FBI Warns FortiBleed Campaign Targeting Fortinet Firewalls and VPNs to Steal Credentials
2026/10/07 gbhackers — 米国の FBI／Secret Service が共同で発表したのは、FortiBleed によるサイバー攻撃に関するアドバイザリである。インターネットへ公開された Fortinet FortiGate ファイアウォール／SSL VPN ゲートウェイを、引き続き標的とする脅威アクターが、認証情報の窃取／不正アクセスの維持／ランサムウェア攻撃などを展開する可能性があると警告している。2026年10月6日に公開されたアドバイザリでは、この攻撃活動による新たな影響として、管理者がアクセスできなくなる事態が強調されている。
FBI が FortiBleed 攻撃活動を警告
このアドバイザリによると、SOCRadar は 194カ国で 8万6,644台を超えるデバイスの侵害を確認している。
この攻撃では、再利用された認証情報／漏えいした認証情報と、従来の SHA-256 によるパスワード保存方式が悪用され、認証データの収集／窃取したハッシュの大規模な解析が行われている。
調査当局が確認しているのは、過去に侵害された認証情報を使い続け、外部公開されている Fortinet システムを、継続的にスキャンする悪意の活動である。
FortiBleed の悪意のインフラが明らかにされたのは、その運用者がバックエンド・サーバを意図せずに公開したことがきっかけだった。アクセス可能になったディレクトリから発見されたのは、FortiGate SSL VPN アプライアンスを標的とする、多段階の認証情報収集／初期アクセス仲介活動を支援するツールとデータセットである。
攻撃者は最初に、アクセス可能な VPN ポータルをインターネット上でスキャンする。その後に、過去の Fortinet 関連の漏えい／情報窃取マルウェアのログから入手した認証情報を悪用して、クレデンシャル・スタッフィング攻撃やパスワードスプレー攻撃を実行する。
デバイスを侵害した攻撃者は、パスワードハッシュ／ユーザーデータベース／セッショントークンなどの認証情報を抽出する。窃取されたハッシュは、Hashcat／Hashtopolis で管理される分散 GPU 解析パイプラインで処理される。
運用者は、復元した平文の認証情報を検証し、ハニーポットの可能性がある対象を除外して被害組織を特定した上で、収益やネットワーク構成に基づいて標的の優先順位を決定する。その後に、実際に利用できる VPN 設定と標的のリストをまとめ、下流の購入者へ提供する。
攻撃者はアクセスを維持するために、追加の管理者アカウントを作成すると、このアドバイザリは警告している。一部のケースでは、正規アカウントの削除／パスワードの変更も行われており、攻撃者が横展開を試みる期間において、影響を受けたアプライアンスに対する管理者からのアクセスが困難になる。そのため、修正においては、通常のパッチ適用とパスワードリセットを超える対策が必要になるとされる。
調査当局が特定した不審なアカウント名には、adminin／fortiAdmin／forticloud-sync／support_fortinet／system_config／forti_support2 が含まれる。
組織に求められるのは、ユーザー名が一致するという理由だけで判断するのではなく、各アカウントが正規のものかどうかを確認することである。この攻撃活動では、特権アカウントを特定するため、Active Directory の列挙／追加のパスワードスプレーも行われている。
FortiBleed 攻撃チェーンを用いるイニシャル・アクセス・ブローカー (IAB) は、INC/Lynx／Payload などのランサムウェア関連組織に対してアクセス権を提供していると報告されている。
FBI／Secret Service が推奨しているのは、可能な限り管理機能をインターネットへ公開しないこと、または、管理アクセスを信頼できるホスト／local-in ポリシーに制限することである。
組織に求められるのは、管理セッションと VPN セッションの終了／関連するパスワードのリセット／リモートアクセス用と管理用アカウントに対するフィッシング耐性の高い多要素認証の適用である。
防御担当者に推奨されるのは、既知の正常なベースラインと実際の設定の比較と、見覚えのないアカウントの調査に加えて、ファイアウォール／VPN／認証／ドメイン・コントローラのログを確認することである。また、不明な REST API キーを削除し、正規のキーについても更新する必要がある。
さらにアドバイザリは、認証情報の保存に PBKDF2 を導入し、強度の低い従来のハッシュ方式を廃止するよう管理者に求めている。侵害が疑われる場合には、隔離と証拠の収集／脅威ハンティング／連携した攻撃者の排除が必要となる。インフラの IP アドレスは、別の利用者へ再割り当てされる可能性があるため、記載された IP の侵害指標については、ブロックする前に他の情報と照合して確認する必要がある。
Fortinet 製デバイスを標的とする、FortiBleed 関連の不正アクセス攻撃について解説する記事です。認証情報の使い回しや弱い暗号化方式の悪用に伴い、資格情報の抽出／特権アカウントの勝手な作成／管理権限の剥奪／ランサムウェアの侵入といった不具合が生じる危険性があります。対象となる製品は FortiGate (FortiGate SSL VPN) です。対応策として強固な多要素認証の導入／アカウント情報の確認／アクセス制御の厳格化が求められます。
You must be logged in to post a comment.