FortiBleed-angreb rammer danske virksomheder

Et omfattende cyberangreb under navnet FortiBleed har eksponeret hundredetusindvis af loginoplysninger til Fortinet-firewall- og VPN-løsninger verden over – herunder i Danmark. Blandt de berørte findes nogle af landets største virksomheder og myndigheder, herunder Maersk, DSV og Dansk Politi. Angrebet er ikke baseret på en ny software-sårbarhed, men på genbrug af stjålne adgangskoder og brute-force-angreb mod systemer uden flerfaktorautentificering (MFA). Forsvarets Efterretningstjeneste (FE/DDIS) har sendt advarsler ud til danske organisationer, og eksperters budskab er klart: der findes ingen teknisk patch – kun grundlæggende sikkerhedshygiejne kan mindske risikoen.

Det, der gør FortiBleed-angrebet særligt alvorligt, er, at det ikke kan løses med et softwareopdatering. I stedet udnytter angriberne eksisterende adgangskoder, som sandsynligvis er blevet stjålet i tidligere lækager eller opnået gennem brute-force-angreb. Dette betyder, at selv om Fortinet ikke har en ny sårbarhed at patche, er tusindvis af organisationer alligevel i fare – især hvis de ikke har implementeret MFA eller har dårlige password-politikker. For danske ledere, it-afdelinger og sikkerhedschefer er dette et vækkertjek: perimeter-sikkerhed alene er ikke længere tilstrækkelig. Hvis din virksomhed bruger Fortinet-produkter, bør du antage, at dine credentials allerede er i hænderne på angribere, og handle herefter.

Hvordan fungerer FortiBleed-angrebet?

FortiBleed er ikke et angreb på selve Fortinets softwarekode, men en såkaldt credential-exposure-kampagne. Den startede med, at den ukrainske sikkerhedsforsker Volodymyr “Bob” Diachenko den 13. juni 2026 opdagede en eksponeret server, der indeholdt hundredetusindvis af loginoplysninger til Fortinet-enheder. Disse credentials var sandsynligvis samlet over tid gennem brute-force-angreb – automatiserede forsøg på at gætte adgangskoder – rettet mod interneteksponerede Fortinet-firewalls og VPN-gateways. Ifølge Bitdefender, der har analyseret kampagnen, har angriberne især målrettet systemer, hvor administrator-adgangskoder ikke er beskyttet med MFA. Uden denne ekstra sikkerhedsbarriere kan en stjålet adgangskode give fuld kontrol over netværkets periferi.

Det er ikke klart, hvilken aktør der står bag angrebet, men mønsteret ligner tidligere kampagner, hvor stjålne credentials bruges til at opnå fodfæste i netværk, før der installeres malware, ransomware eller udføres dataudvaskning. CISA, det amerikanske cybersikkerhedscenter, udsendte den 18. juni en advarsel, hvor de opfordrede organisationer til at begrænse adgang til Fortinet-enheder og omgående rotere alle passwords. Fortinet selv bekræftede den 22. juni, at der var tale om en reel trussel, og henvisede til to interne advisories: FG-IR-26-060 og FG-IR-25-647, som indeholder tekniske retningslinjer for at mindske risikoen.

Omstændigheder og omfang: 86.644 enheder ramt globalt

Pr. 19. juni 2026 var der bekræftet kompromitterede credentials for i alt 86.644 unikke Fortinet-enheder fordelt på 194 lande. Tidligere analyser havde identificeret 74.000 interneteksponerede firewall-URLs og 21.000 unikke domæner, hvilket indikerer, at angrebet har bred geografisk og sektormæssig rækkevidde. Danmark er ikke en primært målgruppe, men netop fordi landet har mange internationale virksomheder med global infrastruktur, er risikoen betydelig. Maersk og DSV, begge med komplekse it-systemer og internationale netværk, bruger Fortinet-løsninger til at sikre deres forbindelser. Selv om ingen af virksomhederne har rapporteret om aktuelle brud, bekræfter deres nærvær på listen over berørte organisationer, at deres systemer har været eksponeret for risiko.

Dansk Politi er ligeledes påvist som bruger af Fortinet-produkter, og dermed potentielt ramt. Dog har hverken DSV, Dansk Politi eller Maersk oplyst, om deres systemer faktisk er blevet kompromitteret. Maersk har dog over for Ingeniøren understreget, at de har robuste procedurer til at håndtere tredjeparts-hændelser, og at kunder ikke er blevet påvirket. Det er dog uvist, hvor mange andre danske virksomheder – især mellemstore og offentlige – der også bruger Fortinet og dermed er udsat, uden at det er offentligt kendt.

Reaktioner fra myndigheder og private aktører

Forsvarets Efterretningstjeneste (FE/DDIS) har taget anliggende alvorligt og har aktivt advaret danske virksomheder, der bruger Fortinet-produkter. Ifølge FE er risikoen særlig høj for organisationer, der ikke har implementeret flerfaktorautentificering eller har dårlige password-hygiejne. Advarslen er ikke blot en formel meddelelse, men en opfordring til handling: roter passwords, implementer MFA, og begræns adgang til kritiske systemer. Dette afspejler en bredere tendens i dansk cybersikkerhedspolitik, hvor fokus er skiftet fra reaktiv håndtering til proaktiv risikostyring.

Private virksomheder har reageret forskelligt. Maersk har været åbne om deres viden, men understreger, at de har kontrol over situationen. DSV og Dansk Politi har valgt ikke at kommentere, hvilket er almindeligt i sager med potentielle sikkerhedshuller, da offentliggørelse kan give angribere yderligere information. Imidlertid kan tavsheden også skabe usikkerhed blandt samarbejdspartnere og borgere. Bitdefender, der har udstedt en teknisk advisory om FortiBleed, pointerer, at mange af de kompromitterede enheder stadig mangler MFA, hvilket gør dem sårbar over for umiddelbar udnyttelse.

Konsekvenser og fremtidige udfordringer for danske virksomheder

FortiBleed-angrebet markerer en forskydning i cybersikkerhedslandskabet. Truslen kommer ikke fra en ukendt sårbarhed, men fra manglende overholdelse af grundlæggende sikkerhedsprincipper. Det er ikke længere nok at have en firewall – den skal også administreres sikkert. For danske virksomheder betyder det, at it-afdelinger skal prioritere operativ sikkerhedshygiejne højt: regelmæssig rotation af passwords, implementering af MFA på alle administrative konti, og begrænsning af hvem der har adgang til kritisk infrastruktur. Ifølge Ritzau har cyberangreb i gennemsnit kostet danske virksomheder over 1,4 millioner kroner om ugen i 2026 – og tallet stiger.

Set fra en dansk og nordisk kontekst er risikoen særlig høj, fordi mange organisationer har høje standarder for softwareopdateringer, men ofte undervurderer risikoen forbundet med adgangsstyring. Desuden er dansk infrastruktur ofte godt integreret i globale netværk, hvilket gør den til et attraktivt mål. FortiBleed er derfor ikke bare et teknisk problem, men et ledelsesmæssigt. Det kræver, at ledere stiller skarpt på, om deres it-afdeling har styr på adgangskontrol, og om der er en kultur for sikkerhed på tværs af organisationen.

Udsigten til fremtiden er, at lignende kampagner vil fortsætte. Angriberne vil altid søge de svageste led – og i dag er det ofte mennesker og processer, ikke teknologien. Derfor er det afgørende, at danske virksomheder stopper med at tro, at de er sikre, fordi de bruger kendte produkter. Sikkerheden ligger i, hvordan de bruges. Den næste trussel kan være lige om hjørnet – og den kræver ikke en ny sårbarhed, bare en glemt adgangskode.