米フォーティネット製のファイアウォール（企業ネットワークの防御装置）から盗まれた認証情報が、インターネット上に露出しているのが見つかりました。被害は7万3,000台超に及び、盗まれた情報が身代金要求型ウイルス（ランサムウェア）の攻撃に使われていたことも判明しています。
7万3千台超から認証情報が露出
今回発覚した攻撃キャンペーンは「FortiBleed（フォーティブリード）」と名付けられました。攻撃者が管理していたサーバーが無防備な状態で公開されており、そこには7万3,000台を超えるフォーティネット製「FortiGate（フォーティゲート）」から吸い上げた設定ファイルや認証情報が保管されていました。パスワードの解読や、盗んだ情報を使って別のシステムへの侵入を試みる仕組みまで備えていました。
通信を盗聴する巧妙な手口
手口も巧妙です。攻撃者は「FortiGate Sniffer（スニファー）」という独自の盗聴ツールを、乗っ取ったファイアウォールに仕込んでいました。これにより、通信の中を流れるVPN（社外から社内網へ安全につなぐ仕組み）の認証情報などを、直接抜き取っていたとみられます。防御の要であるはずの機器が、逆に情報流出の入り口になっていたわけです。
ランサムウェア集団との関与も判明
セキュリティ企業SOCRadar（ソックレーダー）の調査で、この認証情報の窃取がランサムウェア集団「INC」と「Lynx（リンクス）」の攻撃と結び付いていることが分かりました。研究者は、攻撃基盤に使われていたサーバーから、両集団の身代金交渉画面にアクセスできる証拠を見つけています。盗まれた認証情報を足がかりに、これまでに少なくとも12件のランサムウェア攻撃が実行され、数百台の端末が暗号化される被害が出ています。企業は自社のフォーティネット製機器が影響を受けていないかを確認し、認証情報の速やかな変更が求められます。
日本への影響
フォーティネット製のファイアウォールは、日本国内でも中小企業から大企業、官公庁まで幅広く導入されている定番製品です。7万3,000台という膨大な被害台数を考えれば、国内で利用している組織が含まれている可能性は十分にあり、決して対岸の火事ではありません。情報システム担当者は、自社のFortiGate機器のファームウェアを最新版に更新するとともに、VPNや管理者アカウントのパスワードをただちに変更し、多要素認証を導入する対応が急務です。
とりわけ、リモートワークで社外から社内ネットワークにつなぐVPNの認証情報が狙われている点は深刻です。一度盗まれた認証情報は、ランサムウェア攻撃の入り口として何カ月も後に悪用される恐れがあります。日本年金機構やホンダなど過去に大規模な被害を受けた事例を思い返せば、境界防御の機器こそ最優先で守るべき対象だと分かります。過去にログを確認し、不審なアクセスの痕跡がないかを点検しておくことが、被害を未然に防ぐ鍵となります。
まとめ：防御の要であるファイアウォールが、狙われれば最大の弱点にもなります。機器の更新と認証情報の見直しを、今すぐ実行に移していきましょう。
出典:
BleepingComputer – FortiBleed credential-theft campaign linked to Lynx ransomware
The Hacker News – FortiBleed Credential Theft Linked to INC and Lynx Ransomware Operations
Photo: ayumi kubo / Unsplash
