Amazon публикува разследване, което очертава тревожна еволюция в киберпрестъпността – рускиезичен колектив за киберпрестъпления е използвал генеративни ИИ услуги, за да компрометира над 600 защитни стени FortiGate в рамките на едва пет седмици. Кампанията е протекла между 11 януари и 18 февруари 2026 г. и е засегнала организации в 55 държави.

Без zero-day уязвимости, но с ИИ и лоши конфигурации

За разлика от класическите атаки срещу периметрови устройства, операцията не е разчитала на експлойти или непачнати уязвимости. Вместо това са били атакувани публично достъпни интерфейси за управление на защитни стени на Fortinet, защитени със слаби или повторно използвани пароли и без многофакторна автентикация.

Акцент: атаките са били напълно опортюнистични – без фокус върху конкретен сектор или държава, което значително увеличава мащаба и ефективността им.

Как ИИ е бил интегриран в атаката

След първоначалния достъп извършителят е извличал конфигурационни файлове от FortiGate устройствата, съдържащи VPN идентификационни данни, администраторски акаунти, мрежова топология и политики за сигурност. Тези данни са били анализирани и декриптирани чрез Python и Go инструменти с ясно разпознаваеми белези на ИИ-генериран код – опростена логика, излишни коментари и липса на устойчивост при гранични случаи.

Акцент: макар инструментите да са били технически слаби, ИИ е компенсирал липсата на експертиза, позволявайки бързо мащабиране на атаките.

От разузнаване към подготовка за рансъмуер

След компрометирането атакуващият е използвал автоматизирани инструменти за мрежово  сканиране на портове и идентифициране на домейн контролери. Особен интерес е бил насочен към Veeam Backup & Replication инфраструктури – класически предварителен етап преди внедряване на рансъмуер.

Разследването разкрива и използването на големи езикови модели като Claude и DeepSeek, включително подаване на пълни мрежови топологии към ИИ услуги с цел генериране на планове за странично придвижване и ескалация на привилегии.

Стратегически изводи за защитата

Amazon предупреждава, че генеративният ИИ вече действа като мултипликатор на заплахите, снижавайки прага за сложни атаки. Препоръките към администраторите включват:

• недопускане на публичен достъп до управленски интерфейси;

• задължителна MFA защита;

• разделяне на VPN и домейн пароли;

• допълнително втвърдяване на резервните системи.