2026年6月、Fortinet製FortiGateとSSL VPN機器を狙った大規模な認証情報流出事件「FortiBleed」が発覚した。世界194か国で約7万4000台が影響を受け、最新パッチ適用後の機器でも認証情報が悪用される可能性が判明。企業ネットワークの「門番」を狙う新たなサイバー脅威として注目されている。台湾をはじめ各国政府やセキュリティ機関は警戒を強め、パスワード変更やアクセス制限、最新ファームウェアへの更新を呼びかけている。
本記事ではFortiBleedの概要、被害の実態、ハッカーの手口、今すぐ実施すべき対策を解説する。
あわせて読みたい：FortiBleedが暴いたセキュリティ認証の限界｜FortiGate情報流出とPUF/PCAが示すAI時代の方向性
FortiBleedとは何か｜7万4000台のFortiGate認証情報流出事件
ファイアウォールの「鍵」が大量流出
CISAの報告によると、FortiBleedは単一の脆弱性（ゼロデイ）による攻撃ではない。攻撃者は過去の流出情報やインフォスティーラー型マルウェアが収集した認証情報を大量に収集し、45台ものGPUを束ねたクラスタでパスワードハッシュをオフラインで解読する手法を用いた。
BleepingComputerの調査では、攻撃グループは約32万台のFortiGateデバイスに対して約11.6億回もの認証試行を実施。その結果、7万3,932台分の有効なVPN・管理者認証情報が確認済みデータとして整理された。
被害リストにはSamsung、Foxconn（鴻海）、Toyota、Siemens、Oracleなど世界的大企業の名前が並ぶ。
なぜ「パッチ適用済み」でも被害が出るのか
Arctic Wolfの分析が明らかにした核心的な問題がある。FortinetはFortiOS 7.2.11以降でパスワードの保存方式をSHA-256からより堅牢なPBKDF2方式へ移行したが、アップグレード後に管理者が一度もログインしなければ、旧来の弱いSHA-256ハッシュが残存し続ける仕様となっていた。最新版ファームウェアを適用していても、パスワードを変更しない限り脆弱なままという盲点が大量被害の温床となった。
被害の地理的分布と日本への影響
ITmediaのレポートによると、被害が確認された国別の上位にはインド、米国、台湾、メキシコが並ぶ一方、日本も影響を受けた国のひとつとして名前が挙がっている。トルコのNATO関連防衛企業では機密防衛文書の窃取が確認されており、単なる金銭目的の犯罪にとどまらない国家レベルの諜報活動の関与も疑われている。
なぜFortiBleedは発生したのか
セキュリティの弱点は技術ではなく「運用」にある
FortiBleedが浮き彫りにしたのは、ファイアウォール製品そのものの欠陥というより、パスワード管理という基本的な運用の怠慢が組織全体を危険にさらすという現実だ。攻撃者が利用したのは複雑なエクスプロイトコードではなく、使い回された古いパスワードと、インターネットに直接さらされた管理インターフェースだった。
「門番が乗っ取られた」ことの深刻さ
ファイアウォールは企業ネットワークと外部インターネットの間に立つ「門番」だ。この門番の認証情報が漏洩すれば、攻撃者は正規の管理者として内部ネットワークに侵入できる。Bitsightの報告では、攻撃グループが侵害済みデバイスをスニッファー（傍受ツール）として悪用し、通過するトラフィックから新たな認証情報を収集する「自己増殖型」の攻撃構造が確認されている。
Fortinet利用企業が今すぐ実施すべき対策
FortinetのFortiGateまたはFortiOS製品を利用している組織は、以下の対応を即時実施することが求められる。
緊急対応（即日）
- 全FortiGate管理者アカウントとSSL VPNアカウントのパスワードを変更する
- アクティブなSSL VPNセッションおよび管理セッションをすべて終了させる
- HudsonRockが提供するFortiBleedルックアップツールで自社ドメインへの影響を確認する
短期対応（1週間以内）
- FortiOSを最新バージョンにアップデートし、更新後に全管理者が一度ログインしてパスワードハッシュをPBKDF2に再生成する
- 管理インターフェースをインターネットから遮断し、信頼できるネットワークのみからアクセスを許可する
- 全アカウントに多要素認証（MFA）を適用する
継続的取り組み
- 少なくとも2026年1月以降の認証ログを遡って不審なアクセスを確認する
- 不審なアカウント（
forticloud-syncなど）の有無をチェックする
FortiBleedが示すサイバー攻撃の新たな脅威
FortiBleedは孤立した事件ではない。2021年の50万件規模のFortiGate VPN認証情報流出、2022年のBelsenグループによる大量公開、そして2026年のFortiBleedと、Fortinet製品を標的にした認証情報搾取の歴史は繰り返されている。
また、中国発のWeChatに代表されるアプリが持つ情報収集リスク（エンドツーエンド暗号化の欠如、中国政府との情報共有の可能性）も、企業のセキュリティ担当者が見落としてはならない脅威だ。国境を越えたデジタルサービスの利用が当たり前になった今、「どのアプリを使うか」「どこに認証情報を保管するか」という日常的な判断がそのまま企業の安全保障レベルを決定する時代に入っている。
ネットワーク機器のパスワードを変えていない、管理画面がインターネットに直接さらされている——こうした「基本的なミス」が、今や国家レベルの攻撃者に悪用される入り口となっている。FortiBleedは、サイバーセキュリティの本質が高度な技術論ではなく、地道な運用規律にあることを改めて突きつけた事件だ。
参考記事
- 美商 Fortinet 疑似登入憑證外洩 資安署発布警訊強化資安防護（経済日報）
- CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure（CISA）
- Active FortiBleed Campaign Impacting Fortinet Devices Across 194 Countries（Arctic Wolf）
- FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices（BleepingComputer）
- Security Alert – FortiBleed Fortinet VPN Credentials and Configuration Data Exposed（Bitsight）
- パッチ適用後も標的に？ 32万台超のFortiGateを襲った「FortiBleed」の正体（ITmedia）
- Security Alert – FortiBleed Credential Leak Incident（HKCERT）
- AL26-014 – FortiBleed leak of thousands of compromised credentials（Canadian Centre for Cyber Security）
- FortiBleed Campaign Exposing Credentials for 73,932 FortiGate Systems（Recorded Future）
コメント