「FortiBleed」の脆弱性により、7万3,000台のデバイスにおけるフォーティネットVPNの認証情報が流出した。

「FortiBleed」と名付けられた新たに発見されたデータ漏洩により、世界中の組織における73,932件のファイアウォールURLに関連する、フォーティネットおよびFortiGateのVPN認証情報のコレクションと思われるデータが流出しました。

この流出したデータは、セキュリティ研究者のボブ・ディアチェンコ氏によって最初に発見されました。同氏によると、ユーザー名、メールアドレス、平文のパスワードなど、有効と思われるフォーティネットのVPN認証情報を含むサーバーを発見したとのことです。

ディアチェンコ氏が公開したスクリーンショットや情報によると、このデータベースには、シェブロン、サムスン、フォックスコン、コムキャスト、AT&T、メルセデス・ベンツ、トヨタ、シノペック、国家電網など、多数の企業のエントリが含まれている。 

「大規模なFortinet／FortiGateに対するブルートフォース攻撃およびアクティブな悪用キャンペーンが、実際に進行中であることが判明した」と、ディアチェンコ氏はLinkedInに投稿した。

「このようなファイルには、数千もの主要ベンダーのインスタンスがリストアップされています（スクリーンショット参照）。このファイルだけでも、シェブロンからフォーティネット自体に至るまで、21,634件のドメイン名が含まれています。そのすべてに、様々な手段を通じて入手された、FortiGateアプライアンスへの有効な可能性のあるパスワードが記載されています。」

流出したデータには、おそらく攻撃計画のために、各組織の業種、売上高、従業員数を記載したコメントも含まれていた。

ディアチェンコ氏はその後、この作戦がロシア語を話す複数のオペレーターからなる脅威グループによって実行され、FortiGate SSL VPNデバイスの認証情報を収集していたとする追加情報を共有した。

Diachenko氏の調査によると、攻撃者は320,777件のFortiGateターゲットに対して約11億6000万回の認証情報試行を行い、さらに163,650件のMicrosoft SQL Serverシステムに対して21億回の試行を行ったとされる。

さらに彼は、脅威アクターがSSL VPN認証ハッシュを傍受し、Hashtopolisを通じて管理される45基のGPUクラスターを使用してそれらを解読し、回収した認証情報を利用して内部のActive Directory環境へ横方向の移動を行ったと主張した。

ディアチェンコ氏は、同じサーバー上で不注意により公開されていた追加のファイルを分析した結果、これらの詳細情報を入手したと語った。

「彼らは、アーティファクト、接続文字列、ツール、スクリプト、データを含むディレクトリを誤ってオンライン上で公開したままにしていました。cronジョブ、bash履歴、ログなどを通じて分析データを入手しました」とディアチェンコ氏は説明した。

同研究者はまた、日本、台湾、ベトナム、イラク、トルコにまたがる複数の組織が完全に侵害されたと述べ、その中には機密文書が盗まれたとされるトルコのNATO防衛関連請負業者も含まれていると指摘した。 

脅威インテリジェンス企業のハドソン・ロック（Hudson Rock）は、ディアチェンコ氏からデータセットを受け取った後、流出したデータに関する独自の分析結果を公表した。同社は、このデータセットを、フォティネット関連の侵害された認証情報としては既知の最大規模のものの1つであると説明した。

ハドソン・ロックによると、このデータセットには194カ国にわたる73,932件の固有のファイアウォールURLが含まれており、21,632件の固有ドメインに影響を及ぼしている。 

同社によれば、攻撃者は侵害に成功した事例の詳細なログを保持しており、ほぼすべての主要産業セクターにわたる組織の検証済み認証情報を収録したデータベースを構築していたという。 

ハドソン・ロックによると、このデータセットに含まれる組織には、フォックスコン、サムスン、コムキャスト、シーメンス、レノボ、PwC、アクセンチュア、オラクル、および多数の政府機関や重要インフラ事業者が含まれているという。 

また同社は、影響を受けたデバイスの数が最も多かった国・地域として、インド、米国、台湾、メキシコ、トルコ、タイ、コロンビア、マレーシア、チリ、アラブ首長国連邦を挙げた統計も公表した。

リストに掲載された企業の業種としては、通信、ITサービス、金融サービス、政府機関、医療提供者、教育機関、製造業が最も多い。

この情報漏洩の奇妙な点の一つは、流出した認証情報の多くが、通常であれば解読が困難とされるような、長くて複雑なパスワードであったことです。

フォーティネットの設定ファイルから抽出されたものとみられる

サイバーセキュリティ研究者のケビン・ボーモント氏は、流出したデータの一部を独自に検証し、一部の認証情報が本物であることを明らかにした。

「一部の管理者ログインIDとパスワードの真正性を確認できた。これは本物のダンプデータのように見える」とボーモント氏は述べた。

ハドソン・ロックが共有したデータをさらに精査した後、ボーモント氏は追加の調査結果を公表し、このデータセットには約75,000台のフォーティネット製デバイスの認証情報が含まれており、その大部分が現在もオンライン状態にあることを示した。

ボーモント氏によると、このデータには通常、設定ファイルを通じてしかアクセスできないメールアドレスなどの情報が含まれていることから、フォティネットの設定ファイルのエクスポートデータに由来するものとみられる。

また、影響を受けたIPアドレスは、2025年のベルゼン・グループによるフォーティネット情報漏洩事件のものと異なっており、今回のデータがより最近のものであり、侵害されたデバイスの規模もより大きいことを示唆していると述べた。

ボーモント氏は、データセットに記載された複数の組織が有効な認証情報を使用していることを確認したほか、影響を受けたデバイスの多くが比較的新しいバージョンのFortiOSを実行していることを確認したと述べた。

「データは本物です。対象デバイスは約7万5千台です。ほぼすべてが現在もオンライン状態で、Fortinet製デバイスです。最近のデータであるようです」とボーモント氏は記しています。

Shodanのネットワークデータに基づき、ボーモント氏は、この流出データにはインターネットからアクセス可能なすべてのフォーティネット製ファイアウォールの約半分が含まれており、影響を受けたデバイスの大半がFortiGateの管理インターフェースをインターネットに直接公開していると述べた。

設定データの出所は依然として不明であり、以前に公開されたFortinetの脆弱性、新たに発見された欠陥、あるいはその他の方法を通じて盗まれたものなのかは定かではありません。ディアチェンコ氏、ハドソン・ロック社、ボーモント氏のいずれも、設定データが当初どのように入手されたかについては特定できていません。

ハドソン・ロック社は、組織が影響を受けているかどうかを確認するための無料の「FortiBleed」検索ツールを作成した。

データセットに含まれる組織は、FortinetのVPNおよび管理インターフェースに関連するパスワードを直ちに更新し、多要素認証（MFA）を徹底するとともに、ゲートウェイのログを調査して不審な活動がないか確認し、従業員の認証情報が漏洩していないか監視する必要があります。

当サイトは、漏洩したデータセットについてFortinetに問い合わせを行っており、回答が得られ次第、この記事を更新する予定です。