FortinetやPalo Altoの機器を標的に大規模攻撃、7万件超の認証情報が流出

要点

• FortinetやPalo Alto Networksの公開ファイアウォールやVPN機器を狙う大規模攻撃が判明した。

• ネットワーク機器や認証システムから7万件以上の認証情報が流出したことが確認されている。

• 攻撃主体は「k0t」と特定され、脆弱性悪用や総当たり攻撃で侵入し正規ツールで潜伏していた。

• 被害の約38%がアジア太平洋地域に集中しており、ランサムウェア組織との関連も指摘されている。

• サイバーセキュリティ企業のGroup-IBとNyxLabは2026年10月23日、企業の境界ネットワーク機器を無差別に標的とする大規模なサイバー攻撃キャンペーンを公表した。FortinetやPalo Alto Networksの機器が狙われ、世界中の組織から7万件を超える認証情報（クレデンシャル）が流出し、持続的な遠隔アクセスやデータ持ち出しの被害が出ているという。

脅威アクター「k0t」の正体と被害規模

この攻撃を主導しているのは、「CryptoFeel」「Member19」「QazWsxShop」などの別名でも知られる脅威アクター「k0t」と特定された。2025年10月22日に初めて観測されたサイバー犯罪者で、「Qilin」や「The Gentlemen」といったランサムウェア組織と繋がりを持ち、標的への侵入権を売買・提供する初期アクセスブローカー（IAB）やアフィリエイトとして活動しているとみられる。

被害は業界を問わず世界規模で発生しており、地域別ではアジア太平洋（APAC）が約38%と最多で、中南米（31.9%）、欧州（15.8%）、中東および北アフリカ（12.7%）が続く。k0t自身は公言していた目標として米国やカナダ、次いで欧州や一部のAPAC市場を挙げていたが、実際には個別組織の調査を行わず公開機器を大規模に探索して標的を選定したため、結果として多様な業種に被害が拡大したと分析されている。

脆弱性の悪用と内部侵入の手口

攻撃者が侵入を展開する一連の手順（攻撃チェーン）も詳細に判明している。まず偵察段階では、機器検索エンジン「FOFA」や「ZoomEye」を用いて外部公開されたVPNやファイアウォール機器を列挙し、製品別に絞り込んで攻撃対象リストを作成していた。

初期侵入には、FortinetのWebファイアウォール「FortiWeb」に存在するパストラバーサル（不正なファイル参照）脆弱性「CVE-2025-64446」や、Palo Alto Networksの「PAN-OS」および「Prisma Access」の認証バイパス（認証回避）脆弱性「CVE-2026-0257」を悪用した。「fortnew.py」や「exploit_2026_0257.py」といった独自のPythonスクリプトを使用したほか、一般的なパスワードの組み合わせを試す総当たり攻撃（ブルートフォース攻撃）も併用されていた。侵入後はOpenConnect VPNで足場を築き、Active Directoryやファイル共有プロトコルのSMB、セキュリティソフトの構成を探索して追加の認証情報を窃取していた。

正規ツールの悪用による潜伏とデータ流出

k0tの手法における大きな特徴は、検知を回避するために正規のソフトウェアを多用している点だ。侵入を永続化させるため、MeshCentral Agent、Atera、Teramind、AnyDeskといった正規のリモート管理ツールを導入し、さらに攻撃シミュレーション基盤「AdaptixC2」も併用していた。

また、社内ネットワークを深掘りする際には、NetExec、SoftPerfect、Impacket、noPac、Kerbrute、PetitPotam、Mimikatzなど、管理者や侵入テスト担当者が日常的に使う診断ツールを悪用していた。収集された機密データは、ファイル同期ツール「Rclone」を用いてWasabiのS3互換バケットやMEGAクラウドドライブへと外部転送されていたという。

ランサムウェアとの関連と「FortiBleed」との差異

被害組織の多くは、後にQilinやThe Gentlemenのデータリークサイト（盗難データを公開して脅迫するサイト）に掲載されていたが、両者の具体的な協力形態の全容は現時点では未解明である。

また、流出した7万件以上の認証情報（ネットワーク機器やディレクトリ情報のダンプ）について、同時期（2026年2月〜6月）に発生していた認証情報窃取活動「FortiBleed」との比較が行われたが、侵害データ同士の重複は「ごくわずか」であった。研究チームは、本件がFortiBleed関連の広範な活動における独立したデータセット、または別個の運用者による侵入作戦である可能性を指摘している。調査にあたった両社は、関係組織に対し報告された各脆弱性の早急な修正を呼びかけている。