Huntress、SonicWallデバイスを狙う大規模クレデンシャルスタッフィング攻撃を確認

マネージド検知・対応(MDR)サービスを提供するHuntressは、SonicWall製のVPNおよびファイアウォール機器を標的とする、活発かつ急速に拡大しているクレデンシャルスタッフィング攻撃について脅威アドバイザリを発表しました。同社によれば、この記事の公開時点で、すでに30の組織のアカウントへのログインが侵害されていたとのことです。

Huntressのセキュリティオペレーションセンター(SOC)によると、この異常な活動は2026年7月25日、UTCで午後6時2分頃に初めて検知されました。アナリストらが、不審な自律システム(AS)に起因するSonicWallへのログイン成功件数の異常な急増に気づいたのがきっかけです。重要な点として、同社はこれまでのところ、初回ログイン以降にハンズオンキーボードによる活動は確認していないとしており、攻撃者はまだ侵入したアクセス権を実際に悪用する段階ではなく、認証情報の検証段階にとどまっているとみられます。

Huntressは、今回のキャンペーンを特定の被害者を狙った標的型攻撃ではなく、広範かつ日和見的なものだと分析しています。攻撃者は単一の組織に狙いを定めるのではなく、盗んだ、あるいは推測した認証情報を、インターネットに公開されているSonicWallのリモートアクセスポータルに対して大規模かつ組織的に試行し、無関係な数多くのネットワークの中から有効な組み合わせを見つけ出そうとしているとみられます。

攻撃件数は日々増加

Huntressのテレメトリによると、キャンペーン開始以降、侵害されたアカウントおよび組織の数は着実に増加しています。

• 7月25日: 6組織にまたがる26件のユニークアカウントが侵害
• 7月26日: 16組織にまたがる34件のユニークアカウントが侵害
• 7月27日: 8組織にまたがる32件のユニークアカウントが侵害

同社はまた、今回のキャンペーンで侵害が確認された4件のアカウントについて、2026年5月22日に追跡していた別のインシデントでも標的にされていたことを確認したとしています。これは、一部の被害組織の認証情報が、今回の攻撃波以前から一定期間、脅威アクターの間で出回っていた可能性を示唆しています。

より広範なパターンの一部

SonicWallのリモートアクセス製品が持続的な攻撃の標的となるのは今回が初めてではありません。Huntressは、2025年10月に発生した同様の急増(攻撃者が侵害済みデバイス上の複数アカウントへ急速に認証を成功させた事例)や、2026年2月に発生した事例(侵害されたSonicWall SSL VPNの認証情報がネットワークへの初期アクセスに利用された事例)を挙げています。研究者らは、今回のキャンペーンが、2025年を通じて2026年に至るまで観測されてきた、SonicWallインフラを狙った自動化されたクレデンシャル検証攻撃のパターンと一致するとの見解を示しています。

インフラと侵害指標

Huntressは、今回のクレデンシャルスタッフィングの試行について、5つのIPアドレスが関与していると特定しています。これらはいずれもホスティングプロバイダーのDigitalOcean, LLCに登録されているものです。侵害指標の全リストは以下のとおりです。

推奨される対策

Huntressは、SonicWallのVPNまたはファイアウォールインフラを運用しているすべての組織に対し、以下を含む即時の対応を強く呼びかけています。

• 可能な限りWAN管理およびリモートアクセスを制限すること
• 認証情報をリセットするまで、HTTP、HTTPS、SSH、SSL VPNによる受信管理を無効化または制限すること
• すべてのローカル管理者認証情報、VPN事前共有鍵、LDAP/RADIUS/TACACS+のバインド認証情報をリセットすること
• ファイアウォールに紐づくAPIキー、ダイナミックDNS、SMTP/FTP、自動化用シークレットを失効させ、再発行すること
• ログ記録を強化し、侵害の兆候がないか直近のログインや設定変更を確認すること
• リセット後は段階的にサービスを再開し、不正アクセスの再発がないか注意深く監視すること
• すべての管理者アカウントおよびリモートアクセスアカウントで多要素認証を義務化し、管理権限には最小権限の原則を適用すること

HuntressはSOCチームが引き続きこのキャンペーンを監視しており、影響を受けたパートナー企業と直接連携して侵害アカウントの特定と復旧支援にあたっていると述べています。同社は、調査の進展に応じてアドバイザリを更新していく方針を示しています。