FortiBleed: 80.000+ Firewall Bocor, Punyamu Termasuk?

Checklist yang Harus Kamu Jalankan Hari Ini

Bayangkan pagi biasa di kantor. Di grup WA internal IT/security muncul pesan: “Tolong cek semua FortiGate, ada laporan credential bocor skala besar.”

Yang dimaksud itu kampanye yang komunitas keamanan siber sebut FortiBleed. Ini bukan nama produk Fortinet, tapi julukan yang sudah dipakai luas (mirip Heartbleed pas jaman dulu). Intinya: ada dataset berisi username, password, dan konfigurasi dari puluhan ribu perangkat FortiGate/Fortinet yang bisa diakses dari internet. Laporan awal Juni 2026 dirilis oleh peneliti keamanan dan dianalisis vendor seperti eSentire dan Censys; Fortinet mengakui kampanye ini di blog PSIRT resmi mereka.

Dua hal berbeda, jangan dicampur:

1. FortiBleed = credential yang sudah bocor dan bisa dipakai login. Bukan CVE. Tidak ada “patch FortiBleed” – solusinya rotasi password, tutup akses halaman admin dari internet, MFA, audit log.
2. CVE-2024-55591 = bug authentication bypass di FortiOS/FortiProxy tertentu (Fortinet advisory FG-IR-24-535, Januari 2025). Attacker bisa dapat akses admin tanpa tahu password kamu, asal firmware masuk daftar versi rentan dan halaman admin firewall terbuka ke internet.

Keduanya sering dibahas berdekatan karena sama-sama menyerang FortiGate di ujung jaringan – gerbang antara internet dan kantor. Tapi dampak dan langkah perbaikannya beda.

Kamu pakai FortiGate di kantor. Pertanyaan praktisnya: firmware sudah versi yang aman? Password admin dan VPN sudah diganti setelah berita ini? Siapa terakhir yang cek log login?

Di Indonesia, FortiGate dipakai luas – bank, pabrik, kantor pemerintahan, startup. Risikonya nyata kalau patching jarang, tim IT tipis, dan halaman admin firewall masih bisa dibuka dari internet.

Apa yang Sebenarnya Terjadi?

FortiGate adalah firewall – gerbang antara internet dan jaringan kantor. Berikut rangkuman peristiwanya, dari yang paling lama sampai yang paling baru.

Kronologi yang Perlu Dipahami

Akhir 2024 – Januari 2025: Serangan ke firewall Fortinet makin sering dilaporkan. Salah satu yang paling serius: CVE-2024-55591 – celah di FortiOS/FortiProxy yang memungkinkan orang luar login sebagai admin tanpa password, asal dua syarat terpenuhi: firmware kamu masuk daftar versi rentan dan halaman admin firewall bisa diakses dari internet.

Januari 2025: Kelompok Belsen Group mempublikasikan dump berisi IP, password, dan konfigurasi ribuan FortiGate. Menurut analisis Rapid7, data itu kemungkinan besar hasil peretasan atau kebocoran dari bulan-bulan sebelumnya – bukan otomatis bukti bahwa semua korban kena CVE-2024-55591.

Juni 2026: Kampanye yang komunitas keamanan sebut FortiBleed – dataset credential admin/VPN dan konfigurasi dari puluhan ribu perangkat Fortinet bocor ke publik. Ini bukan bug software baru; ini password dan konfigurasi yang sudah keluar dan bisa dipakai langsung kalau belum diganti.

Poin pentingnya: satu kali patch belum tentu cukup. Kalau credential atau konfigurasi pernah bocor, attacker bisa pakai lagi untuk login, memetakan jaringan, atau menjual akses ke pihak lain.

Kenapa Angkanya Bisa Sebesar Itu?

Firewall di ujung jaringan sering punya kombinasi risiko yang buruk: bisa dijangkau dari internet, password lama tidak pernah diganti, halaman admin terlalu terbuka, dan jadwal update firmware tidak konsisten. Di banyak organisasi, masalahnya bukan satu bug saja, tapi tumpukan kebiasaan yang bolong:

• Peringatan keamanan dari vendor tidak dibaca atau tidak sampai ke tim yang pegang firewall
• Update firmware ditunda karena takut internet kantor mati sebentar
• Akun admin lama tidak pernah diganti passwordnya
• Password VPN dipakai ulang di sistem lain
• Log siapa yang login ke firewall jarang dicek

Ini bukan kegagalan teknologi. FortiGate tetap firewall yang bagus. Ini kegagalan proses – update yang tidak rutin, monitoring yang tidak ada, dan asumsi bahwa “firewall pasti aman.”

Anatomi: Apa yang Bisa Dilakukan Hacker dengan Credential Firewall?

Kalau kamu pikir “ya udah, ganti password aja” – itu belum cukup. Credential firewall yang bocor bisa menjadi gateway ke banyak hal:

Hari 1-3: Silent Access

Hacker login ke firewall kamu pakai credential yang bocor. Mereka ga langsung ngapa-ngapain. Mereka observe. Lihat network topology. Catat semua device yang terhubung. Identifikasi target bernilai tinggi – server database, file server, domain controller.

Hari 4-7: Lateral Movement

Dari firewall, hacker mulai bergerak ke dalam jaringan. Karena mereka sudah masuk ke jaringan internal, banyak proteksi dalam kantor tidak jalan – segmentasi jaringan yang longgar, traffic internal yang tidak dimonitor.

Mereka install persistent access di beberapa server. Sekarang, bahkan kalau kamu ganti password firewall, mereka sudah punya backdoor di dalam.

Hari 8-14: Data Exfiltration

Mulai copy data. Pelan-pelan. Ga sekaligus, supaya ga trigger alert bandwidth. Email archives. Financial data. Customer database. HR records. Intellectual property.

Di fase ini, kebanyakan perusahaan masih ga sadar ada orang lain di jaringan mereka.

Hari 15+: Monetization

Tergantung motivasi:

• Ransomware: Encrypt semua, minta tebusan, atau gabungkan dengan ancaman data leak
• Extortion: “Kami punya data pelangganmu. Bayar atau kami publish.”
• Espionage: Jual data ke kompetitor atau nation-state
• Sabotage: Hapus data, rusak sistem (jarang, tapi terjadi)

Dalam banyak insiden, attacker bisa bertahan berhari-hari atau berminggu-minggu sebelum terdeteksi. Bayangkan apa yang bisa dilakukan hacker di jaringan kamu selama periode itu tanpa kamu sadar.

Kenapa Ini Sangat Relevan untuk Indonesia

FortiGate adalah salah satu firewall yang sangat banyak dipakai di Indonesia. Bank, rumah sakit, pabrik, kantor pemerintahan, enterprise besar – banyak yang pakai. KIN sendiri adalah Fortinet partner dan kami tahu secara langsung seberapa luas deployment-nya.

Beberapa faktor yang bikin Indonesia lebih rentan:

Patching culture belum kuat. Di banyak organisasi Indonesia, patching itu “kalau sempat.” Tim IT yang kecil (kadang 1-2 orang untuk ratusan user) ga punya waktu dedicated untuk patch management. Apalagi firewall – “jangan disentuh, nanti down.”

Internet cuma satu jalur. Update firmware kadang butuh restart firewall. Banyak kantor di Indonesia cuma punya satu koneksi internet – tidak ada cadangan. Restart firewall berarti seluruh kantor offline sebentar. IT jadi ragu update di jam kerja, lalu lupa jadwalkan di malam hari atau akhir pekan.

Vendor management gap. Banyak FortiGate dipasang vendor/integrator, lalu ditinggal. Kontrak maintenance habis, tidak diperpanjang. Siapa yang monitor? Siapa yang update? Tidak jelas.

Contoh ilustratif (bukan nama perusahaan nyata): pabrik menengah di Jakarta punya FortiGate yang belum di-update 18 bulan. Bukan karena tidak peduli – IT Manager resign, penggantinya belum masuk, dan tidak ada yang tahu password admin firewall. Risiko password lama, konfigurasi bocor, atau akses admin yang tidak terpantau jadi jauh lebih tinggi.

5 Langkah yang Harus Dilakukan SEKARANG

Urutan mid-2026 untuk kampanye credential (FortiBleed): anggap akses sudah bisa disalahgunakan, baru rapikan firmware. Tidak perlu tunggu audit besar.

1. Putus sesi aktif, lalu rotasi credential

Kalau FortiGate pernah terekspos ke internet atau credential dicurigai bocor:

1. Terminate sesi admin dan VPN yang masih hidup
2. Rotate password admin, VPN user, SNMP, API key, dan akun yang mungkin reuse password yang sama
3. Aktifkan MFA untuk admin (dan VPN kalau memungkinkan)
4. Batasi akses management/VPN dari internet – jangan biarkan GUI admin terbuka ke publik

Jangan pakai password lama yang di-modifikasi. Generate fresh; pakai password manager. Anggap compromise sampai log dibuktikan bersih.

2. Cek paparan + upgrade FortiOS (termasuk hash lama)

Login ke FortiGate → System → Status, catat firmware. Naikkan ke jalur yang didukung (sering 7.4 / 7.6 / 8.0 sesuai policy vendor), pastikan skema hash modern (PBKDF2), dan purge legacy hashes kalau masih ada. Ikuti advisory Fortinet PSIRT terkini + analisis credential compromise resmi.

Juga cek CVE-2024-55591 (FG-IR-24-535) kalau firmware masih di jalur lama yang rentan auth bypass – tapi itu bukan satu-satunya pekerjaan FortiBleed; rotasi credential tetap wajib meski sudah di-patch.

Ga berani patch sendiri? Minta Fortinet partner supervised update.

3. Forensic: apakah sudah ada yang masuk?

Review log firewall (ideal 90 hari):

• Login dari IP yang tidak dikenal?
• Konfigurasi berubah tanpa approval?
• VPN session dari lokasi yang tidak masuk akal?

Kalau ada anomaly → anggap sudah ada penyusup → hubungi IR (internal atau KIN).

4. Monitoring yang proper

• Log forwarding ke SIEM / syslog
• Alert failed login, config change, traffic aneh
• Review mingguan (lebih baik harian)
• Subscribe Fortinet PSIRT

5. Architecture: jangan cuma firewall

• EDR di endpoint (mis. SentinelOne)
• Segmentasi jaringan
• MFA admin wajib
• Pertimbangkan Zero Trust / ZTNA supaya credential VPN bocor tidak = akses ke seluruh jaringan – mulai dari 5 tanda ganti VPN dan Zero Trust vs VPN

Pelajaran Terbesar: Ini Masalah Proses, Bukan Produk

FortiGate ga salah. Celah keamanan bisa muncul di produk mana pun – Cisco, Palo Alto, Check Point, semua pernah. Yang membedakan: seberapa cepat kamu patch dan seberapa baik proses monitoring kamu.

Puluhan ribu perangkat yang terekspos bukan bukti bahwa teknologinya buruk. Ini tanda bahwa proses operasional sering tertinggal:

• Ga ada jadwal patching yang konsisten
• Ga ada monitoring yang aktif
• Ga ada ownership yang jelas (“siapa yang bertanggung jawab atas firewall?”)
• Ga ada rencana tanggap insiden kalau sudah kena serangan

Firewall enterprise yang kuat pun bisa jadi pintu terbuka kalau tidak di-manage.

Yang Bisa Kamu Lakukan Besok Pagi

Sebelum buka email besok, lakukan ini:

1. Login ke FortiGate kamu. Cek firmware version. Kalau outdated, jadwalkan patch hari ini.
2. Ganti admin password. Sekarang. Bukan besok. Sekarang.
3. Review login log. 30 hari terakhir. Ada yang aneh?
4. Tanya dirimu: “Siapa yang patch firewall kita terakhir kali? Kapan?”

Kalau jawaban pertanyaan terakhir itu “ga tahu” – itu jawaban yang paling bahaya.

---

FortiGate tetap solusi firewall enterprise yang kuat – tapi dia butuh management yang benar. Tim KIN sebagai Fortinet partner bisa bantu: patch darurat, ganti password dan credential, audit forensik, dan pasang monitoring yang proper. Kalau kamu khawatir setelah baca artikel ini – hubungi kami hari ini. Ga usah nunggu.

---

Pertanyaan yang Sering Diajukan (FAQ)

Apakah FortiGate saya termasuk yang bocor?

Utamakan: putus sesi aktif, rotasi credential admin/VPN, MFA, dan tutup paparan management ke internet. Lalu upgrade FortiOS ke jalur didukung + hash modern. CVE-2024-55591 tetap dicek kalau firmware lama (lihat FG-IR-24-535), tapi patch saja tidak cukup kalau password sudah bocor.

Apa yang harus dilakukan sekarang?

Tiga langkah darurat: (1) Update FortiOS ke versi terbaru, (2) Ganti semua credential admin firewall, (3) Aktifkan MFA. Untuk audit menyeluruh, hubungi tim KIN.

Apakah cukup update firmware saja?

Tidak. Jika credential atau konfigurasi pernah terekspos, attacker mungkin sudah login, membuat akun baru, atau memetakan jaringan. Perlu audit akun admin, VPN user, perubahan konfigurasi, dan log akses untuk memastikan tidak ada akses tersembunyi.