摘要: 英国国家网络安全中心(NCSC)近期发布紧急安全警报,披露针对Fortinet防火墙与VPN网关的全球性凭证填充攻击事件。攻击者通过暴力破解、字典攻击和凭证填充等手段窃取管理员凭证,并在暗网泄露包含大量组织凭证的数据库。作为邮件系统部署的关键边界设备,防火墙与VPN网关的安全性直接影响邮件服务的可用性与机密性。本文从攻击手法、影响范围、防护策略三个维度展开分析,为邮件系统运维团队提供可操作的安全加固建议。

一、攻击事件全景:从边界突破到凭证泄露

NCSC警报指出,本次攻击活动自2026年初开始活跃,攻击目标锁定面向互联网的FortiGate防火墙管理界面和SSL VPN接入门户。攻击者首先利用自动化工具对全球暴露的Fortinet设备进行大规模扫描,识别存在弱口令或默认凭证的设备。随后,通过暴力破解、字典攻击和凭证填充三种经典手段实施入侵。凭证填充攻击利用已泄露的账号密码组合(来自其他数据泄露事件)尝试登录目标设备,成功率取决于用户密码复用率。

攻击者在成功入侵后,创建具有管理员权限的后门账号,并通过设备配置导出功能窃取更多凭证信息。最终,攻击者将收集到的凭证数据库公开发布于暗网论坛,形成二次威胁。NCSC明确指出,英国境内已有组织确认受影响,全球范围内受影响组织数量仍在统计中。对于邮件系统而言,防火墙和VPN网关往往是邮件服务器的外围防护,一旦被突破,攻击者可直接访问邮件服务器的管理界面或窃取邮件传输通道。

二、技术分析:攻击链与邮件系统关联风险

从攻击链视角分析,本次事件可分为侦察、入侵、持久化、数据窃取四个阶段。侦察阶段,攻击者利用Shodan、Censys等互联网资产测绘平台,快速定位暴露的Fortinet设备管理端口(通常为443端口)。入侵阶段,自动化脚本批量尝试弱密码组合,包括admin/admin、fortinet/fortinet等出厂默认凭据,以及常见密码如Password123、Admin@2024等。

持久化阶段,攻击者在设备上创建隐蔽账号,并修改日志配置以隐藏踪迹。数据窃取阶段,通过设备备份功能导出配置文件,其中可能包含邮件服务器的NAT规则、防火墙策略、VPN用户数据库等敏感信息。对于邮件系统而言,这些信息的泄露可导致:邮件服务器真实IP暴露(绕过防火墙直连攻击)、VPN用户凭证泄露(邮件客户端通过VPN收发邮件的场景)、内部网络拓扑暴露(为横向移动提供路径)。

值得关注的是,攻击者利用的"凭证填充"技术,其成功率与企业密码策略执行力度直接相关。在邮件系统中,用户往往需要通过Webmail、POP3/IMAP、SMTP等多种协议访问邮箱,如果管理员在不同系统间复用密码,一旦VPN凭证泄露,邮件系统将面临直接威胁。此外,部分组织将邮件服务器的管理界面置于VPN内网,攻击者通过VPN入侵后可直接访问邮件服务器管理后台,风险极高。

三、防护策略:边界设备与邮件系统协同加固

NCSC在警报中提供了详细的缓解措施清单,分为紧急响应、设备加固、持续监控三个层次。紧急响应层面,组织应立即检查是否使用Fortinet设备,并通过官方提供的FortiBleed检测工具(如SOCRadar、Hudson Rock的在线检测服务)核查设备是否出现在泄露数据库中。如确认受影响,应立即隔离设备,导出日志与配置文件作为取证资料,然后执行出厂重置(仅修改密码可能无法清除持久化后门)。

设备加固层面,NCSC强调多项最佳实践:管理界面禁止直接暴露于互联网,应通过内网跳板机或零信任网关访问;强制启用多因素认证(MFA),所有VPN和管理登录必须经过二次验证;定期更新固件版本,移除已停产的遗留设备;修改所有默认、通用、复用的管理员密码,确保每个设备使用独立强密码;启用PBKDF2密码哈希算法(如果设备支持),增加离线破解难度。

对于邮件系统运维团队,建议额外执行以下措施:审查防火墙规则,确保邮件服务器管理端口(如25、110、143、465、587、993、995端口)不直接暴露于互联网,仅允许必要IP访问;邮件服务器管理界面应独立于VPN,并启用IP白名单限制;启用邮件传输层安全(TLS),确保邮件传输加密,即使网络边界被突破,邮件内容仍受保护;部署邮件安全网关,作为邮件流量的第二道防线,提供反垃圾邮件、反钓鱼邮件、病毒扫描等功能。

四、启示与展望:零信任架构下的邮件安全

本次攻击事件再次印证了"边界安全≠内部安全"的现实。传统架构中,防火墙与VPN被视为信任边界,一旦被突破,内网服务(包括邮件系统)将直接暴露。零信任架构(Zero Trust Architecture)的核心原则是"永不信任,始终验证",要求对每一次访问请求进行身份验证与权限校验,无论请求来自内网还是外网。对于邮件系统,这意味着用户访问邮箱、管理员管理服务器、邮件服务器与其他系统交互,均需经过严格的认证与授权。

从技术演进角度看,邮件系统安全防护正向三个方向深化:一是协议层安全,SMTP TLS、MTA-STS、DANE等协议逐步普及,确保邮件传输路径加密与身份验证;二是身份层安全,OAuth 2.0授权协议在邮件客户端认证中的应用逐渐成熟,取代传统明文密码传输;三是内容层安全,邮件安全网关结合人工智能技术,实时检测钓鱼邮件、恶意附件、商务邮件诈骗(BEC)等高级威胁。

NCSC警报最后强调,组织应建立清晰的安全事件报告渠道,确保研究人员发现的漏洞或泄露事件能够快速送达安全团队,而非被错误路由至产品支持队列。对于邮件系统供应商而言,定期发布安全公告、提供漏洞披露渠道、及时推送安全补丁,是建立客户信任的基础。昆仑邮件系统作为国产化邮件解决方案,始终将安全性置于首位,持续跟踪国际安全动态,为客户提供可靠的邮件安全防护。

参考来源

1. UK NCSC. "Alert: NCSC issues advice following global targeting of Fortinet firewalls and VPN gateways." NCSC.gov.uk, June 2026.

2. Fortinet PSIRT. "Analysis of Reported Credential Compromise of FortiGate Devices." Fortinet Blog, June 2026.

3. SOCRadar. "FortiBleed: Free Online Checker for Compromised Fortinet Devices." SOCadar.com, 2026.

4. KrebsOnSecurity. "Lessons Learned from CISA's Recent GitHub Leak." KrebsonSecurity.com, July 2026.

5. ENISA. "ENISA's View on Cybersecurity in the Frontier AI Era." ENISA.europa.eu, July 2026.