2026年6月18日、Fortinet製ファイアウォール「FortiGate」を狙った大規模な認証情報の流出が「FortiBleed」と名付けられて一斉に報じられました。露出した規模は194カ国・約7万4,000台。これはインターネットに露出しているFortiGateのおよそ半数に相当します。
私自身、現場で長年FortiGateを触ってきたネットワークエンジニア（以下、NE）として、第一報を見た瞬間に自宅ラボのFortiGate 60Fの設定を確認しに行きました。今回の事案は「いつものCVEパッチ祭り」とは性質が違い、パッチでは塞げないのが最大のポイントです。本記事では、速報の事実関係を一次情報で整理したうえで、NEが月曜の朝に実際に何をやるべきかを、優先順位つきで解説します。
FortiBleedとは？ 3行でわかる要点
- 何が起きた：有効なFortiGateのVPN・管理者認証情報（平文パスワード含む）約7.4万台分が、攻撃者のサーバーから発見された。
- なぜ怖い：これは製品の脆弱性（CVE）ではなく、すでに有効だと検証済みの本物の認証情報データセット。よって適用すべきパッチが存在しない。
- 何をする：露出の有無を確認し、管理面の遮断・MFA必須化・パスワード更新・端末のマルウェア確認を急ぐ。
何が起きたのか：194カ国・約7.4万台という規模
この件を最初に発見したのは、セキュリティ研究者のVolodymyr “Bob” Diachenko氏です。BleepingComputerの報道によると、同氏は攻撃者が誤ってインターネット上に公開してしまったサーバーを発見し、その中にユーザー名・メールアドレス・平文のパスワードを含む有効なFortinetの認証情報が大量に保管されていたと報告しています。
脅威インテリジェンス企業のHudson Rockがこのデータを分析し、キャンペーンを「FortiBleed」と命名。データセットには7万3,932件のユニークなファイアウォールURL、194カ国、2万1,632のドメインが含まれていたとしています。データには各組織の業種・売上規模・従業員数といった注記まで付いており、攻撃の選別に使われていたとみられます。
そして独立系の著名研究者Kevin Beaumont氏が、データセット内の複数組織の認証情報を実際に検証し、本物かつ現在も有効であることを確認しました。同氏はShodanのネットワークデータに基づき、これがインターネットからアクセス可能なFortinetファイアウォールの約半数に相当すること、そして影響機器の大半が管理インターフェースを直接インターネットに公開していることを指摘しています。
収集の手口：単一のゼロデイではない
Diachenko氏の追加調査によれば、この作戦はロシア語話者による複数運営者型のグループによるもので、SSL VPNの認証ハッシュを傍受し、45基のGPUクラスタ（Hashtopolisで管理）で解読、回収した認証情報で内部のActive Directory環境へ横展開していたとされます。試行規模は桁外れで、約32万台のFortiGateへ約11.6億回、さらに約16万台のMicrosoft SQL Serverへ約21億回の認証試行が行われていました。FortiGateだけを狙ったというより、FortiGateを初期侵入口として使う広範なキャンペーンです。
データの出所そのものは、Beaumont氏によればFortiGateの設定ファイル（config）のexportとみられています。configにしか含まれないメールアドレス等の情報が入っているためです。ただし、その設定ファイルがどのように盗み出されたのか（過去のどの脆弱性経由なのか、新たな欠陥なのか）は、現時点で特定されていません。
日本も「完全侵害」4カ国に含まれる
国内読者にとって他人事ではないのが、少なくとも4つの組織が完全に侵害されていたという報告で、その対象国に日本・台湾／ベトナム・イラク・トルコが挙がっている点です。トルコのNATO関連の防衛請負業者からは、機密文書が窃取されたとされています。
最大の論点：これは「脆弱性（CVE）」ではない
ここが本件で最も重要で、かつ多くの速報記事が流してしまう部分です。FortiBleedにはCVE番号もパッチも存在しません。「FortiOSを最新にすれば安心」という、いつもの対応がそのままでは通用しないということです。
なぜ複雑なパスワードまで平文で漏れたのか
奇妙なのは、25文字以上で記号・数字・大小文字を混ぜた、本来は解読困難なはずの強いパスワードまで平文で含まれていた点です。CybelAngelやHudson Rockの分析は、これらが「解読された」のではなく、情報窃取マルウェア（インフォスティーラー）のログに、最初から平文で存在していたためだと説明しています。
インフォスティーラーは、利用者の端末上でパスワードが入力された瞬間――つまり暗号化される前――にそれを盗み取ります。だからパスワードがどれだけ長く複雑でも関係ありません。「強いパスワードにしているから大丈夫」という前提が崩れるというのが、この事案が突きつけた本質です。あわせて、@ITが指摘するように、2025年初頭にFortinetがハッシュをPBKDF2へ強化した後も、管理者が再認証していない機器では旧来のSHA-256系ハッシュが残存し、config取得後のオフライン解読の余地があったケースもあるようです。
Fortinetの見解も押さえておく
公平性のために、ベンダー側の反論も記載します。報道に対しFortinetは、このデータは過去のインシデントのデータの再共有と、認証情報のブルートフォースによるものであり、最近のインシデントや新たなアドバイザリとは無関係だという立場を示しています。一方で研究者側は、影響機器が2025年のBelsen Group漏洩とはIPが異なること、多くが比較的新しいFortiOSを稼働していることを根拠に、現在進行形の新しい収集だと反論しています。どちらの主張も踏まえたうえで、運用者としては「自社の認証情報が有効なまま外に出ている前提」で動くのが安全です。
ネットワークエンジニアが今すぐやること（優先順）
パッチがない以上、防御は設計と運用で行います。海外メディアが挙げる一般的な推奨は「パスワード更新＋MFA」ですが、NEの実務目線では優先順位を組み替えるべきです。
① 管理インターフェースをインターネットに晒さない
影響機器の大半が管理I/Fを直接公開していたという事実が、今回の根本要因です。最優先は到達元の限定。trusted hosts（管理者アクセス元IPの制限）、local-in policyによる管理プレーンへのアクセス制御、そして管理VLANの分離を徹底します。SSL VPNのWebモードが不要なら無効化、可能ならIPsecやZTNAへの移行も検討に値します。
② SSL VPNのMFA必須化＋全パスワード更新
すでに平文で露出している前提に立ち、VPN・管理者アカウントのパスワードを全更新し、SSL VPNにはMFAを必須化します。前述の通り、パスワードの複雑性は今回の防御にはなりません。更新とMFAをセットで初めて意味を持ちます。
③ 端末のインフォスティーラー感染を確認する
見落とされがちですが、根本がインフォスティーラーのログである以上、機器側のパスワードを変えても、管理端末が感染したままなら再び抜かれます。EDR等で管理者端末・運用端末側のマルウェア感染有無を点検するところまでがワンセットです。ここを語れるかどうかが、ニュース記事とNEの解説の分かれ目だと考えています。
④ 影響有無の確認とログ監査
Hudson Rockが無料の影響確認ツールを公開しています（自組織が含まれるかを照合できます）。あわせて、ゲートウェイの認証ログをさかのぼり、不審なログイン成功・国外からのアクセス・短時間の大量試行がないかを点検してください。データセットに自組織が含まれていた場合は、上記①〜③を即時に実施します。
自宅ラボのFortiGate 60Fで確認したこと
第一報を受けて、私の自宅ラボのFortiGate 60Fでも、(1) 管理I/Fが外部に露出していないか、(2) trusted hostsが効いているか、(3) SSL VPNのMFA設定、(4) 直近の管理者ログイン履歴――を順にチェックしました。検証環境とはいえ、「公開しているつもりはなくても、設定の積み重ねで管理面が外から見える状態になっていないか」を棚卸しする良い機会になります。具体的な確認コマンドと手順は、別記事のFortiGate 60Fの初期設定ガイドで補足します。
まとめ
FortiBleedは、約7.4万台・194カ国という規模もさることながら、「強いパスワードでも、有効な認証情報がすでに外に出ている」という前提を運用者に突きつけた事案です。CVEもパッチも存在しないため、NEがやるべきは、管理面の遮断・MFA必須化・パスワード更新・端末側の感染確認という、地道で実効性のある運用です。ニュースの規模感に飲まれず、自社機器の棚卸しから着手しましょう。
本記事は、公開済みの報道および研究者の開示情報（BleepingComputer、Hudson Rock／InfoStealers、CybelAngel、@IT 等）をもとに、防御・注意喚起を目的として作成しています。流出した認証情報そのものや、その入手・悪用の手順は一切記載していません。自組織の確認は、Hudson Rockの公式照合ツールなど正規の手段で行ってください。最新の公式情報は Fortinet PSIRT および JPCERT/CC の発表を必ず確認してください。
