Повечето съвети за киберсигурност все още се обръщат към човека – не кликай върху подозрителни линкове, използвай сложна парола, бъди внимателен с непознатите мейли. Обичайно правилни съвети. Два от най-значимите пробиви от последните месеци обаче не започват с човешки пропуск.
При тях никой от служителите не е отварял съмнителен линк, никой не е разглеждал подозрителен файл. Атакувано е нещо съвсем различно: инфраструктурата, на която организациите по подразбиране разчитат.
Случаят с FortiBleed е познат на експертите по киберсигурност. Стартът на операцията е около февруари 2026, когато хакери персонализират инструмент за прихващане на трафик на над 430 хил. корпоративни firewall-а по целия свят - устройства, инсталирани именно за да пазят мрежата. Щетите от случая са над 110 милиона откраднати данни за достъп. През юни акцията достига дори системи, свързани с НАТО.
Проблемът е сериозен – устройството, на което организацията се е доверила да "пази на входа", се е превърнало в инструмента за подслушване. При тази атака засегнатите са предимно компании с под 200 служители. Не защото данните им са по-ценни, а защото по-рядко наблюдават активно поведението на собствената си инфраструктура. Firewall-ът е инсталиран, конфигуриран и... забравен. Доверието е дадено, но при наблюдението вече има пропуски.
Сходен е случаят и при KDDI - един от най-големите японски телекомуникационни оператори. Споделен софтуерен компонент на трета страна, използван от KDDI и пет други интернет доставчика едновременно, се оказва уязвим. Хакерите не се опитват да атакуват крайни потребители. Атакували са нещо нагоре по веригата и ефектът на пробива се е разпространил надолу към близо 14,22 млн. потребители, без нито един от тях да е направил нещо нередно.
Двата случая описват едно и също явление: доверието вече също е повърхност за атака. Не потребителят. Не паролата. А инфраструктурата, която всички приемат за сигурна по подразбиране.
А всичко изглежда нормално
И двата случая имат още една допирна точка – минава много време, докато пробивът бъде установен.
При FortiBleed събирането на данни е продължило месеци, преди да бъде идентифицирано. Устройствата са работили нормално. Мрежата е изглеждала стабилна. Нищо не е сигнализирало, че трафикът се прихваща. При KDDI пробивът е открит след факта - не защото някой е забелязал аномалия, а защото разследването е установило следи от неоторизиран достъп.
Традиционната превенция - firewall, антивирус, политики за пароли в дадена компания е изградена около идеята, че ако защитата е силна, всичко зад нея е в безопасност. Но когато входна точка е самият firewall, концепцията за определен периметър спира да работи.
Видимостта като отговор
Ако превенцията не е достатъчна, разговорът се измества от това "как атакуващите да не влязат", към това "как да разберем, че вече са влезли".
При подобни случаи компаниите е добре да могат да разчитат на професионални и надеждни решения за защита на крайните устройства като Endpoint Protect на А1. Услугата е базирана на изкуствен интелект (AI) и машинно обучение (Machine Learning) и ефективно засича и спира атаките. Бързата реакция може да се окаже спасителна за информацията на бизнеса.
За организации без собствен екип за денонощно наблюдение такива решения за киберсигурност добавят следващото ниво: специализиран екип, който не само засича, но и анализира и реагира в реално време. При операция с мащаба на FortiBleed - активна месеци, засягаща десетки хиляди устройства едновременно - скоростта на реакцията вече не е просто технически детайл.
Не дали, а кога
Историите на FortiBleed и KDDI всъщност не са за екзотични атаки срещу специфични мишени. Те са за нездравословното доверие към едно единствено решение, вместо цялостен поглед върху инфраструктурата, която изглежда надеждна, само защото досега е работила.
Въпросът за всяка организация не е дали IT инфраструктурата ѝ може да бъде компрометирана. А дали ще разбере достатъчно бързо, когато това се случи и какво ще предприеме след това.
