FortiBleed：FortiGateを狙った大規模認証情報窃取キャンペーン

1. はじめに

2026年6月、FortinetのFortiGateを標的にした大規模な認証情報窃取キャンペーンが明らかになりました。セキュリティ企業のSOCRadarは、このキャンペーンを「FortiBleed」と命名しました。同社によると、攻撃者のデータベースには194カ国、86,644台のFortinet機器に対応する認証情報が記録されていました。これらはSOCRadarが攻撃インフラを分析して公表した数値であり、Fortinetや公的機関が個々の機器の侵害を確認した統計ではありません。

FortiBleedは、Fortinet製品の特定の脆弱性を指す名称ではなく、インターネットに露出したFortiGateやSSL VPNゲートウェイを標的にしたキャンペーン名です。公開情報で中心的な手口として報告されているのは、過去に漏洩した認証情報の再利用、クレデンシャルスタッフィング、推測しやすい認証情報の悪用です。新規ゼロデイ脆弱性がキャンペーンの主要な侵入経路だったと断定できる情報は示されていません。

このレポートでは、発覚の経緯、名称の位置づけ、SOCRadarが報告した攻撃手順、被害が拡大した理由、ランサムウェア攻撃との関連、推奨対応について説明します。

2. 発覚の経緯

セキュリティ研究者Volodymyr “Bob” Diachenkoは、攻撃者が使用していたとみられるサーバーでファイル一覧を閲覧できる状態になっていることを発見しました。SOCRadarの報告によると、このサーバーには攻撃ツール、自動化スクリプト、検証済みとされる認証情報のデータベースが保存されていました。

SOCRadarは関連インフラを調査し、当初260台以上のサーバーをキャンペーンに関連付けました。同社は2026年6月16日に調査結果を公表し、キャンペーンをFortiBleedと命名しました。

公開状態のサーバーは調査の糸口であり、被害組織への侵入口ではありません。SOCRadarは、攻撃者が過去に漏洩した認証情報などを使ってFortiGateへログインし、侵害後の機器で認証関連の通信を収集していたと説明しています。

3. 名前について：Heartbleedとの混同に注意

Heartbleedは、OpenSSLのTLSハートビート拡張の実装不備により、プロセスのメモリ内容が外部へ読み出される脆弱性です。CVE-2014-0160として識別され、秘密鍵、セッション情報、認証情報などが漏洩する可能性がありました。

FortiBleedはHeartbleedとは性質が異なります。

SOCRadarもFortiBleedを個別のソフトウェア脆弱性ではなく、インターネットに露出したFortinet機器を狙うクレデンシャル窃取キャンペーンとして説明しています。

4. 攻撃手順

以下は、SOCRadarが攻撃インフラの分析に基づいて報告した手順です。すべての対象で最終段階まで進んだことを示すものではありません。

Stage 1：偵察

攻撃者はMasscan、Shodanなどを利用し、インターネット上のFortiGate管理画面、SSL VPNポータル、SSHサービスなどを探索していたと報告されています。SOCRadarの続報では、探索対象は43万台を超えたとされています。この数は侵害が確認された機器数ではありません。

Stage 2：認証情報を使った侵入

SOCRadarは、過去のFortinet関連リークやインフォスティーラーのログに含まれていた認証情報を、インターネットに露出したFortiGateに対して自動的に試行していたと説明しています。クレデンシャルスタッフィングやブルートフォースも報告されています。

攻撃者のデータベースでは、adminに類する汎用的な管理者名や、Fortinet製品に関連するアカウント名が多く確認されました。ただし、ユーザー名の分布だけでは、出荷時パスワードがそのまま使われていたことまでは断定できません。推測しやすいユーザー名と、漏洩後に変更されなかったパスワードの組み合わせが侵入を容易にした可能性があります。

Stage 3：FortigateSnifferによる通信収集

侵入後、攻撃者はGo言語で作成されたとされるFortigateSnifferを使用していました。このツールは、FortiOSの正規コマンドであるdiagnose sniffer packetを呼び出し、機器を通過する通信を収集していたとSOCRadarは報告しています。正規のパケット取得機能を利用するため、端末上のマルウェア監視だけでは活動を把握できません。

SOCRadarによると、ツールはNTLM、Kerberos、RADIUS、LDAP、RDP、SMB、WinRM、TACACS+、MS-SQL、MySQLなど、24種類のプロトコルに関連する通信を収集対象としていました。ただし、取得できる情報は、プロトコル、暗号化設定、認証方式、FortiGate上での通信の終端位置によって異なります。列挙されたすべてのプロトコルから平文パスワードや再利用可能なハッシュを取得できるわけではありません。

Stage 4：オフライン解析

SOCRadarは、収集したハッシュをHashtopolisとHashcatを組み合わせたGPU基盤で解析し、Telegramボットを使ってジョブの投入や結果回収を自動化していたと報告しています。

Stage 5：取得した認証情報による内部侵入

取得した認証情報は、VPNや内部システムへの侵入、ドメインコントローラーへのアクセス、権限昇格などに利用されました。

SOCRadarの続報では、拡張調査で追跡した約11,250台のFortiGateポータルのうち、409件で管理者権限によるアクセス、354件でドメインコントローラーへの到達とドメイン管理者権限の取得を確認したとされています。同社は、このアクセスに由来すると評価したランサムウェア展開を少なくとも12件確認したとも報告しています。これらはSOCRadarの調査結果であり、86,644台すべてで内部侵入が発生したことを意味しません。

5. ファームウェア更新だけでは復旧しない理由

漏洩または窃取された認証情報は、FortiOSを更新しただけでは無効になりません。攻撃者が有効なパスワード、APIトークン、VPN認証情報、セッション情報などを保持している場合、脆弱性を修正した後も再侵入される可能性があります。

FortiOS 7.4系では7.4.8以降、7.6系では7.6.1以降、システム管理者パスワードの保存にランダムなソルトを使用するPBKDF2が採用されています。旧形式のSHA-256ハッシュは、対象バージョンへの更新後に管理者がログインするとPBKDF2へ変換されます。ただし、ダウングレード互換性のため、設定によっては変換後も旧ハッシュが保持されます。また、この変換は、攻撃者が把握したパスワード自体を変更するものではありません。

侵害対応では、FortiOSの更新と保存形式の確認に加えて、管理者、VPN、API、サービスアカウントの認証情報を変更し、既存セッションとトークンを無効化する必要があります。設定バックアップにはパスワードや秘密情報が含まれる可能性があるため、保存場所、暗号化、アクセス履歴も確認対象になります。

6. 端末EDRだけでは把握しにくい理由

一般的な端末向けEDRエージェントは、Windows、macOS、Linuxなどの汎用OSを監視対象とします。FortiOSはネットワークアプライアンス向けの専用OSであり、FortiGate上の操作は端末EDRの直接の監視範囲に入りません。

　侵害時のイメージ

　　内部エンドポイント（端末EDRの監視対象）
　　　　↑
　　FortiGate（端末EDRの監視対象外）← パケット取得コマンドが実行される
　　　　↑
　　インターネット

そのため、FortiGateの侵害検知には、ForthiGate自身への管理者ログイン、設定変更、CLI操作、ネットワーク通信、FortiAnalyzerやSIEMへ転送したログなどを組み合わせる必要があります。端末EDRで異常が見つからないことは、境界機器が侵害されていないことの根拠にはなりません。

7. SOCRadarが報告した規模

これらの数字は単一の調査主体による集計です。組織ごとの影響判断では、FortiGateのログ、認証基盤のログ、設定変更履歴などによる個別確認が必要です。

8. FortiBleedとINC Ransom・Lynxとの関連

FortiBleedで取得したアクセスがランサムウェア攻撃に利用された可能性

SOCRadarは、FortiBleed関連インフラを利用できる人物が、INC RansomとLynxの交渉パネルにログインしていたと報告しています。また、FortiBleedの対象組織とINC Ransomの被害組織に重複があり、FortiBleed由来と評価されたランサムウェア展開が少なくとも12件確認されたとしています。これらは、FortiBleedで取得したアクセスがランサムウェア攻撃に利用された可能性を示します。ただし、FortiBleedの運営者と両ランサムウェアグループが同一組織であることを示すものではありません。

9. 推奨対応

以下のうち「緊急」は、自組織の情報がFortiBleedのデータセットに含まれる場合、または不審な管理ログインや設定変更が確認された場合を想定しています。該当しない場合も、管理機能の公開状況や認証設定を確認し、必要な予防策を実施します。

おわりに

FortiBleedについて公開されている中心的な手口は、過去に漏洩した認証情報の再利用、インターネットに露出した管理機能へのアクセス、侵害した境界機器での通信収集です。個々の手口は以前から知られていましたが、SOCRadarの調査は、これらが自動化され、大規模な認証情報収集と内部侵入に利用された可能性を示しています。

ネットワーク構成によっては、FortiGateはリモートアクセスVPNの終端や内部セグメント間通信の経路となります。この位置にある機器が侵害されると、通過する通信や管理情報が収集される可能性があります。端末EDRだけでは境界機器上の操作を直接監視できないため、管理アクセスの制限、認証情報の変更、MFA、ログの外部保存、定期的な設定監査を組み合わせる必要があります。

出典