「FortiBleed」リーク、7万3,000台のデバイスのFortinet VPN認証情報を流出。

更新：記事末尾にFortinetの声明を追加しました。

「FortiBleed」と名付けられた新たなデータ漏洩が発覚し、世界中の組織が保有する73,932件のファイアウォールURLに関するFortinet・FortiGate VPNの認証情報とみられるデータが流出しました。

この漏洩データを最初に発見したのはセキュリティ研究者のBob Diachenko氏で、有効なFortinet VPNの認証情報と思われるユーザー名、メールアドレス、平文パスワードを含むサーバーを発見したと報告しています。

Diachenko氏が共有したスクリーンショットおよび情報によると、このデータベースにはChevron、Samsung、Foxconn、Comcast、AT&T、Mercedes-Benz、Toyota、Sinopec、国家電網など多数の企業・組織のエントリーが含まれています。

「大規模なFortinet/FortiGateに対するブルートフォース攻撃・積極的な悪用キャンペーンが現在進行中であることが明らかになった」と、Diachenko氏はLinkedInに投稿しています。

「このようなファイルには、数千もの大手ベンダーのインスタンスが記載されている（スクリーンショット参照）。このファイル1つだけで21,634件のドメイン名があり、ChevronからFortinet本体まで含まれている。すべてのエントリーには、さまざまな手段で入手されたFortiGateアプライアンスへの有効なパスワードが付随している可能性がある。」

また流出データには、各組織の業種・売上高・従業員数を記したコメントも含まれており、攻撃計画への利用が疑われます。

Diachenko氏はその後の投稿で、今回の作戦はロシア語話者の複数オペレーターによる脅威グループが実行したもので、FortiGate SSL VPNデバイスの認証情報を収集していたと主張する追加情報を共有しました。

Diachenko氏の調査によると、攻撃者は320,777台のFortiGateを標的に約11億6,000万回の認証試行を行い、さらに163,650台のMicrosoft SQL Serverシステムに対しては約21億回の試行を実施したとされています。

また、脅威アクターはSSL VPN認証ハッシュを傍受し、Hashtopolisで管理する45GPU構成のクラスターを使ってクラックした後、取得した認証情報を用いて内部のActive Directory環境へ横展開したとも述べています。

Diachenko氏はBleepingComputerに対し、同じサーバー上に誤って公開されていた追加ファイルを解析することでこれらの詳細を入手したと説明しています。

「攻撃者はアーティファクト、接続文字列、ツール、スクリプト、データを含むオープンディレクトリを誤ってオンライン状態のままにしていた。cronジョブ、bashの履歴、ログ等から分析情報を取得した」と、Diachenko氏は説明しています。

また同研究者は、日本・台湾・ベトナム・イラク・トルコの複数組織が完全に侵害されており、トルコのNATO関連防衛請負業者から機密文書が盗まれた可能性があるとも述べています。

脅威インテリジェンス企業のHudson Rockは、Diachenko氏からデータセットを受け取り、流出データの独自分析を公開しました。同社はこのコレクションを、侵害されたFortinet関連認証情報として過去最大規模のものの一つと評しています。

Hudson Rockによると、データセットには194カ国にわたる73,932件のユニークなファイアウォールURLが含まれ、21,632件のユニークドメインに影響が及んでいます。

同社によれば、攻撃者は侵害に成功した組織の詳細なログを保持しており、ほぼすべての主要産業セクターにわたる組織の検証済み認証情報を含むデータベースを構築していたとしています。

Hudson Rockがデータセットに含まれると指摘する組織には、Foxconn、Samsung、Comcast、Siemens、Lenovo、PwC、Accenture、Oracleのほか、多数の政府機関や重要インフラ運営者が含まれます。

また同社が公開した統計によると、影響を受けたデバイス数が最も多い国はインド、米国、台湾、メキシコ、トルコ、タイ、コロンビア、マレーシア、チリ、アラブ首長国連邦の順となっています。

リストに掲載された企業で最も多い業種は、通信、ITサービス、金融サービス、政府機関、医療機関、教育機関、製造業です。

今回の漏洩で特筆すべき点の一つは、流出した認証情報の多くが通常ではクラックが困難とされる長く複雑なパスワードだったことです。

Fortinet設定ファイルからの抽出と見られる経緯

サイバーセキュリティ研究者のKevin Beaumont氏も独自に流出データの一部を検証し、一部の認証情報が本物であることをBleepingComputerに伝えました。

「管理者ログインとパスワードの一部について真正性を確認できた。これは本物のダンプデータとみられる」と、Beaumont氏は述べています。

Hudson Rockが共有したデータをさらに精査したBeaumont氏は、データセットには約75,000台のFortinetデバイスの認証情報が含まれており、その大部分が現在もオンライン状態であるという追加の分析結果を公開しました。

Beaumont氏によると、このデータは通常、設定ファイル経由でしかアクセスできないメールアドレスなどの情報を含むことから、Fortinetの設定ファイルがエクスポートされたことに起因すると見られています。

また、今回のIPアドレスは2025年のBelsenグループによるFortinetリークのものとは異なるとも指摘しており、これが侵害デバイスのより新しく大規模なコレクションであることをさらに裏付けています。

Beaumont氏はデータセットに掲載された複数の組織が有効な認証情報を使用していたことを確認するとともに、影響を受けたデバイスの多くが比較的新しいFortiOSバージョンで動作していることも確認しています。

「データは本物だ。約7万5,000台のデバイスが対象で、ほぼすべてが現在もオンラインのFortinetデバイスだ。最新のデータとみられる」と、Beaumont氏は記しています。

Shodanのネットワークデータに基づき、Beaumont氏は今回のリークにインターネットからアクセス可能なFortinetファイアウォール全体の約半数が含まれると分析しており、影響を受けたデバイスの大多数がFortiGate管理インターフェースをインターネットに直接公開していると述べています。

設定データの流出経路は依然不明で、既知のFortinet脆弱性、新たに発見された欠陥、またはその他の手段によるものかどうかは明らかになっていません。Diachenko氏、Hudson Rock、Beaumont氏のいずれも、設定データが当初どのように入手されたかを特定できていません。

Hudson Rockは、自組織が影響を受けているかどうかを確認できる無料のFortiBleedルックアップツールを公開しています。

データセットに含まれる組織は、Fortinet VPNおよび管理インターフェースに関連するパスワードを直ちにローテーションし、MFAを導入し、ゲートウェイログで不審なアクティビティを調査し、従業員の認証情報の流出がないか監視することが推奨されます。

本記事の公開後、Fortinetはこの認証情報の収集が過去のインシデントやブルートフォース攻撃によって得られたものであり、新たに開示された脆弱性、セキュリティ侵害、またはセキュリティアドバイザリとは無関係であるとの調査結果をBleepingComputerに伝えました。

「Fortinetは、Fortinetのファイアウォールおよびゲートウェイを標的とした第三者による認証情報収集キャンペーンの報告を認識しています。当社はお客様の安全を守ることに真剣に取り組んでおり、脅威アクターのダークネット上の活動を継続的かつ精力的に監視しています」とFortinetはBleepingComputerに伝えています。

「当社の分析によると、今回のデータは過去のインシデントから得られたデータの再共有および認証情報のブルートフォース攻撃によるものであり、最近のインシデントやアドバイザリとは無関係です。3月のブログのガイダンスに従い、定期的なセキュリティ認証情報の更新など、日常的なベストプラクティスを実践している組織であれば、今回の報告で言及された認証情報侵害の詳細によるリスクは最小限に抑えられます。」

「Fortinetは引き続き、お客様のセキュリティを最優先事項として、これらの報告の調査を続けてまいります。」