ISSコラム

8万6千台の“合鍵”が出回った境界機器、「侵害済み」前提で見直す時が来た

ファイアウォールやVPN装置は「会社を守る壁」のはずでした。ところが今、その壁の鍵を最初から持った状態で、攻撃者が堂々と出入りしている。
2026年6月に発覚した「FortiBleed」は、発覚から4か月近くが経った今も止まっていません。10月6日にはFBIと米国シークレットサービスが、キャンペーンが現在も活発であることを改めて警告しました。

FortiBleed とは何か

FortiBleed は、特定のソフトウェアの脆弱性（バグ）の名前ではありません。インターネットに公開されたFortinet製のFortiGate（ファイアウォール）やSSL VPNゲートウェイに、正規のログイン情報で入り込み、その情報をさらに集めて使い回す「認証情報の収集・悪用キャンペーン」の通称です。

イメージとしては、泥棒が建物の壁を壊して入るのではなく、どこかで手に入れた合鍵を片っ端から試し、開いた建物の中で別の部屋の鍵も盗んで次の建物へ向かう、という流れです。鍵が正規のものなので、ログ上は「正しいユーザーのログイン」に見えてしまうのが厄介な点です。

攻撃はどう進むのか

1. 探す：インターネット上からFortinetのログイン画面を大量にスキャンします。

2. 入る：過去の漏えいデータやマルウェア（インフォスティーラー）で盗まれた認証情報を使い、パスワードスプレーやクレデンシャルスタッフィングで試行します。

3. 盗み聞く：侵入した装置に Go 言語製のツール（FortigateSniffer と呼ばれる）を仕込み、通過する認証通信を盗み見て、パスワードやハッシュを集めます。

4. 解読して広げる：集めたハッシュをGPUクラスターで解読し、Active Directoryの調査や社内ネットワークへの横展開につなげます。FBIらは、旧来のSHA-256形式でのパスワード保管が解読されやすい要因だと指摘しています。

5. 居座る：管理者アカウントを新規作成して永続化します。正規の管理者のパスワードを変更・削除し、持ち主を締め出す例も確認されています。

背後にはロシア語圏の攻撃者がいると見られ、侵入口を他の犯罪者に売る「イニシャルアクセスブローカー」型の運用だとされます。SOCRadarによれば、このアクセスを起点にINC／Lynxなどのランサムウェアが展開された例が少なくとも12件あり、Payloadランサムウェアのアフィリエイトにもアクセスが渡っているとされています。

いつから起きていて、今どうなっているのか

ポイントは、これが「過去の事件」ではないことです。被害数は、報道によって数万台規模から8万6,644台へと広がりました（SOCRadarの確認値。これは「公開されている台数」ではなく、侵害が確認された台数です）。国別ではインド、米国、メキシコ、コロンビア、タイなどが多く、業種では通信、政府、教育が目立つとされています。

なお、Fortinet自身は今回の件を新たな脆弱性によるものではないと説明しており、過去のインシデントで流出した認証情報の再利用（CVE-2026-24858、CVE-2025-59718、CVE-2025-59719などに関連）と、弱いパスワードかつ多要素認証なしの装置へのブルートフォースが背景だとしています。つまり、パッチを当てただけでは解決しません。

なぜ「侵害済み前提」で考えるべきなのか

• パッチを当てても、盗まれた鍵は有効なまま。装置を更新しても、すでに奪われたパスワード、作られた管理者アカウント、APIキーは残ります。

• FortiOSの更新だけでは、古いハッシュが残りうる。パスワード保管がPBKDF2に切り替わった版（7.2.11、7.4.8、7.6.1以降）へ上げても、各管理者が再ログインするまで旧形式のハッシュが残ると指摘されています。

• 正規ログインに見えるため、検知されにくい。正しいIDとパスワードでの接続は、従来の「脆弱性悪用」を前提にした監視では見落とされがちです。

• 締め出されると、復旧は工場出荷状態への初期化と再構築になりうる。管理画面に入れない状態で攻撃者が居座る事態を想定しておく必要があります。

今すぐ確認したい7つのこと

1. 管理画面の公開をやめる。外部からの管理アクセスは、信頼できる接続元に限定するか、完全に閉じます。

2. セッション終了と認証情報の総入れ替え。SSL VPNと管理者の現行セッションを終了し、VPN・管理者のパスワードを再設定します。AD/LDAP連携のアカウントも侵害されたものとして扱います。

3. フィッシング耐性のある多要素認証を、VPNと管理者の双方に。外部からのリモートアクセスと管理者ログインの両方で必須にします。

4. 身に覚えのないアカウントを探す。「admin」「fortiAdmin」「forticloud-sync」「support_fortinet」「itadmin」など、よく使われる名前を含め、設定を正常時のベースラインと比較します。

5. REST APIキーとSSHの棚卸し。見知らぬAPIキーはパスワード再設定後も生き残ります。削除と再発行を行います。

6. ログの確認。ファイアウォール、VPN、認証、ドメインコントローラーのログで、不審な設定変更や横展開の兆候を探します。

7. FortiOSを最新の安定版へ更新し、管理者資格情報をPBKDF2で保管。更新後は旧ハッシュが残らないよう、管理者の再ログインと再設定まで行います。

侵害の疑いがある場合は、装置を隔離し、ログと証拠を保全したうえで、専門家やJPCERT/CC、警察への相談を検討してください。身代金は支払わないことが推奨されています。

おわりに ― 境界機器は「守る側」から「狙われる側」へ

FortiBleedが突きつけたのは、境界機器そのものが最初の侵入点であり、攻撃者にとって最も費用対効果の高い標的になっているという現実です。「パッチを当てたから大丈夫」ではなく、「すでに鍵が盗まれているかもしれない」を出発点に、公開範囲、認証、アカウント、ログを定期的に点検する運用へ切り替えることが重要です。

ISSでは、外部公開資産の脆弱性診断・ペネトレーションテストや、境界機器の設定・アカウント状況の点検、インシデント対応体制の整備を支援しています。自社の装置が気になる方は、お気軽にご相談ください。

参考情報

• The Hacker News「FBI Warns FortiBleed Remains Active After Amassing 86,644 Fortinet Device Credentials」（2026年10月）
• The Hacker News「CISA Warns Fortinet Customers as FortiBleed Hits 86,644 FortiGate Devices」（2026年6月）
• SOCRadar「FortiBleed Is Still Active, Locking Organizations Out」（2026年10月7日更新）
• SecurityWeek「FortiBleed Attackers Locking Victims Out of Fortinet Devices」
• Help Net Security「Week in review: FortiBleed is still active, Patch Tuesday forecast」（2026年10月11日）
※本稿は公開情報に基づく解説です。数値や状況は更新される可能性があるため、公開前に最新情報をご確認ください。