FortiBleed：Fortinet約7万4千台のVPN認証情報が流出、トヨタなど194カ国に影響

「VPNの認証情報が漏れたって、うちは関係あるんでしゅか？」
「パスワードを変えろと言われても、どこから手をつければいいか分からないんでしゅ……」

チップス

7万台っていう数字が大きすぎて、もうピンとこないんでしゅ……。

ボス

数の大きさより、自社が混じっていないかが肝心だ。確かめ方と直し方を順に押さえるぞ。

本記事では、Fortinet製VPN機器の認証情報が大量流出した「FortiBleed」について、流出の中身と企業が取るべき対応を整理します。

読み終える頃には、自社が対象かを確かめ、被害を最小化する手順がつかめます。

FortiBleedで何が流出したのか

まず流出の規模と中身を整理します。

約7万4千台・194カ国に及ぶ認証情報の流出

研究者のBob Diachenko氏が見つけたデータには、約73,932台のFortinetファイアウォールから抽出された認証情報が含まれていました。
影響は21,632ドメイン、194カ国に及び、Hudson RockやKevin Beaumont氏も分析に加わっています。
対象にはトヨタやサムスン、メルセデス・ベンツ、オラクルといった大手や、各国の政府機関が含まれます。
流出元ははっきりしませんが、設定ファイルにしかないメールアドレスなどが含まれることから、エクスポートされた設定由来とみられています。

流出の規模は以下のとおりです。

チップス

有名な会社ばかりでしゅ……。うちみたいな小さい組織は関係ないんでしゅか？

ボス

いや、194カ国に及ぶ無差別の話だ。規模の大小で安心はできん。

なぜ起きたのか、企業が取るべき対策

流出の背景と、いま打つべき手を見ていきます。

設定ファイル由来とみられる流出の怖さ

認証情報は、過去のFortinet機器から取り出された設定情報に基づくとみられています。
設定ファイルには、利用者名やメールアドレスなど、本来は内部にしか存在しない情報が含まれます。
これらがそろうと、攻撃者はVPNに正規利用者のふりをして入り込めます。
一度侵入されれば、社内ネットワークの奥深くまで到達される恐れがあります。

放置した場合のリスクは次のとおりです。

いま企業がやるべきこと

対応の方向性は明確です。
まず該当機器の認証情報をすべて入れ替え、多要素認証を必須にします。
あわせて、VPNのログを見直し、不審なログインがないかを確認します。
無料の照合ツールで、自社が流出対象に含まれるかを調べるのも有効です。

取るべき対応は以下のとおりです。

チップス

パスワードを変えるだけじゃなくて、MFAまでやるんでしゅね。

ボス

そうだ。認証情報は漏れる前提で守る。鍵をもうひとつ増やせば、漏れた鍵だけでは入れなくなる。

まとめ：認証情報は漏れる前提で守る

FortiBleedでは、約7万4千台のFortinet機器に紐づく認証情報が194カ国で流出しました。
大手から政府機関まで対象が広く、自社が含まれていないとは限りません。
認証情報の入れ替えと多要素認証、ログ点検を急ぎ、漏れる前提で守りを固めてください。
こうしたインシデント対応の最前線で力を発揮したい方は、ぜひセキュリティフリーランス案件に目を向けてみてください。

参考: BleepingComputer「FortiBleed leak exposes Fortinet VPN credentials for 73,000 devices」