VPN под атакой и под надзором: 86 644 FortiGate, C-22 и ещё 2 новости

В выпуске от 7 октября собрали четыре новости о том, как VPN и шифрование сталкиваются с массовыми атаками, государственным доступом к данным и постквантовой защитой.

• FortiBleed скомпрометировал 86 644 устройства FortiGate
• Psiphon пригрозил уйти из Канады из-за C-22
• Surfshark включил ML-DSA в WireGuard
• В Британии наказали за нарушение запрета на шифрование

FortiBleed затронул 86 644 FortiGate в 194 странах

ФБР и Секретная служба США предупредили о кампании FortiBleed: злоумышленники сканируют открытые SSL VPN-порталы FortiGate и используют учётные данные из утечек и логов инфостилеров. В ход идут credential stuffing и password spraying, то есть автоматическая проверка украденных паролей и перебор распространённых комбинаций.

По данным SOCRadar, атакующие скомпрометировали 86 644 устройства в 194 странах. После захвата администраторов блокируют сменой паролей, а доступ к инфраструктуре продают брокерам, которые могут передать его вымогателям.

Рекомендации американских ведомств практические: завершить все активные административные и VPN-сессии, сбросить пароли и включить фишингоустойчивую MFA для удалённого доступа. Одного обновления пароля здесь недостаточно, если злоумышленник уже закрепился в активной сессии.

Psiphon готов уйти из Канады из-за законопроекта C-22

Торонтская компания Psiphon заявила, что перенесёт деятельность из Канады, если законопроект C-22, Lawful Access Act, примут в нынешнем виде. Вице-президент компании Кензи Элсуорти отдельно подчеркнула: в открытый код нельзя встроить секретный бэкдор и при этом сохранить доверие к сервису.

Законопроект обязывает провайдеров обеспечивать доступ полиции и канадской службе безопасности и разведки CSIS к данным. Он также допускает хранение метаданных до года и подтверждение сведений об абоненте без предварительного судебного решения.

Для VPN-провайдеров спор упирается в архитектуру продукта. Если сервис должен технически обеспечить доступ к защищённым данным, это может потребовать ослабления шифрования или создания механизма, которым затем воспользуются и посторонние. Ранее против подобных требований высказывались Signal, DuckDuckGo, Proton VPN, NordVPN и Windscribe.

Surfshark добавил ML-DSA-аутентификацию в WireGuard

7 октября Surfshark объявил о добавлении постквантовой подписи ML-DSA для аутентификации серверов WireGuard. Она дополняет обмен ключами ML-KEM, который компания внедрила ранее в 2026 году, и должна закрыть другой участок протокола.

Проблема в следующем: если квантовый компьютер сможет взломать аутентификацию, атакующий получит возможность выдать себя за VPN-сервер и перехватить сессию. Ведущий системный инженер Surfshark Каролис Качюлис объяснил, что одной защиты обмена ключами для такого сценария недостаточно.

Пока функция доступна только на iOS, macOS и Windows. Поддержку других платформ Surfshark обещает добавить позже, поэтому полной защитой смогут воспользоваться не все клиенты одновременно.

В Британии наказали пользователя, нарушившего запрет на шифрование

Магистратский суд Честера приговорил 27-летнего Моргана Эбботта к восьми месяцам условно с испытательным сроком 18 месяцев и 150 часам общественных работ. 16 декабря 2025 года он установил NordVPN, а 28 декабря удалил приложение, нарушив десяти летний ордер, запрещавший ему использовать ПО для шифрования.

Эбботт утверждал, что принял VPN за антивирус. Суд это объяснение не принял. При этом само использование VPN в Великобритании законно: наказание связано с индивидуальным судебным ограничением, которое действовало именно в отношении этого мужчины.

История показывает юридическую границу, которую легко потерять в заголовках. Запрет конкретному человеку на инструменты шифрования не означает общего запрета VPN в стране, но нарушение такого условия может привести к реальному уголовному наказанию.

P.S. Больше свободы в сети - заходите в бот

По разработке ботов - пишите в личные сообщения