FortiGate認証情報窃取「FortiBleed」、ランサムウェア「INC」「Lynx」の侵入経路と判明

セキュリティ企業SOCRadarの脅威調査部門（STRU）は2026年7月1日、FortiGateファイアウォールの認証情報を大規模に窃取するキャンペーン「FortiBleed」が、主要なランサムウェア攻撃グループの侵入経路（初期アクセス）として機能していることを確認したと発表した。攻撃インフラの分析から、世界的に活発なランサムウェア「INC Ransom」および「Lynx」との直接的なつながりが実証されている。すでに43万台の企業向けファイアウォールが標的となっており、認証情報が窃取されてから30〜60日以内にランサムウェア攻撃が実行される可能性があるとして、専門家が警戒を呼びかけている。

■認証情報窃取からランサムウェア展開への「パイプライン」が実証される

SOCRadarの脅威調査部門（STRU）の発表によると、FortiBleedの攻撃インフラへのアクセス権を持つ単一のオペレーターが、世界で最も活発なRaaS（Ransomware-as-a-Service）運営組織である「INC Ransom」と「Lynx」の両方の交渉パネルに同時にログインしていることが確認された。

これまで単なる認証情報の不正取引プロジェクトとみられていたFortiBleedだが、今回の属性特定により、即座に追跡可能な実害を伴うランサムウェアの配信チェーンであることが明らかになった。すでに少なくとも12件のランサムウェア攻撃がFortiBleedによるアクセスに直接起因していることが突き止められており、影響を受けた組織では数百台のエンドポイントが暗号化されているという。

■6月からの状況変化：拡大するインフラと組織化された攻撃グループ

セキュリティ研究者のVolodymyr "Bob" Diachenko氏が2026年6月中旬に攻撃者の公開サーバーを初めて暴露した際、その規模はすでに驚異的なものだった。194カ国にわたるFortiGateファイアウォールおよびVPNゲートウェイの有効な認証情報8万6,644件が流出しており、標的とされたデバイスは43万台（インターネットに公開されているFortinet製ハードウェアの約半分に相当）に上っていた。これを受けて、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）は6月18日に緊急勧告を出し、英国の国家サイバーセキュリティセンター（NCSC）も同日に世界的な警告を発した。

その後、SOCRadarが調査を継続した結果、状況はさらに深刻であることが判明した。第一に、攻撃インフラは当初の想定よりも大規模であり、Shodan、Censys、Validinを用いたマッピングにより、新たに約200台の運用サーバーが特定され、合計で約500台に達している。第二に、攻撃グループの組織構造が明らかになった。回収された内部追跡文書によると、約20人からなる組織的な役割分担が存在し、影響力の高い侵入を担当する少数のコアオペレーターを、技術スペシャリストやジュニアオペレーター、サポートスタッフが支える構造になっている。そして第三に、窃取された認証情報の最終的な行き先が、前述のランサムウェアグループであることが確認された。

■「FortigateSniffer」がファイアウォールを盗聴器に変える仕組み

FortiBleedの技術的骨格は、Golangで開発されたカスタムツール「FortigateSniffer」である。このツールは、一般的なマルウェアのように動作するわけではない。

攻撃者は、認証情報の使い回し（リスト型攻撃）や総当たり攻撃（ブルートフォース）、あるいは過去のFortinet関連の漏洩データから再利用した認証情報を用いてFortiGateデバイスへのアクセスを取得する。その後、FortigateSnifferは、ネットワークのトラブルシューティング用に設計されたFortiOSの正規の組み込み診断コマンド「diagnose sniffer packet」を悪用する。このコマンドを乗っ取ったファイアウォール上で実行することで、デバイスを通過するすべての認証セッションを監視する受動的な「盗聴器」へと変貌させる。

FortigateSnifferは、Kerberos、RADIUS、NTLM、RDP、LDAP、MSSQLなど、24のプロトコルにわたる認証情報を同時にキャプチャする。外部からペイロードをドロップしたり、新たなマルウェアをインストールしたりしないため、検知するためのマルウェアシグネチャが存在しない。

さらに検知を回避するため、このスニッファーはモスクワ時間の07:00から18:00の間のみ動作し、通常のビジネス時間帯のネットワークトラフィックに意図的に紛れ込ませていた。キャプチャされた認証ハッシュは、Hashtopolisで管理され、Hashcatをエンジンとする45基のGPU分散クラスタに送られ、24時間体制で解析されていた。解析結果はTelegramボットを介して、ハードコードされた単一の管理者にリアルタイムで送信されていたという。

この運用の規模は数字にも表れている。659以上の収集パイプラインが稼働し、データセット全体で1億500万件以上の認証情報が特定され、32万台以上のFortiGateターゲットに対して11億6,000万回の認証試行が行われた。並行して、同じインフラから16万3,000台以上のMicrosoft SQL Serverシステムに対して21億回の総当たり攻撃が実行されており、これがFortinet製品に限定されない広範な初期アクセス活動であることが裏付けられている。STRUの最新の評価によると、現在も約1万1,000台のデバイスにスニッファーが展開されたままであり、キャンペーンは依然として活発である。

■古いパスワード保存方式が大量解析を容易に

FortiGateデバイスにおける設計上の仕様も、このキャンペーンの成功を後押しした。

FortiGateデバイスは歴史的に、管理者認証情報をソルト付きSHA-256ハッシュとして設定ファイル内に保存していた。SHA-256は一般的な攻撃には十分だが、GPUアクセラレーションを用いた解析に対しては計算負荷が低く、FortiBleedが運用していたようなGPUクラスタの格好の標的となる。Fortinetは、2025年後半にリリースされたFortiOSバージョン7.2.11、7.4.8、および7.6.1において、管理者認証情報向けにPBKDF2ベースのハッシュ化を導入した。しかし、このアップグレードには重要な条件がある。PBKDF2への移行は自動的には行われないのだ。ファームウェアをアップグレードした後、各管理者がデバイスに物理的にログインして、自身の認証情報の再ハッシュ化をトリガーする必要がある。

ログインが行われるまで、古いSHA-256ハッシュは非表示の「old-password」設定フィールドに保存されたままとなる。これはデバイスにログインしている管理者からは見えないが、設定バックアップからは確認可能である。さらにFortiOS 7.2.xおよび7.4.xでは、再ログイン後であっても、「login-lockout-upon-weaker-encryption」設定を明示的に有効にしない限り、SHA-256ハッシュが残存し続ける。

つまり、スケジュール通りにFortiOSをアップグレードしていても、管理者のパスワードを一度も変更せず、すべての管理者に再認証を強制していなかった組織は、依然として解析可能なSHA-256ハッシュを保持していたことになる。この構造的な隙があったため、複雑なパスワードを設定していても防御にならなかった。FortiBleedのデータセットに含まれる侵害された認証情報の63.3%は、一般的な管理者アカウントか、多くの環境で名前が変更されていなかった工場出荷時のデフォルトのFortinetシステムアカウントであった。攻撃者は総当たり攻撃を実行する前に、これらのターゲットリストを生成することが可能だった。

Fortinetは、このキャンペーンについて、過去のインシデントからの認証情報の再利用や、パスワード管理が不十分で多要素認証（MFA）が設定されていないデバイスに対する総当たり攻撃が原因であり、新たな脆弱性によるものではないと説明している。この説明は技術的には正確だが、ファームウェアをアップグレードした後に管理者の再認証を強制しなかった組織が直面する、PBKDF2移行プロセスの課題を解決するものではない。

■特定された攻撃者：1人のオペレーターが2つのランサムウェアグループに関与

ランサムウェアとの関連性は、STRUがFortiBleedインフラに属するWindowsサーバーにおいて、運用のセキュリティミス（OPSEC lapse）を発見したことで明らかになった。このミスにより、研究者はグループの内部ファイル、ログ、運用ドキュメントを含む環境を閲覧できるようになった。

その環境内で、1人のオペレーターが「INC Ransom」と「Lynx」の両方のランサムウェアの交渉パネルに同時にログインし、被害者との身代金交渉に直接関与している様子が確認された。STRUがBleepingComputerと共有したスクリーンショットには、両グループの活発な交渉ダッシュボードが写っている。この属性特定は、別のデータによっても裏付けられている。STRUがFortiBleedの運用サーバーから得た標的データと、別途発見されたINC関連のオープンディレクトリを照合したところ、両方のデータセットで一致する被害組織が見つかった。つまり、同じ組織が認証情報窃取キャンペーンとランサムウェアグループの両方から追跡されていたことになる。

INC Ransomは2023年7月から活動しており、これまでに800以上の被害組織を出している、最も活発なRaaS運営組織の一つである。標的は医療、教育、政府機関、製造業など多岐にわたり、主に米国や欧州に集中している。これまでの主な被害者には、NHSスコットランドのDumfries and Galloway保健局、Xerox、テキサス州法曹協会などが含まれる。

一方、Lynxは2024年7月に登場し、複数のセキュリティ研究者によってINCの直接の後継組織であると評価されている。2024年5月に地下フォーラムで30万ドル（約4,830万円、1ドル=161円換算）でソースコードが販売されたと報じられており、コードベースの90%以上を共有しているとみられる。Lynxはこれまでに300近くの被害組織を出しており、特に製造業、法的サービス、エネルギーインフラを標的にしている。

STRUが回収した内部追跡文書では、FortiBleedの被害者データベースがセクター、地域、そして「標的企業の売上高」によって整理されていた。この標的選定の手法は、無差別な認証情報の投棄ではなく、ランサムウェア攻撃を目的とした初期アクセスブローカー（IAB）の典型的な特徴である。攻撃者はランサムウェアの支払能力を事前に調査した上で、組織を選別していた。

■ランサムウェアの枠を超えるリスク：ロシア系オペレーターの意図

FortiBleedインフラのツールのフォレンジック分析（コード内のキリル文字のコメントや、モスクワの営業時間に基づいたスニッファーの運用スケジュールなど）から、ロシア語を話す脅威アクターの関与が強く示唆されている。最初に公開サーバーを発見したVolodymyr Diachenko氏も、この活動をロシア語圏の複数オペレーターからなるサイバー犯罪グループによるものと帰属させている。Recorded FutureのInsikt Groupも独自に同様の結論に達しており、ランサムウェアの文脈だけでは捉えきれない側面を指摘している。

少なくとも1社のNATO加盟国関連の防衛産業企業での侵害が確認されていること、そしてロシアとの関連性から、Insikt Groupは「日和見的なアクセスと並行して、スパイ活動目的である可能性が高まっている」と指摘している。194カ国の政府機関、防衛産業、電気通信、金融機関、病院を網羅し、セクターや売上高で整理された認証情報データベースは、ランサムウェアの提携グループだけでなく、外国の企業ネットワークへの持続的なアクセスを求めるあらゆるアクター（金銭目的の犯罪、知的財産の窃盗、あるいは情報収集活動など）にとって有用なものとなる。

SOCRadarは、管理者レベルのアクセスが確認された409のターゲットのうち354において、オペレーターがVPNの侵害、ドメインコントローラーへのアクセス、そしてドメイン管理者権限の取得という一連の攻撃チェーンを完了させていることを確認した。このレベルのアクセス権を握られた場合、ファイルを暗号化して身代金を要求するか、静かにデータを持ち出すか、あるいは持続的なアクセスを維持するかは、完全に攻撃者側の選択に委ねられることになる。

■組織が今すぐ講じるべき対策

SOCRadarの評価によると、FortiBleedによる侵害はランサムウェア攻撃の前兆として捉えるべきであり、認証情報が取得されてから30〜60日以内に攻撃が実行される可能性がある。CISAや英国NCSCが推奨する主な対策手順は以下の通りである。

【即時対応】すべての有効な管理セッションおよびSSL VPNセッションを強制終了し、すべてのFortiGate管理者およびVPNのパスワードをローテーション（変更）する。自組織が公開されたデータセットに含まれていない場合でも、インターネットに公開されているデバイス上のすべての認証情報は侵害されている可能性があるものとして扱う必要がある。公開されているデータセットは研究者が回収できた一部に過ぎず、攻撃者が保持している全容を示しているわけではない。

【PBKDF2の確認】パスワード変更後、PBKDF2によるハッシュ化が有効になっていることを確認する。単にPBKDF2対応のFortiOSバージョンをインストールするだけでなく、ファームウェアのアップグレード後に各管理者がデバイスにログインして再ハッシュ化をトリガーする必要がある。FortiOS 7.2.xおよび7.4.xでは、さらに「login-lockout-upon-weaker-encryption」設定を有効にして、古いパスワードフィールドから残存するSHA-256ハッシュを完全に削除する。

【アクセス制限とMFA】すべての管理者アカウントおよびリモートアクセスアカウントで、フィッシング耐性のある多要素認証（MFA）を有効にする。また、管理インターフェースへのアクセスを信頼できる内部IPアドレスや帯域外（アウトオブバンド）管理ネットワークのみに制限する。調査によると、影響を受けたデバイスの大部分で、発見時にFortiGateの管理インターフェースがインターネットに直接公開されていた。

【ログの監査】過去90日間に遡り、不正なアクセス、設定変更、見覚えのないサービスアカウント、またはラテラルムーブメント（横展開）の兆候がないかログを確認する。もし侵害が確認された場合は、該当するデバイスを隔離し、対策を講じる前にログと設定データを保存する。すでにドメイン管理者権限を奪取されている場合、攻撃者はパスワード変更を生き延びる方法で持続的なアクセスを確立している可能性があるため、単なる認証情報の変更だけでは不十分である。

なお、SOCRadarやHudson Rockからは、自社のドメインやIPアドレスが公開データセットに含まれているかを確認できる無料のチェックツールが提供されている。

■注目ポイントQ&A

●チェックツールの結果に自社組織が表示されなければ安全ですか？

必ずしも安全とは言えません。SOCRadarやHudson Rockが分析したデータセットは、攻撃者のサーバーから研究者が回収できた一部のデータに過ぎず、FortiBleedのオペレーターが収集した全容を網羅しているわけではありません。CISAや複数のセキュリティ研究者は、インターネットに公開されているすべてのFortiGateデバイスが侵害されている可能性があると想定し、チェックツールの結果に関わらず、すべての認証情報を変更することを強く推奨しています。

●FortigateSnifferはどのようにしてセキュリティソフトに検知されずに認証情報を盗むのですか？

FortigateSnifferは、FortiOSに標準搭載されている正規のネットワーク診断コマンドである「diagnose sniffer packet」を悪用して、ファイアウォールを通過する認証トラフィックを受動的にキャプチャします。外部から新たなマルウェアをインストールするのではなく、OSに組み込まれた正規コマンドを使用するため、セキュリティソフトが検知するファイルが生成されず、標準的な境界監視でもアラートが発生しません。キャプチャされたKerberosやNTLM、RADIUSなど24のプロトコルの認証ハッシュは、外部の解析用クラスタに送信されてオフラインで解読されます。

●今回の件は、パッチを適用すれば解決する一般的な脆弱性と何が違うのですか？

FortiBleedには、対応するCVE（共通脆弱性識別子）や、適用すれば解決するようなパッチが存在しません。セキュリティ企業Bitdefenderの技術アドバイザリーが指摘するように、FortiBleedはパッチを適用して解決できる問題ではないため、一般的な脆弱性よりも危険性が高いと言えます。このキャンペーンは、認証情報の使い回し、不十分なパスワード管理、FortiOSにおける古いSHA-256形式でのパスワード保存、そして管理インターフェースのインターネット公開といった複数の要因を悪用しています。そのため、各組織が個別に認証情報の変更、PBKDF2への移行確認、MFAの有効化、管理インターフェースのアクセス制限を行う必要があります。

●FortiBleedで窃取された認証情報は、ランサムウェア以外のスパイ活動などにも悪用される可能性がありますか？

はい、その可能性は十分にあります。Recorded FutureのInsikt Groupは、ロシア語圏のアクターによる関与や、NATO加盟国の防衛産業企業での侵害が確認されていることから、金銭目的のランサムウェア攻撃だけでなく、スパイ活動目的で悪用される可能性を指摘しています。194カ国の政府機関や防衛産業、病院、金融機関などの管理者認証情報が含まれるデータベースは、持続的なネットワークアクセスを求める国家支援型の攻撃者にとっても極めて有用な情報源となります。

元記事: FortiBleed Confirmed as Ransomware Pipeline: INC and Lynx Linked to 430,000 Firewalls