Security News Daily

FortiBleedによる7万台超VPN認証情報漏洩とNGINXクリティカル脆弱性の緊急警報

FortiBleedによる73,000台以上のFortinet VPN認証情報漏洩、CVSS 9.2のNGINXリモートコード実行脆弱性、INCランサムウェアの台頭、Microsoft Teamsを悪用したC2通信、およびSaaSサプライチェーン経由のSalesforceデータ窃取など、インフラからアプリケーション層まで広範なセキュリティインシデントが発生

緊急脆弱性データ漏洩ランサムウェアVPNSaaSセキュリティ

今日のハイライト

本日は、エッジからコアまで組織のインフラを脅かす多層的な攻撃が確認されました。特に、FortiBleedによる7万台以上のVPNデバイス認証情報漏洩は、政府機関から民間企業まで広範な組織に緊急の対応を迫るクリティカルインシデントです。同時に、NGINXのリモートコード実行脆弱性やSaaSサプライチェーン攻撃の台頭は、従来の境界防御だけでは対応しきれない現代の脅威環境を如実に示しています。

1. FortiBleedによる7万台超のFortinet VPN認証情報漏洩

重要度: 🔴 Critical (10/10) | カテゴリ: データ漏洩 | ソース: BleepingComputer

概要

「FortiBleed」と名付けられた大規模データ漏洩が発生し、73,932件のFortinet/FortiGate VPN認証情報が露呈しました。漏洩データにはChevron、Samsung、Foxconn、Comcast、AT&T、Mercedes-Benz、Toyota、Sinopec、State Gridなどの大手企業を含む、21,632のユニークドメインが含まれています。セキュリティリサーチャーBob Diachenko氏による発見で、ロシア語話者のマルチオペレータ脅威グループが関与しているとされています。

攻撃者は約11.6億回の認証試行を行い、SSL VPN認証ハッシュを傍受して45-GPUクラスター（Hashtopolis管理）でクラックし、内部Active Directory環境への横展開を図ったと報告されています。特に日本、台湾、ベトナム、イラク、トルコの複数組織が完全に侵害され、トルコのNATO防衛請負業者から機密文書が窃取された疑いも浮上しています。

考察

即座の対応が必須: 影響を受ける可能性のある組織は、直ちに全VPNユーザーのパスワード変更とMFAの強制適用を実施すべきです。特にSSL VPNは近年、BleepingComputerが報じるように資格情報窃取の主要な標的となっており、CISAも警告を発出しています。

攻撃手法の高度化: 今回のインシデントは、単なるブルートフォース攻撃ではなく、SSL VPNハッシュの傍受からGPUクラスターを用いたオフラインクラック、さらにはActive Directoryへの横展開という一連の高度な手法を示しています。攻撃者が組織の業種、収益、従業員数を記録していたことから、標的型攻撃（APT）としての側面も強く、単なる金銭目的のランサムウェアグループとは一線を画しています。

インテリジェンス駆動防御の重要性: 攻撃者が誤って露出させたサーバーから得られた「クラック済みパスワードリスト」は、防御側にとっても貴重なインテリジェンスとなり得ます。組織は自社ドメインがリストに含まれていないか確認するとともに、同様の認証試行パターン（約11.6億回の試行に相当するログ）が自社環境で検出されないか監査を強化すべきです。

参照元

2. NGINXのクリティカル脆弱性に対する緊急パッチ適用

重要度: 🔴 Critical (9/10) | カテゴリ: 脆弱性 | ソース: The Hacker News

概要

F5がNGINX Open Sourceの2件のクリティカル脆弱性に対するセキュリティアップデートをリリースしました。特にCVE-2026-42530（CVSS v4スコア: 9.2）は、ngx_http_v3_moduleにおけるuse-after-free脆弱性であり、リモートコード実行（RCE）を可能にします。世界で最も広く使用されているWebサーバーの一つであるNGINXの脆弱性は、インターネット上の広範なインフラに影響を及ぼす可能性があります。

考察

パッチ適用の優先度: HTTP/3（QUIC）モジュールを有効化している環境では、直ちにパッチを適用するか、該当モジュールを無効化すべきです。use-after-freeはメモリ破損を引き起こし、攻撃者がサーバープロセスのコンテキストで任意のコードを実行できるため、ファイアウォールやWAFの後ろにあっても直接的なリスクとなります。

HTTP/3の採用リスク: HTTP/3はパフォーマンス向上を約束する一方、新しいプロトコルスタック（QUIC）の導入は攻撃面の拡大を意味します。今回の脆弱性は、新技術の採用におけるセキュリティ検証の重要性を示唆しています。特にエッジサーバーでHTTP/3を有効にしている組織は、リバースプロキシとしてのNGINXが内部アプリケーションへの入り口となるため、影響は限定的ではありません。

コンパイル済みバイナリの管理: NGINXは多くの組織でソースからコンパイルされるか、OSディストリビューションのパッケージで提供されています。緊急パッチの場合、パッケージマネージャーの更新遅延が命取りとなる可能性があるため、ソースからの緊急ビルド手順の整備や、コンテナイメージの迅速な再ビルドパイプラインの確保が重要です。

参照元

3. INCランサムウェア：LockBit後継としての台頭と830以上の被害者

重要度: 🔴 Critical (9/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

INCランサムウェアが、2023年8月以来830以上の組織を被害に遭わせたことが判明しました。LockBitの崩壊とBlackCatの停止が生んだ真空地帯を埋める形で、RaaS（Ransomware-as-a-Service）モデルとして急速に勢力を拡大しています。INCは当初は新興の脅威グループでしたが、2026年現在最も多産なサイバー犯罪集団の一つとして認識されています。

考察

ランサムウェア生態系の変容: LockBitやBlackCatといった巨大グループの摘発は、一見すると防御側の勝利に見えますが、実際には中小規模のRaaSオペレーターに市場シェアを分配する結果となりました。INCの台頭は「水鉄砲効果」を示唆しており、大規模インフラの破壊よりも、分散化した複数のグループへの対応がますます困難になっている現状を反映しています。

被害者数と攻撃の効率性: 830以上の被害者という数字は、INCが「ビッグゲームハンティング」（高価値標的の狙い撃ち）と「スプレーアンドプレイ」（広範な脆弱性の自動悪用）の両方を実行している可能性を示唆しています。組織は、単にバックアップを保持するだけでなく、初期アクセスブローカー（IAB）からの資格情報購入や、RaaSアフィリエイトの活動パターンに対する脅威インテリジェンスの収集が不可欠となっています。

交渉と規制対応: INCの被害を受けた組織は、支払い交渉のプロセスや、データ漏洩通知義務（GDPRや個人情報保護法）への対応を迫られています。830件という規模は、ランサムウェアが単なる技術問題ではなく、ビジネス継続性と法的コンプライアンスの両面で組織を脅かす「事業リスク」として認識すべきことを示しています。

参照元

4. DragonForceによるMicrosoft Teamsリレー悪用とC2通信の隠蔽

重要度: 🟠 High (8/10) | カテゴリ: マルウェア・ランサムウェア | ソース: The Hacker News

概要

DragonForceランサムウェアグループが、カスタム製のGoベースRAT（Backdoor.Turn）を使用し、Microsoft Teamsのリレーインフラを悪用してC2（Command and Control）通信を隠蔽していることが判明しました。Broadcom傘下のSymantecとCarbon Blackによる調査で、一般的に信頼されるTeamsの通信チャネルを悪用することで、従来のネットワーク監視を回避する高度な手法が確認されました。

考察

正当サービスの悪用（Living off the Land）の進化: Teamsは企業環境で広く許可された通信経路であり、ファイアウォールやプロキシでブロックされることは稀です。Backdoor.TurnがTeamsのリレーインフラをC2経路として使用することで、TLS暗号化された「正当な」通信の中に悪意のトラフィックを混在させ、検出を極めて困難にしています。

Go言語マルウェアの台頭: Go言語は静的リンクとクロスプラットフォーム対応性から、近年マルウェア開発者に人気が高まっています。Backdoor.TurnのようにGoで記述されたRATは、従来の署名ベース検出を回避しやすく、リバースエンジニアリングも相対的に困難です。EDR（Endpoint Detection and Response）ソリューションは、単なるファイルハッシュではなく、異常なプロセス動作（Goランタイムの特徴的なメモリ割り当てパターンや、Teams APIへの不審な呼び出し）に基づく検出ルールの整備が必要です。

ゼトラストアーキテクチャの重要性: この種の攻撃に対しては、「通信が暗号化されている＝安全」という前提は成立しません。アプリケーション層での微細なアクセス制御（Teamsの特定機能への制限）や、East-Westトラフィックの厳密なセグメンテーション、および「デフォルト拒否」のネットワークポリシーが有効です。

参照元

5. Klue OAuth侵害を介したSalesforceデータ窃取とIcarusグループ

重要度: 🟠 High (8/10) | カテゴリ: サプライチェーン攻撃 | ソース: BleepingComputer

概要

市場インテリジェンスプラットフォーム「Klue」でOAuth侵害が発生し、「Icarus」という脅威アクターが複数組織のSalesforce CRMデータを窃取しました。被害にはセキュリティ企業Huntressも含まれ、Salesforceは調査中としてKlue Battlecards統合機能を無効化しています。攻撃者はPythonスクリプトを用いて24時間近くにわたりSalesforce REST APIを照会し、段階的にデータを窃取しました。

考察

SaaSサプライチェーンの盲点: Klueのような正当なSaaS統合アプリが、組織の最も機密性の高いデータ（Salesforce CRM）への「裏口」となるリスクを示しています。従来のネットワークセキュリティは、クラウドアプリ間のOAuth連携を可視化できないため、サードパーティアプリの権限監査（OAuthスコープの見直し）と継続的なアクセスレビューが不可欠です。

低速で持続的な窃取（Slow and Steady）: 攻撃者は最初は偵察を行い、その後15分間で約1,000回のクエリを発行する「バースト」手法でデータを窃取しました。この「低速→高速」の切り替えは、従来の閾値ベースの検出を回避する巧妙な戦略です。APIアクセスの異常検知では、単位時間あたりのリクエスト数だけでなく、データ取得パターンの変化（一貫性のない大量取得）も監視対象とすべきです。

新興グループ「Icarus」の手口: ShinyHuntersとは別の新興グループIcarusによる攻撃は、Salesforce統合を標的とした攻撃の「フランチャイズ化」を示唆しています。SalesforceはAPI経由で膨大なビジネスデータにアクセスできるため、CRMデータの暗号化（Bring Your Own Key）や、APIアクセスのIP制限、異常ログイン検知の強化が急務です。

参照元

まとめ

本日のニュースは、エッジデバイスの認証情報管理（FortiBleed）、コアインフラの脆弱性（NGINX）、クラウドサプライチェーンの監視（Klue）という、組織のITスタック全体にわたる多層防御の必要性を浮き彫りにしています。

特に緊急性が高いのはFortiBleedによるVPN認証情報漏洩で、影響を受ける組織は週末を利用した緊急対応（パスワード変更、セッション無効化、MFA強制）を検討すべきです。また、NGINXの脆弱性はHTTP/3を使用している環境での即座のパッチ適用が求められます。

今後の注視ポイントとしては、INCのような新興RaaSグループの活動拡大、およびMicrosoft Teamsなどの正当なクラウドサービスを悪用するC2手法の標準化が挙げられます。防御側は、単なる境界防御から、資格情報のダークウェブ監視、APIセキュリティ、そしてゼロトラストアーキテクチャへの移行を加速させる必要があります。

参照元