레이드 후에도 그 비밀번호는 계속 작동합니다.
JPCERT/CC는 FortiGate 설정 파일에 관리자 비밀번호의 해시(직접 역산할 수 없도록 변환된 값)가 들어 있으므로, 설정 파일이 탈취되었다면 장비에 접근하지 않고도 비밀번호를 오프라인에서 해독할 수 있다고 설명합니다. FBI도 재사용된 자격 증명과 레거시 SHA-256 저장 방식 때문에 공격자가 인증 데이터를 대규모로 수집하고 해독할 수 있었다고 말합니다.
충분하지 않음
- 펌웨어는 업그레이드했지만 비밀번호는 그대로임
- 비밀번호는 변경했지만 레거시 사본이 남아 있음
- MFA가 없고 관리 인터페이스가 인터넷에 열려 있음
- FortiGate는 수정했지만 연결된 Active Directory는 확인하지 않음
이 정도는 해야 함
- 모든 관리자, VPN 및 연동 계정의 비밀번호를 변경함
- 레거시 사본을 제거해 PBKDF2만 남김
- MFA를 적용하고 관리 인터페이스를 차단함
- 계정, API 키 및 로그를 점검함
1. 자격 증명 유출
이전 사고, 재사용, 무차별 대입
2. 관리자 또는 VPN 로그인
차단 방법: MFA, 관리 인터페이스 차단
3. 내부 확산
차단 방법: 계정과 로그 점검, AD 연동 검토
레거시 비밀번호 사본 제거하기(PBKDF2만 남기기)
Fortinet의 기술 안내에 따르면 PBKDF2는 7.2.11, 7.4.8, 7.6.1부터 사용할 수 있습니다. 그 이전 버전은 SHA-256을 저장합니다. 업그레이드 후에는 각 관리자의 비밀번호가 해당 관리자가 한 번 로그인할 때까지 SHA-256으로 남아 있습니다.
또한 비밀번호를 변경한 뒤에도 이전 SHA-256 해시는 하위 호환성을 위해 설정의 숨겨진 필드(old-password)에 남습니다. 로그인해도 제거되지 않습니다. 이를 제거하려면 모든 관리자가 새 버전에서 로그인한 뒤(로그인하지 않은 관리자는 비밀번호가 변경된 상태여야 함), Fortinet 안내에 따라 설정을 켜야 합니다(7.6 이상은 login-lockout-upon-weaker-encryption, 7.2 및 7.4는 login-lockout-upon-downgrade).
켜기 전에 확인하십시오
Fortinet 안내에 따르면 이 설정을 켠 뒤 PBKDF2를 지원하지 않는 버전으로 다운그레이드하면 관리자가 차단됩니다. 모든 관리자가 로그인했거나 비밀번호를 변경했고, 다운그레이드 계획이 없을 때만 켜십시오.
비밀번호 저장 방식의 차이는 비밀번호 해싱이란 무엇인가?를 참고하십시오.
관리자 차단을 당했거나 침해가 의심될 때
FBI는 공격자가 새 관리자 계정을 만든 뒤 원래 관리자 계정을 삭제하거나 비밀번호를 변경해 소유자를 차단한 사례를 설명합니다. 비밀번호 재설정만으로는 복구되지 않습니다.
침해가 의심되면 FBI는 조치 전에 장비를 격리하고 로그, 설정 및 기타 기록을 수집할 것을 요청합니다. Fortinet은 장비를 침해된 것으로 간주하고 복구 안내를 따르라고 밝혔습니다. 싱가포르 CSA는 지속성이 의심되면 먼저 기록을 수집한 뒤 공장 초기화를 고려하라고 제안합니다. 초기화하면 기록이 사라지기 때문입니다.
이것이 랜섬웨어로 이어지는 경우에 대해서는 랜섬웨어란 무엇인가?를 참고하십시오. VPN 장비를 전반적으로 방어하는 방법은 VPN 장비와 원격 접속을 방어하는 방법을 참고하십시오.
아직 알려지지 않은 사항
| 항목 | 상태 |
|---|---|
| 새로운 취약점인지 여부 | 새로운 취약점이 아님(Fortinet) |
| 공격이 계속되는지 여부 | 계속되고 있음(FBI 및 미국 비밀경호국, 10월 6일) |
| 자격 증명이 처음 어떻게 확보되었는지 | Fortinet은 이전 사고의 재사용과 무차별 대입 공격으로 봄. 완전히 규명되지 않음 |
| 유출된 데이터가 아직 사용 가능한지 여부 | JPCERT/CC는 일부 연구자가 여전히 유효한 자격 증명이 포함되어 있을 수 있다고 지적하며, 단순히 재유포된 오래된 데이터로만 취급해서는 안 된다고 말함 |
| 일본의 영향을 받은 조직 | 포함된 것으로 확인됨(JPCERT/CC). 수와 이름은 공개되지 않음 |
| 그로 인한 사고 건수(랜섬웨어 등) | 공개되지 않음 |
공공기관과 Fortinet 모두 영향을 받은 조직의 이름을 밝히지 않았습니다. 이 사이트는 특정 조직에 대해 추측하지 않습니다.
출처
- Fortinet PSIRT, "Analysis of Reported Credential Compromise of FortiGate Devices"(2026년 6월 19일) — fortinet.com
- Fortinet, "Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later" — community.fortinet.com
- Fortinet, "FG-IR-26-060"(CVE-2026-24858) — fortiguard.com / "FG-IR-25-647"(CVE-2025-59718, CVE-2025-59719) — fortiguard.com
- CISA, "CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure"(2026년 6월 18일, 6월 22일 수정) — cisa.gov
- JPCERT/CC, Fortinet 제품 관련 유출 자격 증명 주의 공지(JPCERT-AT-2026-0019, 2026년 6월 23일, 일본어) — jpcert.or.jp
- 싱가포르 CSA, "Advisory on Credential Compromise of FortiGate Devices ("FortiBleed")"(AD-2026-007, 2026년 6월 22일) — csa.gov.sg
- FBI 및 미국 비밀경호국, "FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts"(JCSA-20261006-01, 2026년 10월 6일) — ic3.gov
변경 기록
2026-10-26: Fortinet, CISA, JPCERT/CC, 싱가포르 CSA, FBI 및 미국 비밀경호국의 발표를 바탕으로 한 첫 번째 버전.
다음으로 읽을거리
- 노출된 장비 방어: VPN 장비와 원격 접속을 방어하는 방법
- 비슷한 시기에 악용된 엣지 장비 취약점: 2026년 10월 중순 악용된 엣지 장비 취약점
- 동향: 2026년 침해 사고는 취약점보다 유효한 자격 증명을 더 많이 악용함
- MFA: MFA를 올바르게 고르는 방법
- 용어: 비밀번호 해싱이란 무엇인가? / 랜섬웨어란 무엇인가?