In der Schweiz sind Tausende Fortigate-Firewalls mit Verwaltungs- oder VPN-Oberflächen direkt aus dem Internet erreichbar. Das geht aus einer Analyse des Security-Anbieters Risikomonitor hervor. Insgesamt erfasste das Unternehmen 4313 solcher Oberflächen. Europaweit zählte es 82'236 Geräte in 42 Ländern.

An der Spitze stehe Italien mit 13'283 Oberflächen, gefolgt von Frankreich mit 11'554 und Spanien mit 7929. Auch Österreich mit 6203 und Deutschland mit 5699 verzeichnen höhere Zahlen als die Schweiz. In den Niederlanden seien 5249 Oberflächen aus dem Internet erreichbar.

Für die Schweiz hat Risikomonitor einen Teilbestand von 1455 Geräten detaillierter ausgewertet. Rund 60% davon entfallen auf kleinere Modelle der Fortigate-30er- bis 90er-Reihe. Solche Geräte kommen beispielsweise in Arztpraxen, Kanzleien, Handwerksbetrieben und Filialen zum Einsatz. Das am häufigsten eindeutig identifizierte Modell in diesem Datensatz sei die Fortigate 60F mit 287 Geräten, gefolgt von der Fortigate 40F mit 243 Geräten.

Die öffentlich erreichbaren Oberflächen verteilen sich laut Risikomonitor zudem auf wenige grosse Netzbetreiber. Im ausgewerteten Schweizer Teilbestand würden 689 Anschlüsse auf Swisscom entfallen, 92 auf Sunrise und 39 auf WWZ Telekom. Swisscom stelle damit rund 47% der 1455 detailliert untersuchten Geräte beziehungsweise Anschlüsse.

Die Sicherheitsforschenden haben nach eigenen Angaben eine passive IP-Analyse durchgeführt. Dabei wurden weder Verbindungen zu den untersuchten Geräten aufgebaut noch Anmeldeversuche oder Penetrationstests vorgenommen. Erfasst wurden ausschliesslich Oberflächen, die bereits aus dem Internet erreichbar waren.

Die Untersuchung könne deshalb nicht feststellen, welche FortiOS-Versionen auf den Geräten installiert seien oder ob diese konkret verwundbar seien, heisst es. Auch lasse sich aus der Erreichbarkeit allein nicht ableiten, ob ein Gerät kompromittiert wurde. Die Analyse liefere vielmehr eine Bestandsaufnahme öffentlich erreichbarer Verwaltungs- und VPN-Zugänge. Risikomonitor verweist darauf, dass insbesondere offen erreichbare Verwaltungsoberflächen ein mögliches Angriffsziel darstellen.

Die Untersuchung steht im Zusammenhang mit der "Fortibleed" genannten internationalen Angriffskampagne. Sicherheitsforschende fanden im Juni eine grosse Sammlung kompromittierter Fortinet-Zugangsdaten. Fortinet erklärte damals, die betroffenen Daten stammten aus der erneuten Verbreitung älterer Daten sowie aus Brute-Force-Angriffen. Sie stünden nicht mit einem aktuellen Vorfall oder einer aktuellen Warnung in Zusammenhang.

Das FBI und der US Secret Service haben vergangene Woche erneut vor der Kampagne gewarnt. Laut der gemeinsamen Warnung sind weltweit bereits mehr als 86'000 Geräte kompromittiert worden. Den Behörden zufolge werden dabei Zugangsdaten von internetseitig erreichbaren Fortigate-Firewalls und SSL-VPN-Zugängen abgegriffen. Die erbeuteten Zugänge könnten anschliessend für weitere Angriffe verwendet werden.