🚨 Fortinet SSL VPN, 사상 최대 무차별 대입 공격 급증! – 새로운 취약점 전조인가?

최근 Fortinet SSL VPN 장비를 노린 사상 최대 규모의 무차별 대입(Brute-force) 공격이 포착됐습니다.
보안 위협 인텔리전스 업체 GreyNoise에 따르면, 단 하루 동안 780개 이상의 고유 IP 주소에서 동시다발적인 로그인 시도가 감행되었으며, 이는 최근 몇 달 간 관측된 공격량 중 가장 높은 수치입니다.
이번 공격은 단순한 무차별 스캔이 아니라 정밀 타겟팅에 가까운 양상을 보였고, 향후 새로운 Fortinet 취약점 공개로 이어질 가능성도 높습니다.

---

📌 1. 무엇이 문제인가?

• 공격 대상: Fortinet SSL VPN, FortiOS, FortiManager FGFM 프로필
• 공격 특징:
  • 무작위 IP 스캐닝이 아니라 정확히 Fortinet 장비만 타겟
  • Hong Kong 🇭🇰, Brazil 🇧🇷 지역 집중 공격
  • 공격 패턴이 두 번의 뚜렷한 전환을 거침
  • 공격 인프라 일부가 주거용 네트워크 IP → Residential Proxy 가능성

---

📊 2. 공격 양상 분석

GreyNoise는 Fortinet SSL VPN Bruteforcer 탐지 시스템을 통해 비정상적으로 급증한 트래픽을 포착했습니다.

① 1단계 – 장기 지속형 공격

• 특징: 일정한 TCP 시그니처를 유지하며 지속적인 로그인 시도
• 목적: 계정·비밀번호 조합 수집 및 인증 우회 시도
• 형태: 저속·은밀한 방식으로 장기간 탐지 회피

② 2단계 – 전술 변화(8월 5일부터)

• 변경점:
  • 완전히 다른 TCP 시그니처 사용
  • 짧은 시간에 대량 요청 집중
  • 타겟 변경: FortiOS → FortiManager FGFM 프로필
• 의미: 동일 공격 그룹이 목표 확장 또는 다른 그룹과 도구 공유

---

🧠 3. 공격자들의 기술적 역량

• 서비스 전환 능력
  FortiOS에서 FortiManager로 타겟을 빠르게 전환, 동일 인프라 재사용
• 은폐 기술
  Residential Proxy 또는 탈취된 주거용 IP를 사용해 출처 추적 방해
• 지속성
  단순 스캔이 아니라 동일 인프라 기반의 집요한 접근 시도

---

🔍 4. 왜 “취약점 전조”라고 하는가?

GreyNoise의 과거 분석 데이터에 따르면,

• 이런 공격량 급증 사례의 80%는 6주 이내에 해당 벤더의 새로운 취약점이 공개됨
• 공격자들이 공개 전 취약점을 미리 발견하고 테스트하는 '사전 무기화' 가능성

즉, 지금 Fortinet 장비를 노리는 이 대규모 Brute-force 공격이
곧 있을 제로데이(Zero-Day) 취약점 공개와 연결될 수 있습니다.

---

🛡️ 5. 방어 전략

✅ 1) 동적 IP 차단

• GreyNoise가 제공하는 악성 IP 태그 리스트를 기반으로 방화벽·WAF 정책 업데이트

✅ 2) 로그인 보안 강화

• SSL VPN 포털에 MFA(다중 인증) 필수 적용
• 로그인 실패 횟수 제한 및 일정 시간 차단 설정

✅ 3) 공격 시그니처 기반 탐지

• 1·2단계에서 사용된 TCP 패턴 기반 IDS/IPS 룰 추가
• FortiManager FGFM 포트 모니터링 강화

✅ 4) VPN 접근 통제

• 불필요한 국가 IP 접근 차단 (GeoIP 필터링)
• 관리 인터페이스는 내부망에서만 접근 가능하게 제한

---

🧩 6. 만약 취약점이 공개된다면?

공격 패턴이 취약점 사전 테스트일 경우,

• 공격 난이도: 낮음 (PoC 즉시 무기화 가능)
• 영향 범위: 글로벌 기업·정부기관 포함 수천 개 장비
• 대응 우선순위:
  1. Fortinet 긴급 패치 적용
  2. 기존 접속 로그 분석 및 비정상 로그인 탐지
  3. VPN 계정 비밀번호 전면 변경

---

💡 7. 보안 담당자를 위한 체크리스트

• FortiOS / FortiManager 최신 펌웨어 적용
• MFA 적용 여부 점검
• GreyNoise IP 블록리스트 연동
• IDS/IPS에 새로운 TCP 시그니처 룰 추가
• VPN 관리자 포털 외부 접근 차단

---

📣 결론

이번 Fortinet SSL VPN 무차별 대입 공격 급증은 단순한 해킹 시도 이상입니다.
정교한 타겟팅, 빠른 전술 전환, 공격 인프라 은폐까지…
이건 명백히 APT급 역량을 가진 공격자의 움직임입니다.
앞으로 6주 안에 새로운 Fortinet 취약점이 공개될 가능성을 고려하면,
지금이야말로 선제적 방어가 필요한 시점입니다.