大規模かつ自己増殖的な認証情報収集オペレーションが、FortinetのファイアウォールおよびVPNゲートウェイに依存する組織を積極的に標的にしています。SOCRadarの研究者により「FortiBleed」と名付けられたこのキャンペーンは、典型的なゼロデイ悪用の話ではありません。むしろ、パスワード衛生の不備と認証情報の使い回しがもたらす危険性を、世界規模で突きつける強烈な警鐘となっています。
FortiBleedによる窃取の全容と、境界防御を強化する方法について知っておくべきことをまとめました。
侵害規模：数字で見る
このキャンペーンの規模は驚くべきものです。セキュリティコンサルタントのVolodymyr Diachenko氏が最初にこのオペレーションの痕跡を発見し、その後SOCRadarが、攻撃者に属する運用サーバーが露出しているのを見つけて分析しました。脅威アクターのこのミスにより、研究者は自動化基盤、ツール群、検証済み認証情報リポジトリを前例のない形で把握できました。
そこで見つかったのは、194か国にまたがる30,791台のデバイスのログイン認証情報を含む巨大な被害者データベースでした。これは無作為なパスワード推測ではなく、検証・テスト済みで実際に機能するユーザー名とパスワードです。
影響範囲には以下が含まれます：
- 固有IPアドレス21,108件と固有ドメイン8,316件。
- 主要セクター：通信（侵害デバイス5,600台超）、政府（111ドメインにまたがる591台）、医療、教育、金融サービス、重要インフラ。
- 大企業：影響を受けたデバイスの20%以上は、年商10億ドル超のエンタープライズ組織に属しています。
- グローバルな広がり：被害者は南北アメリカ、欧州、アジア、アフリカ、中東に及ぶ一方で、侵害の特定件数のうち米国とインドだけで約3分の1を占めています。
背後にいるのは誰か？
技術的証拠と露出したサーバーに残された手がかりに基づき、SOCRadarは脅威アクターがロシア語話者である可能性が高いと評価しています。被害者の選定はNATO加盟国に大きく偏っています。金銭的利益が動機である可能性は高いものの、サイバー諜報も明らかに要因です。研究者は、脅威アクターのデータベース内に、防衛産業のVPNエンドポイントに紐づく侵害済み認証情報が含まれていることを発見しました。
エクスプロイトもゼロデイもなし。純粋な認証情報窃取
FortiBleedの最も注目すべき点は攻撃ベクトルです。Secure.comのエンジニアリング責任者であるWaseem Ahmed氏が指摘したとおり、「FortiBleed」という名称はやや皮肉で、実際には悪用されているソフトウェアの「bleed」や脆弱性は存在しません。
その代わり、攻撃者はクレデンシャルスタッフィング、パスワードスプレー、認証情報の使い回しのみに全面的に依存しています。公開されているFortinetの管理インターフェースおよびVPNインターフェースを、汎用的な管理者アカウント、デフォルトまたは組み込みのFortinetシステムアカウント、そして管理者がローテーションしなかった過去の侵害で漏えいした古いパスワードを用いて狙います。
「自己増殖型」の攻撃モデル
FortiBleedキャンペーンは完全に自動化されており、自らを増殖させるよう設計されています。攻撃チェーンは次のとおりです：
- 攻撃者は自動化ツールを用いて、露出したFortinetデバイスを24時間体制でインターネット上からスキャンします。
- 古い漏えい認証情報を使ってクレデンシャルスタッフィングとパスワードスプレーを実行し、デバイスを侵害します。
- 侵入後、攻撃者は侵害したFortinetデバイスをリスニングポストに変えます。
- デバイスを通過するネットワークトラフィックを監視し、新たな
- そうして新たに盗まれたパスワードは、自動スキャナーにそのまま投入され、さらに多くのデバイスを侵害します。
防御側が直ちに取るべき緩和策
SOCRadarは現在、この継続中の脅威をクリティカルと評価しています。Fortinetデバイスは広く普及しており、無数の企業ネットワークの「玄関口」として機能するため、極めて価値の高い標的となります。
SOCRadarの助言は明確です：自組織がこのデータセットに含まれている場合、ネットワーク境界はすでに侵害されているものとして扱ってください。FortiBleedの網にかかったか確信が持てない場合でも、FortinetのVPNとファイアウォールを使用しているすべての組織は、直ちに以下の対応を実施すべきです：
- 認証情報のローテーション：すべての管理者およびVPNパスワードを直ちに変更してください。
- MFAの強制：すべての管理者アカウントおよびリモートアクセスアカウントで多要素認証を有効化してください。
- 管理インターフェースの秘匿：可能な限り、管理インターフェースをパブリックインターネットから切り離してください。
- ログ監査：認証ログおよびVPNログを精査し、不審なアクセスの兆候がないか確認してください。
- パッチ適用とアップグレード：デバイスが最新のファームウェアバージョンに更新されていることを確認してください。
- IRの開始：不正アクセスが疑われる場合は、直ちに全面的なインシデントレスポンス調査を開始してください。
自動化により、脅威アクターは不十分なパスワード衛生を驚異的な規模で武器化できます。自社インフラがこの収集オペレーションの新たなノードにならないよう、境界防御を確実にロックダウンしてください。