Fortinet大規模侵害：7.4万台の認証情報が流出#
⚠️ 読了時間の目安：約3分
Fortinetのファイアウォールを標的にした史上最大級の侵害事件が明らかになりました。
Oracle、Chevron、Lenovo、FedEx、そしてFortinet自身を含む世界的組織が被害を受けています。
📋 この記事で分かること#
- 侵害の規模と被害を受けた組織
- 攻撃者が使用した具体的な手法
- どの国・業界が最も影響を受けたか
- 今すぐ取るべき対応アクション
【結論】重要ポイント3選#
ポイント① 194か国・2万1,000以上のIPアドレスから約7万4,000台のFortinetデバイスが侵害され、平文の認証情報がオンラインに流出した。
ポイント② 攻撃者はActive DirectoryやRadiusサーバーなど、組織の中央認証システムにまで侵入している。
ポイント③ インターネットに公開されているFortinetファイアウォールの約半数が侵害されたとみられる。
侵害の全体像：どれほどの規模か？#
今回の侵害は、セキュリティ研究者でSecurityDiscovery.comの代表であるBob Diachenko氏が発見しました。
氏は攻撃者のコマンド＆コントロール（C&C）サーバーおよび関連インフラにアクセスし、流出データを確認しています。
流出した情報の内訳：
- 侵害されたデバイスの平文認証情報
- 各組織の業種・売上高・従業員数
独立系研究者のKevin Beaumont氏は、水曜日の朝時点で「ほぼすべて」の侵害デバイスがオンライン状態にあると報告。
さらに、攻撃者のログに含まれる複数の組織に対して、認証情報が実際に有効かつ現在も使用可能であることを確認しています。
セキュリティ企業Hudson Rockは次のように述べています。
「この侵害の規模は世界経済のほぼすべてのセクターに及んでおり、いかなる業界も例外ではない。脅威アクターは地球上で最大級の企業群に対して、動作する認証情報の検証済みデータベースを構築した。」
攻撃手法の詳細：どのように侵害されたか？#
Diachenko氏は「規模そのものが攻撃の洗練度だ」と端的に表現しています。
ステップ1：大規模スキャン#
- インターネット全体をスキャンし、FortiGateのリモートログインエンドポイントを特定
- 2万5,000スレッドを持つカスタムバイナリを使用
- 数十万のエンドポイントに対して数千のログイン・パスワードの組み合わせを試行
ステップ2：ハッシュ解読#
- SSL VPN認証ハッシュを傍受
- 45台のGPUクラスターをHashtopolisで管理し、ハッシュをクラッキング
- このクラスターでパスワードの平文を特定
ステップ3：横展開（ラテラルムーブメント）#
- 解読したパスワードを使ってActive Directoryや中央認証システムへ侵入
- 組織内部への「ネットワークタップ」として機能
革新的なパスワードクラッキング手法#
攻撃者は「フィードバック駆動型・12段階再帰システム」を採用していました。
具体的な仕組み：
- 最大8語からなるカスタム辞書を使用
- 一般的なキーボードパターンやクラッキングルールを活用
- クラッキング成功時のパスワードを次の候補生成のシードとして再利用
- つまり、成功するたびに攻撃精度が向上する仕組み
Diachenko氏は「この手法は非常に革新的だった」と評価しています。
主な特徴と技術仕様#
| 項目 | 詳細 |
|---|---|
| 侵害デバイス数 | 約7万4,000台 |
| 影響IPアドレス数 | 2万1,000以上 |
| 対象国数 | 194か国 |
| 使用スレッド数 | 2万5,000（カスタムバイナリ） |
| GPU数（クラッキング用） | 45台 |
| クラッキング管理ツール | Hashtopolis |
| 再帰レベル | 12段階 |
| 侵害割合（公開Fortinetデバイス） | 約半数 |
被害を受けた国・業界・組織#
被害が多かった国（上位）#
- インド
- 米国
- 台湾
- メキシコ
- トルコ
- タイ
最も影響を受けた業界#
- ITサービス
- 建設材料
- 通信
- 建設・エンジニアリング
- 産業機器
- 金融サービス
名前が挙がった主な組織#
- Oracle
- Chevron
- Lenovo
- Federal Express
- NATOの防衛請負業者
- Fortinet自身
- Foxconn
- Samsung
- Comcast
- Siemens
- PwC
- Accenture
さらに、主要政府機関や重要インフラプロバイダーを含む数千の組織のデータがデータベースに存在するとHudson Rockは報告しています。
実際の被害：最も深刻なケース#
Hudson Rockによれば、日本・台湾・ベトナム・イラク・トルコの複数組織でネットワークの完全侵害が確認されています。
中でも最も深刻なのは：
トルコのNATO防衛請負業者から、機密防衛文書が攻撃グループによって実際に窃取された
という事実です。
Hudson Rockはこれを「積極的な手法が招いた深刻な現実世界の結果」と表現しています。
攻撃者の「致命的な失敗」#
高度な攻撃手法とは対照的に、攻撃者の運用セキュリティ（opsec）は極めて杜撰でした。
使用したサーバー上に多数のアーティファクト（痕跡）を残していたため、Diachenko氏はそのインフラにアクセスできました。
ハッカーコミュニティではこのような行為は「アマチュアのミス」とみなされます。
なぜファイアウォールが狙われるのか？#
ファイアウォールはハッカーにとって長年にわたって好まれる侵入口です。
理由：
- 外部インターネットからの接続を受け付ける
- ネットワーク境界に位置する
- 内部の重要リソースへのアクセス権を持つ
この構造的特性が、今回のような大規模侵害を可能にしました。
よくある質問（FAQ）#
Q. 自分の組織が被害を受けているか確認できるか？
A. Hudson Rockが影響を受けるドメインを検索できるツールを提供しています。詳細は元記事を参照してください。
Q. 攻撃者の動機は何か？
A. Diachenko氏によれば、攻撃者の動機は犯罪目的とされています。
Q. 攻撃者はどこの組織か？
A. ロシア語話者であるとされていますが、詳細な帰属については元記事を参照してください。
Q. 今すぐできる対策は何か？
A. Diachenko氏、Beaumont氏、Hudson Rockのいずれも、Fortinetユーザーに対して直ちにネットワークの侵害兆候を調査するよう強く呼びかけています。具体的な手順については元記事のリンクを参照してください。
Q. 流出データは今も悪用されるリスクがあるか？
A. データはすでにサイバー犯罪者や他の脅威アクターが入手できる状態にあったとされており、リスクは相当に高いと研究者らは警告しています。
まとめ：押さえておくべき重要ポイント#
✅ 規模が前例のない水準：194か国・約7.4万台のFortinetデバイスが侵害
✅ 著名企業が多数含まれる：Oracle、Chevron、Samsung等の認証情報が流出
✅ 攻撃は高度かつ組織的：45台GPUクラスターによるハッシュ解読と再帰的辞書攻撃を組み合わせた手法
✅ 被害は内部深くまで及ぶ：Active DirectoryやRadiusサーバーへの横展開が確認済み
✅ 即時対応が必須：複数の研究者・セキュリティ企業がFortinetユーザーへの緊急調査を呼びかけ
✅ 機密情報の実害も発生：NATOの防衛請負業者から機密文書が実際に窃取された
Fortinetデバイスを利用している組織は、今すぐ侵害の有無を確認することが強く推奨されます。
参考元: Massive breach spills credentials for thousands of sensitive networks
