[속보] CISA, Fortinet 장비 자격 증명 노출 경고…세션 종료·비밀번호 재설정 권고

CISA 공식 경고에 따르면 미국 사이버보안·인프라보안국은 2026년 6월 18일 인터넷에 노출된 Fortinet 장비를 대상으로 한 자격 증명 노출 보고를 인지하고, 영향을 받을 수 있는 고객에게 즉시 보안 강화 조치를 권고했다. CISA는 이 활동을 FortiBleed로 지칭하며, 정부와 민간 부문 조직의 Fortinet 장비가 손상된 자격 증명을 이용한 공격 대상이 됐다는 보고가 있다고 밝혔다.

CISA가 인용한 보고 기준으로 노출된 자격 증명은 방화벽과 가상사설망 게이트웨이를 포함한 약 7만4천 대 Fortinet 장비와 관련돼 있다. 다만 이 수치는 CISA가 직접 산정한 피해 규모라기보다 글로벌 보고를 바탕으로 언급한 수치다. 기사 작성 시점에 CISA 경고는 특정 국내 기관 피해 여부나 개별 조직 명단을 공개하지 않았다.

CISA의 권고는 기술적 패치 하나에 그치지 않는다. 기관은 FortiGate 장비와 SSL VPN 게이트웨이를 사용하는 조직에 모든 활성 SSL VPN 및 관리자 세션을 종료하고, Fortinet VPN과 관리자 비밀번호를 재설정하라고 안내했다. 특히 인터넷에 노출된 시스템은 강력한 비밀번호 정책과 함께 우선 점검 대상에 올려야 한다고 설명했다.

자격 증명 저장 방식 점검도 권고됐다. CISA는 관리자 자격 증명 저장에 PBKDF2 알고리즘을 사용하는지 확인하고, Fortinet 지침에 따라 더 약한 기존 해시를 제거하라고 밝혔다. 이는 유출된 인증 정보가 재사용되거나 오프라인 공격으로 이어지는 위험을 낮추기 위한 조치다.

로그 검토와 다중인증도 핵심 대응 항목이다. CISA는 방화벽, VPN, 인증, 도메인 컨트롤러 로그에서 수평 이동, 비정상 접근, 의심 계정, 승인되지 않은 설정 변경 흔적을 확인하라고 권고했다. 원격 접근과 관리자 계정에는 피싱 저항형 MFA를 적용하고, 외부 게이트웨이와 관리 인터페이스 전체에서 적용 여부를 확인해야 한다고 덧붙였다.

공격 표면 축소도 요구됐다. CISA는 방화벽 관리 기능이 공용 인터넷에서 접근되지 않도록 하고, Fortinet 관리 인터페이스를 신뢰할 수 있는 내부 네트워크로 제한하라고 밝혔다. 불필요하거나 승인되지 않은 계정은 제거하거나 비활성화해야 한다.

이번 경고는 취약점 고정 버전 안내보다 운영 보안 조치에 가까운 성격을 갖는다. 이미 노출된 자격 증명이 문제라면 단순히 장비를 최신 상태로 유지하는 것만으로는 충분하지 않을 수 있다. 세션 종료, 비밀번호 재설정, MFA 적용, 로그 분석을 함께 수행해야 공격자의 지속 접근 가능성을 낮출 수 있다.

국내 조직도 Fortinet 방화벽과 SSL VPN을 운영하고 있다면 외부 노출 상태, 관리자 접근 경로, 계정 재사용 여부를 우선 확인할 필요가 있다. 특히 원격근무용 VPN과 경계 보안 장비는 침해 이후 내부망 접근의 출발점이 될 수 있어, 단기 조치와 장기적인 접근 통제 개선을 함께 검토해야 한다.

출처: CISA https://www.cisa.gov/news-events/alerts/2026/06/18/cisa-urges-hardening-fortinet-devices-after-reports-credential-exposure
출처: Fortinet Technical Tip https://community.fortinet.com/fortigate-3/technical-tip-enforcing-pbkdf2-as-hash-function-for-administrator-accounts-in-fortios-v7-2-11-and-later-220652