概要

FBIとシークレットサービスは10月7日、Fortinet製FortiGateファイアウォール/SSL VPNを標的とする大規模な認証情報窃取キャンペーン「FortiBleed」が依然として活発に継続していると共同で警告を発した。両機関は「攻撃者は以前に入手した侵害済み認証情報を使い、インターネットに公開されたFortinetファイアウォールのスキャンを続けている」と明言しており、パッチ適用だけでは不十分であることを強調している。これまでに194カ国で8万6644台ものFortinet機器の認証情報が侵害されたと見られ、管理者が自らのデバイスからロックアウトされる被害や、窃取された初期アクセス権がランサムウェアグループに売買される実態が確認されている。

FortiBleedの正体と攻撃手法

FortiBleedは2026年6月、FortiGateファイアウォールとSSL VPNゲートウェイのユーザー名・平文パスワードが大量に流出していることが発覚したロシア語圏の攻撃者によるキャンペーンとされる。発覚当初は194カ国・7万3932件のファイアウォールURLに関する認証情報の露出が確認され、その後の調査で侵害デバイス数は8万6644台まで拡大した。攻撃者はまず、インフォスティーラーのログや過去の漏洩データから得た認証情報を使ったクレデンシャルスタッフィングやパスワードスプレーでFortiGateの公開エンドポイントに侵入を試みる。さらに注目すべきは、Fortinetが採用していたレガシーなSHA-256方式のパスワードハッシュ保存の弱点を突き、HashcatやHashtopolisによる分散GPUクラスターでオフラインのパスワードハッシュを大量にクラッキングしていた点だ。自作ツール「FortigateSniffer」(Go言語製)を用いて24種類ものプロトコルから認証情報を傍受する手口も確認されており、偵察からクレデンシャル窃取、ハッシュクラッキング、横展開・データ窃取に至る5段階の攻撃チェーンが構築されていたという。研究者が発見した攻撃者側のバックエンドサーバーからは、ターゲットを売上規模やネットワーク構成で選別・優先順位付けする仕組みや、侵害済みアクセス権をパッケージ化して販売する運用体制まで明らかになっている。

管理者ロックアウトとランサムウェアへの波及

FBIとシークレットサービスが特に警鐘を鳴らすのは、攻撃者が侵害した認証情報を使って新たな管理者アカウントを作成したり、既存の管理者アカウントを削除・パスワード変更したりすることで、正規の管理者自身をデバイスから締め出すケースだ。永続化のために「adminin」「fortiAdmin」「forticloud-sync」「fgtsecure」「pakedge」といった紛らわしい名前の不正アカウントが作成される事例も報告されている。盗まれた初期アクセス権は、少なくとも20以上のアフィリエイトが関与する初期アクセスブローカーのモデルを通じて転売されており、INC/Lynxランサムウェアグループへの関連が7月時点でSOCRadarにより指摘されていた。今回の警告では、このアクセス経由で少なくとも12件以上の組織がランサムウェアによる侵害・暗号化被害に遭ったこと、さらにPayloadランサムウェアのアフィリエイトにもアクセス権が供与されていたことが確認されている。

推奨される対策と今後の見通し

FBIは、単にFortinet製品へのパッチ適用だけでは不十分であり、より踏み込んだ対応が必要だと強調している。具体的には、外部からの管理アクセスの制限、すべてのアクティブなVPN・管理セッションの強制終了、フィッシング耐性のある多要素認証(MFA)の導入、不審な変更がないかのログ精査、そしてレガシーなSHA-256方式に代わるPBKDF2方式でのパスワード保存の徹底が推奨されている。さらに、既存のFortinetアカウントがすべて正規のものか確認し、疑わしいアカウントの削除や認証情報の全面リセットを行うことも呼びかけられている。CISAは6月の時点で初期警告を出していたが、今回10月の共同警告は、発覚から数カ月を経てもなお攻撃が収束していないことを示すものであり、インターネットに公開されたVPN機器を運用する組織にとって、継続的な監視と多層的な防御の必要性を改めて浮き彫りにしている。