Fortinet 認証情報窃取キャンペーン FortiBleed を追跡：INC／Lynx ランサムウェアとの関連を確認

FortiBleed credential-theft campaign linked to Lynx ransomware

2026/07/01 BleepingComputer — Fortinet を標的とする、大規模な “FortiBleed” 認証情報窃取キャンペーンが、INC および Lynx のランサムウェア活動と関連していることが判明した。それにより示唆されるのは、すでに窃取されていた Fortinet の認証情報が、その後のネットワーク侵入を促進する目的で悪用されていたことである。このキャンペーンに先立ち、73,000 台を超える Fortinet デバイスから窃取した認証情報を格納するサーバが、インターネット上で公開されている状態で発見された。

研究者たちが確認したのは、FortiGate のコンフィグ・ファイル／侵害されたデバイスから収集された認証情報／パスワード・ハッシュのクラックを解析し、認証情報スタッフィング攻撃で悪用するためのインフラが、このサーバに含まれていることである。公開された認証情報の量が膨大であり、大規模な認証情報窃取活動が行われていたことから、このキャンペーンは “FortiBleed” と名付けられた。

SOCRadar による追加調査により判明したのは、この活動では侵害された FortiGate ファイアウォール上で使用される、”FortiGate Sniffer” と呼ばれるカスタム・パケット・スニッフィング・ツールの存在である。これにより攻撃者は、ネットワーク・トラフィックから VPN 認証情報などの機密データを直接傍受できた。

また、SOCRadar の Threat Research Unit (STRU) による最新の調査では、この認証情報窃取活動が INC および Lynx の Ransomware-as-a-Service (RaaS) グループのメンバーと結び付いていることが明らかになった。研究者たちは、FortiBleed のインフラの一部として使用されていた Windows サーバを特定し、この関連性を突き止めた。

SOCRadar は、「当社の脅威研究チームは、FortiBleed のインフラとして使用されていた Windows サーバを特定した。これにより、脅威アクターの活動手法についての知見を得ることができた」と BleepingComputer に述べている。

研究者たちは、「そのサーバの調査で収集したアーティファクトを分析した結果、脅威アクターが Lynx／INC の両ランサムウェア・グループの身代金交渉パネルにアクセスしていたことが明らかになった」と付け加えている。

SOCRadar は、両ランサムウェア・グループの管理パネルにアクセスする、ブラウザ・セッションのスクリーンショットを BleepingComputer と共有した。その画像には、ランサムウェア交渉で使用される被害者とのチャットを含む、交渉ダッシュボードが表示されていた。研究者によると、これは FortiBleed のインフラへアクセスできる人物が、ランサムウェア・グループの交渉プラットフォームにも関与していたことを示す直接的な証拠であるという。

SOCRadar は、このキャンペーンとの関連が判明していたサーバに加え、200 台を超える追加の運用サーバを特定したと明らかにした。また、FortiBleed の活動中に収集され、その後に INC のランサムウェア漏洩サイトに掲載された、組織と重複する被害者の情報も発見した。その他にも、役割分担が明確にされた約 20 人のメンバーで、この活動が構成されていることを示唆する証拠も確認している。

このキャンペーンの規模は当初想定されていたよりもはるかに大きく、世界中の 430,000 台を超える FortiGate ファイアウォールを標的とし、約 19,000 台のデバイスに対してトラフィック・スニファーを設置していたという。影響を受けた組織へ通知した後には、侵害されたデバイスは約 11,000 台まで減少したが、この活動で悪用されたサーバとして約 500 台を特定したと、研究者は述べている。

初期侵害後にアクセス範囲を拡大する活動の一環として、これまで未公開だった Nextcloud のゼロデイ脆弱性が悪用されたと、研究者たちはみているが 、現時点では技術的な詳細は公開されていない。さらに SOCRadar は、侵害されたシステム上において、”adminin” というユーザー名を使用する永続的なバックドア・アカウントも発見している。そして、ランサムウェアの復号キーの回収に向けた取り組みを継続していると述べている。

INC Ransom は、2023 年の半ばから RaaS プラットフォームとして活動しており、世界中の医療／教育／政府機関といった分野の組織を標的としている。その一方で、Lynx は 2024 年の半ばに出現しているが、新たな恐喝グループではなく、INC ランサムウェア・グループのリブランドであると、セキュリティ研究者たちは捉えている。SOCRadar は、侵害の痕跡 (IOC)／帰属に関する証拠／追加の技術分析などを含む、第 2 弾の技術ホワイトペーパーを、調査完了後に公開するとしている。

訳者後書：このインシデントの原因は、 FortiGate ファイアウォールにカスタム・パケット・スニッフィング・ツール (FortiGate Sniffer) が設置され、 VPN 認証情報などの重要なデータが直接傍受されてしまったことにあります。さらに、攻撃者が初期侵入した後に、未公開の Nextcloud のゼロデイ脆弱性を悪用してアクセス範囲を拡大したことや、システム内に永続的なバックドア・アカウントを作成して管理権限を維持したことも、被害を深刻にした要因です。これらの複数の原因が重なり合うことで、膨大な数の認証情報が組織的に窃取され、最終的に大規模なランサムウェア活動へと繋がってしまいました。被害を最小限に抑えるためにも、管理組織は FortiGate デバイスにおける不審なアカウントや接続ログの有無を急ぎ監査し、VPN 認証情報の全面的なローテーションや外部公開資産のセキュリティ監視を強化することが極めて重要です。よろしければ、FortiBleed での検索結果も、ご参照ください。