FortiGate 7万5000台の認証情報が流出。日本も被害圏内
日本のファイアウォール市場で国内シェア首位を走るFortiGate。そのVPN認証情報が194か国・7万5000台分、一括で流出した。ゼロデイではない。パスワードの使い回しだ。
「FortiBleed」の全容
セキュリティ研究者のヴォロディミル・"ボブ"・ディアチェンコ（Volodymyr "Bob" Diachenko）氏が、FortinetのFortiGateファイアウォールに紐づく大量の認証情報が露出したサーバーを発見した。「FortiBleed」と呼ばれるこのデータセットには、7万3932件のファイアウォールURLとユーザー名、メールアドレス、平文のパスワードが含まれる。影響は194か国、2万1632のユニークドメインに及ぶ。
脅威インテリジェンス企業Hudson Rockがデータセットを分析し、結果を公表した。セキュリティ研究者のケヴィン・ボーモント（Kevin Beaumont）氏も独立にデータの真正性を確認している。ボーモント氏によれば、データに含まれる約7万5000台のFortinetデバイスはほぼすべてがまだオンラインで稼働しており、最近の侵害だという。
Shodanのネットワークデータに基づくボーモント氏の推定では、このデータセットはインターネットに面したFortinetファイアウォール全体の約半数にあたる。
攻撃の手口
SOCRadarとHudson Rockの分析を総合すると、攻撃の構造が見えてくる。
ディアチェンコ氏の調査は、ロシア語話者の犯罪グループによる作戦だと指摘している。グループはインターネット全体をスキャンしてFortiGateデバイスを探し出し、過去のFortinetインシデントやインフォスティーラー（認証情報を盗むマルウェア）で収集した認証情報リストを使い、片っ端からログインを試みた。FortiGateへの試行だけで推定11億6000万回。並行してMicrosoft SQL Serverにも21億回のブルートフォースを実行していた。
ここまでなら、盗んだ認証情報を片っ端から試す大規模な使い回し攻撃に過ぎない。FortiBleedが厄介なのは、その先だ。
攻撃者は侵害したFortiGateを「盗聴ポスト」に変える。ファイアウォールはネットワークの境界に位置するため、内部と外部のすべてのトラフィックが通過する。VPN認証、Active Directoryへの接続、内部サービスへのアクセス。そこからさらに認証情報を窃取し、スキャナーにフィードバックする。侵害が侵害を生む自己増殖型のループだ。
さらに、抽出したSSL VPN認証ハッシュを、パスワード解析基盤Hashtopolisで管理する45基のGPUクラスターで解読。得られた認証情報で内部のActive Directory環境へ横展開する。
日本のネットワークが標的に入っている
日本、台湾、ベトナム、イラク、トルコでは、複数の組織が完全に侵害されたとディアチェンコ氏は報告している。「完全な侵害」とは、FortiGateへの侵入だけでなく、内部ネットワークへの横展開と持続的なアクセスの確立を意味する。最も深刻な事例として、トルコのNATO防衛関連企業から機密文書が窃取されたとされる。
ディアチェンコ氏が公開したスクリーンショットには、トヨタのドメインも含まれている。Samsung、Foxconn、Comcast、Siemens、Lenovo、PwC、Accenture、Oracleなど世界的な大企業の名前が並ぶ。各エントリには組織の業種、推定売上高、従業員数までコメントとして付記されている。企業ネットワークへの侵入口を転売する初期アクセスブローカーが「商品」をカタログ化する際の典型的なフォーマットだと、ボーモント氏は指摘する。
| 国 | デバイス数 | 割合 |
|---|---|---|
| インド | 9,629 | 13.0% |
| 米国 | 6,352 | 8.6% |
| 台湾 | 3,637 | 4.9% |
| メキシコ | 3,197 | 4.3% |
| トルコ | 3,032 | 4.1% |
| タイ | 2,939 | 4.0% |
| コロンビア | 2,436 | 3.3% |
| マレーシア | 2,066 | 2.8% |
| チリ | 2,015 | 2.7% |
| UAE | 1,988 | 2.7% |
| その他 | 3万6641 | 49.6% |
FortiGateは日本のUTM/ファイアウォール市場で国内シェア首位の製品だ。日本企業のネットワーク防御の中核を担う機器が、この規模の攻撃キャンペーンの射程に入っている。
パスワードの「強度」が無意味になる構造
今回のデータセットで目を引くのは、20文字を超える複雑なパスワードが大量に含まれている点だ。通常なら総当たりでの解読は非現実的な長さだが、それでも突破されている。
理由は単純で、これらのパスワードは「解読」されたのではなく、過去のインフォスティーラー感染や別のインシデントで平文のまま既に盗まれていた。攻撃者は知っているパスワードを入力しているだけだ。パスワードの複雑さは、そのパスワードが既に知られている状況では何の防御にもならない。
ボーモント氏は技術的な背景も指摘している。Fortinetは2025年初頭にパスワードハッシュの方式をPBKDF2に強化したが、この保護が有効になるのは管理者がファームウェア更新後に実際にログインし直した場合に限られる。更新は適用したがログインし直していないデバイスでは、旧来のSHA-256 with Salt形式のままだ。設定ファイルを抜き取れれば、オフラインで解読できる脆さが残る。
Fortinet側の見解と研究者の反論
Fortinetの広報担当者は、今回のデータについて「過去のインシデントで流出したデータの再共有とブルートフォースによるものであり、最近のインシデントやアドバイザリとは関係ない」とコメントした。定期的な認証情報のローテーションなどベストプラクティスに従っている組織のリスクは小さいとしている。
研究者たちの見方は異なる。2025年1月にBelsen Groupがリークした1万5000台分は、2022年のゼロデイ脆弱性CVE-2022-40684を通じて窃取された古いデータだった。FortiBleedのデバイスはIPアドレスが重複せず、比較的最近のFortiOSバージョンが動作している。規模も時期も異なる、別の侵害だとボーモント氏は結論づけている。
SOCRadarは、ゼロデイ脆弱性が悪用された証拠は見つかっていないとして、認証情報を標的にした攻撃と評価している。ただし同時期にFortiClient EMSの脆弱性CVE-2026-35616が悪用されていた点を指摘し、関連の可能性に言及した。
設定データが最初にどうやって抜き取られたのかは、依然として不明だ。ディアチェンコ氏、Hudson Rock、ボーモント氏のいずれも、その経路を特定できていない。
FortiGateを運用しているなら、今すぐ確認を
Hudson Rockは、ドメイン単位でデータセットへの掲載有無を確認できる無料のチェックツールを公開している。
影響を受けた組織が最初にやるべきことは、FortiGate VPNと管理インターフェースの全パスワードのローテーションだ。加えて、すべての外部アクセスにMFAを適用し、管理インターフェースへのアクセスを信頼されたIPアドレスだけに制限する。ゲートウェイログの精査、デフォルトアカウントや未使用アカウントの削除、FortiOSの最新版への更新も欠かせない。
パスワードの変更だけでは不十分な場合がある。攻撃者がスニッファーやバックドアを仕掛けている可能性があり、デバイスが完全に侵害されていた場合はインシデントレスポンスの手順に則った対応が必要になる。
参照元：Hudson Rock - FortiBleed分析
他参照：SOCRadar - FortiBleed: The Compromise of 30,000 Fortinet Firewalls
