FortiBleed 2.0、ADやVPNのパスワード4万件 6月に確認済みでも再確認を

FortiGateの設定の報告書1,703件から、平文のパスワードなどの記録が4万573件。セキュリティ会社のHudson Rockが、2026年10月27日に公開した分析「FortiBleed 2.0」の数字です。翌28日には香港のコンピュータ緊急対応チーム（HKCERT）がこれを受けて注意喚起を出し、6月に自社のドメインを確認し終えた組織も、確認し直すよう求めました。

6月に広まった「FortiBleed」は、FortiGateのアドレスと管理者のログイン情報の一覧でした。今回見つかったのは、機器の設定から取り出した記録です。Active Directory（AD）につなぐためのLDAPのアカウントや、VPNの利用者、メールサーバーの資格情報まで入っています。

この記事は、HKCERTの注意喚起と、元になったHudson Rockの分析、6月のJPCERT/CCとFortinetの資料をもとにまとめています。数字はHudson Rockの分析のものです。

6月のFortiBleedと、何が違うのか

件数は記録の数です。HKCERTは、人数や、いまも使える資格情報の数、新たに被害が確認された組織の数ではないと注意しています。無効にしたアカウントや、すでに変えた古い設定の記録も混ざっています。

HKCERTは、記録の日付が6月に見た記録より前の2月なので、新しい攻撃の波と受け取るべきではないとしています。日付は報告書が作られた日で、侵害や持ち出しが起きた日を示すものでもありません。

設定の記録に入っていたもの

Hudson Rockは、記録を種類ごとに次のように数えています。

ローカルユーザーの平文の記録37,076件のうち、7,437件は無効のアカウントでした。「確認済み」は元のデータに付いていた表示で、Hudson Rockが今回ログインを試したものではありません。1,672件のうち1,633件は、最も強い権限のsuper_adminでした。

管理者のパスワードは、SHA-256やPBKDF2のハッシュ（元に戻せない形）で保存されます。一方、LDAPの接続用アカウントやVPNの利用者のパスワードは、元に戻せる暗号で保存されます。Hudson Rockは、機器の既定の鍵を使っている設定だと、設定ファイルだけから外で戻せる場合があると説明しています。Fortinetは機器ごとの鍵（private-data-encryption）にも対応しており、戻せるかどうかは、版や設定、取られたものによって変わるとしています。

ここが6月との大きな違いです。FortiGateの管理者のパスワードを変えても、FortiGateに登録してあるADのアカウントのパスワードは変わりません。そのアカウントの権限が強ければ、被害は社内のADまで広がります。HKCERTは、LDAPのアカウントが漏れただけで強い権限があるとは言えず、アカウントの実際の権限で判断するよう書いています。

6月と同じ機器で分かったこと

2つのデータで重なる機器は765ありました。その管理者のログインの記録766件のうち524件（68.4%）は、ユーザー名もパスワードも6月のデータと同じでした。2月の時点の資格情報が、5〜6月の記録でも同じだったことになります。Hudson Rockは、記録が一致したというだけで、その間ずっと入られていたことや、使い回しの経緯までは示さないとしています。

残りの242件は、6月とは別の管理者のユーザー名でした。そのうち216件では、6月のデータにあったユーザー名も2月の管理者の一覧に並んでいました。1台の機器に、管理者のアカウントが複数並んでいたことになります。

多かった名前は、fgtsecure（106件）、admin、Technical_support、callcenter、fgtsec、forticloud-syncです。Hudson Rockは、ほかにmy_admin、districtadmin、ftadm1n、super_admin、forti-auth-techも挙げています。fgtsecure、forticloud-sync、districtadminは、10月にFBIが出した注意喚起の一覧にも入っていた名前です（FBIの注意喚起の記事）。ただし、名前だけで不正なアカウントとは決められません。adminやcallcenterは、正規に作ったアカウントかもしれません。

自社のドメインで出てこなかった会社も、確認し直したい理由

JPCERT/CCは6月の注意喚起で、Hudson RockとSOCRadarの検索ツールを紹介しつつ、注意も書いていました。検索の元のデータは、FortiGuardのライセンスを登録したときのメールアドレスのドメインとみられます。保守会社やSIerが代わりに登録していた場合、利用者の会社のドメインでは結果に出ないことがある、という内容です。

2.0では、Hudson Rockは3つの項目からドメインを拾っています。機器を使っている組織として記録されたドメイン、登録のメールアドレスのドメイン、ユーザー名に入っていたメールアドレスのドメインです。重なる765の機器のうち462（60.4%）で、6月の登録のドメインには無かったドメインが、少なくとも1つ見つかりました。Hudson Rockは、登録のメールが保守会社や通信会社、ITの委託先のものになっている例を挙げ、これらがすべて新しい被害組織というわけではないとしています。

FortiGateの運用を保守会社に任せている会社は、6月の確認が保守会社のドメインでしかできていなかった可能性があります。自社のドメインと保守会社のドメインの両方で確認し、保守会社にも確認を頼むのが確実です。

入口は1つに決められていない

Hudson Rockは、すべての機器に共通する侵入の入口は、この記録からは決められないとしています。背景として、FortiCloudのシングルサインオンの脆弱性CVE-2026-24858（CVSS 9.4、FortiOS・FortiProxy・FortiSwitchManagerが対象）を挙げています。Fortinetの勧告は2026年1月27日で、2月の記録の日付より前です。Fortinetは6月の分析で、過去の事案で得た資格情報の使い回しと総当たりが主な原因だとしていました。

Hudson Rockは、k0tと呼ばれる攻撃者と、設定を取り出すツールの研究で、NyxLabの名前を挙げています。境界の機器を狙うこの攻撃の流れは、FW・VPNを狙う攻撃で認証情報7万件超の記事にまとめています。

影響する会社・しない会社

• 影響する: FortiGateを使っている会社と、2026年2月ごろに使っていた会社です。入れ替えた機器、廃棄した機器、別の拠点に回した機器、IPアドレスが変わった機器も含みます。
• 影響する: FortiGateからADにLDAPでつないでいる会社です。VPNのログインをADのアカウントで行う構成などが当たります。
• 影響する: FortiGateの運用を保守会社やSIerに任せていて、6月の確認を登録のメールのドメインだけで済ませた会社です。
• 影響する: FortiGateにメールサーバーのアカウント、RADIUSの共有の秘密、HAの設定を入れている会社です。
• 影響しない: Fortinetの機器を使ったことがない会社です。

情シスが今日やること

HKCERTの勧告とHudson Rockの確認項目を、作業の順に並べました。

1. 機器の台帳を作り直します。 いま使っているFortiGateと、2026年2月ごろに使っていたFortiGateを洗い出します。入れ替え・廃棄・移設・IPアドレスの変更も含め、管理しているのが自社か保守会社かも書きます。
2. 検索し直します。 自社のいまのドメインと過去のドメイン、保守会社のドメインで、Hudson Rockの検索ページを確認し直します。結果に出たIPアドレスとホスト名は、機器の台帳と照らし合わせます。運用を任せている場合は、保守会社にも確認を頼みます。
3. LDAPの接続用アカウントのパスワードを変えます。 対象は、FortiGateのconfig user ldapに登録したアカウントです。2月より後に変えていなければ変えます。Domain Adminsなどの不要な権限を外し、そのアカウントのログインの履歴に不審な動きが無いかを見ます。
4. 管理者とVPNの利用者のパスワードを変え、セッションを切ります。 同じパスワードをほかのシステムで使っていれば、そちらも変えます。管理者とリモートアクセスのすべてのアカウントに多要素認証を入れ、管理画面はインターネットに出さず、決めたネットワークからだけ使えるようにします。
5. HA、RADIUS、SMTPの秘密を変えます。 config system ha、RADIUSの共有の秘密、config system email-serverを見直し、使っている側のサービスと合わせて変えます。HKCERTは念のため、APIキー、連携用のアカウント、保守会社のサポート用アカウント、証明書と秘密鍵の見直しも勧めています。
6. 管理者の一覧を照らし合わせます。 config system adminを、承認した一覧や過去の正常な設定と比べます。fgtsecureなどの名前は手がかりとして使い、作った人と経緯を確認します。
7. ログを確認します。 管理者とVPNのログイン、設定のエクスポート、アカウントと権限の変更、LDAP・RADIUS・SMTPの不審な動きを見ます。ADやEDRのログと突き合わせます。
8. 不審な点があれば、侵害として扱います。 機器の通信を絞るか切り離し、ログなどの証拠を残します。社内での横展開、居座るための仕組み、マルウェアの有無を調べます。
9. FortiOSを最新版に上げます。 ただしHKCERTは、データが漏れたあとは、版を上げても資格情報の変更と調査は省けないとしています。

6月のFortiBleedへの対応は、FBIの注意喚起の記事の手順と重なります。今回の違いは、FortiGateの外にある資格情報まで変える対象に入ることです。