「FortiBleed」、194カ国のFortiGateを標的に認証情報を窃取　韓国でも被害を確

FortiBleed、流出した認証情報を悪用してFortiGateへの侵入を継続

6月に確認されたFortiGateを狙う認証情報悪用キャンペーン「FortiBleed」が、引き続き活動を続けている。FortiBleedは新たな脆弱性を悪用するものではなく、過去に流出したアカウント情報やパスワード、インフォスティーラーから取得されたログなどを利用し、FortiGateの管理者アカウントやSSL VPNアカウントへの不正アクセスを試みる。

攻撃者は取得した認証情報を使ってFortiGateにログインした後、内部環境の認証情報をさらに収集し、Active Directory（AD）への侵入やランサムウェア攻撃につなげるケースも確認されている。調査では194カ国に関連するFortiGate機器が攻撃対象として確認されており、流出した認証情報を利用した大規模なスキャンも行われていた。一部の事例では、機器の設定情報からパスワードハッシュを抽出し、オフラインで解析する手法も確認された。

FortiBleedを通じて取得されたアクセス権限とランサムウェア攻撃との関連も指摘されている。7月には少なくとも12件のランサムウェア攻撃で、FortiBleedによって侵害されたアクセス権限との関連が確認された。FortiGateのアカウントが侵害された場合、境界機器へのアクセスだけでなく、内部ネットワークの認証情報や管理権限の侵害へ発展する可能性がある。

攻撃対象には民間企業だけでなく、政府機関や防衛関連組織も含まれている。海外では、NATOと関係する防衛請負企業が侵害され、内部ネットワークへのアクセスにまで発展した事例も報告された。このことから、侵害されたFortiGateを足掛かりとして追加の情報窃取や内部ネットワークへの侵入につながるリスクが指摘されている。

韓国でもFortiBleedに関連する1,167件のIPアドレスが確認された。ただし、これらすべての機器が実際に侵害されたり、ランサムウェアに感染したことを意味するものではない。特にリセラーやMSPが複数の機器で同一のパスワードを使用していたケースでは、一つの認証情報が流出しただけでも複数の顧客環境に影響が及ぶ可能性がある。

FortiBleedは脆弱性そのものを悪用する攻撃ではないため、ソフトウェアのパッチ適用だけでは十分な対策にならない。管理者アカウントやVPNアカウントの認証情報を変更するとともに、管理インターフェースのインターネット公開を最小限に抑え、MFAを適用することが重要となる。また、FortiGateの侵害を前提としてADやサービスアカウントなど内部環境の認証情報も確認し、不審なアクセスの有無を調査する必要がある。