AIで強化された攻撃者がエクスプロイトを使わずに600台以上のFortiGateデバイスを侵害した方法

2026年1月11日から2月18日にかけて、ロシア語話者で金銭目的の攻撃者が、55か国以上で600台超のFortiGateファイアウォールアプライアンスを侵害した。しかも、製品の脆弱性を1つも悪用せずに成し遂げた。2026年2月20日に調査を公開したAmazon Threat Intelligenceによると、攻撃者は443、8443、10443、4443番ポートでインターネットに露出した管理インターフェースを見つけ、多要素認証のないアカウントでよく使い回されるパスワードを使って侵入した。攻撃者が抜き出したデバイス設定には、パスワードを復元できるSSL-VPN資格情報、管理者資格情報、ファイアウォールポリシー、ネットワークトポロジーが含まれていた。商用大規模言語モデルがこの作戦全体で使われ、偵察用ツールの作成や攻撃計画の起草が行われた。攻撃者自身のサーバーを発見した別の研究者の説明によると、あるモデルは攻撃コマンドを実行するよう設定されていたという。このインシデントは、Orca AI Incident Archiveに収録された1件であり、同アーカイブには完全な記録、出典、評価が、シリーズ内の隣接する事例とともに掲載されている。

Amazonが報告した内容と、それをどう突き止めたのか

レポート「AIで強化された脅威アクターがFortiGateデバイスに大規模にアクセス」は、Amazon Integrated SecurityのCISOであるCJ Mosesによるもので、2026年2月20日にAWS Security Blogで公開された。最初の実質的な調査結果は否定的なものだ。「FortiGateの脆弱性の悪用は確認されなかった。」初期アクセスは一貫して認証情報ベースであり、上記4つのポート上の管理インターフェースを体系的にスキャンした後、よく使い回される認証情報を用いた認証試行が行われていた。

このキャンペーンが明るみに出たのは、行為者自身の運用上のセキュリティ管理だった。{{1}}Amazonは、悪意あるツールをホストするインフラを定例の脅威インテリジェンス業務を通じて特定したと述べ、さらに同じサーバーにはAI生成の攻撃計画、被害者ごとの設定、カスタムツールのソースコードが暗号化されずに保存されていたとしている。{{/1}}その油断により、Amazonは手法のほぼ全体を把握できた。「{{2}}サイバー犯罪のためのAI搭載の組み立てラインのようなものだ、{{/2}}」と報告書は述べている。

盗まれた設定ファイルは、アプライアンスからその背後のネットワークへ侵出するための足がかりとなる。Amazonによると、これらのファイルには、復元可能なパスワードを含むSSL-VPNユーザー資格情報、管理者資格情報、完全なネットワークトポロジとルーティング情報、内部アーキテクチャを明らかにするファイアウォールポリシー、IPsec VPNピア設定が含まれている。攻撃者は、それらを解析、復号、整理するためにAI支援のPythonスクリプトを作成した。

Amazon自身の言葉で語るポストエクスプロイテーション

侵入後、そのアクターは標準的で詳細に文書化された経路をたどった。ロシア語で書かれた運用文書には、Meterpreterとmimikatzモジュールを使用してドメインコントローラーに対してDCSync攻撃を実行し、Active DirectoryからNTLMパスワードハッシュを抽出する方法が記されている。確認された侵害では、完全なドメイン資格情報データベースを取得していた。Amazonは少なくとも1件、Domain AdministratorアカウントがFortiGate設定から再利用されたか、独立して脆弱な平文パスワードを使用していた事例を指摘している。

そこから記録されている手法は、さらなるインフラストラクチャに対する pass-the-hash と pass-the-ticket、標準的なポイズニングツールを用いた NTLM リレー、および Windows ホスト上でのリモートコマンド実行である。行為者は特に Veeam Backup & Replication サーバーを標的とし、PowerShell スクリプト、コンパイル済みの復号ツール、および既知の Veeam 脆弱性に対する試行を用いた。これは Amazon が「ランサムウェア展開前の運用と一致する」と表現する行動だが、報告書にはランサムウェアが展開された記録はない。

攻撃者のメモは、CVE-2019-7192、CVE-2023-27532、CVE-2024-40711 を含む複数のCVEに言及している。2026年2月21日にこの報告を報じたBleepingComputerは、最初のものをQNAPのリモートコード実行脆弱性、後ろの2つをVeeamの問題と特定している。いずれも侵入経路ではなかった。さらに示唆的なのは、同じメモが度重なる失敗を記録していることだ。既にパッチ適用済みのサービス、閉じられたポート、対象オペレーティングシステムには適用できないエクスプロイトなどである。ある確認済みの被害者について、攻撃者自身の評価は、重要インフラが「十分に保護されており」「悪用可能な脆弱性の経路はない」と結論付けていた。

帰属に関する2つの限界は、率直に述べておく価値がある。Amazonは、この行為者について「国家支援のリソースを持つ高度で持続的な脅威グループと関連しているとは知られていない」と述べており、またAWSのインフラがこのキャンペーンに関与したことは観測されていないとしている。

AIが実際に座っていた場所

AmazonによるAIレイヤーに関する説明は、役割については具体的だが、製品については触れていない。報告書によると、このアクターは少なくとも2つの異なる商用LLMプロバイダーを利用していた。1つは主なツール開発、攻撃計画の立案、運用アシスタントとして、もう1つはアクターが特定のネットワーク内での横展開に支援を必要とした際の補助的な計画立案者としてである。観察された一例では、アクターは完全な内部トポロジー（IPアドレス、ホスト名、確認済みの認証情報、特定済みのサービス）を提出し、既存のツールでは到達できなかったシステムに到達するための段階的な計画を求めた。

Amazonが、ツール群が機械によって書かれたとする根拠は、法科学的というより文体論的なものだ。関数名を言い換えるだけの冗長なコメント、機能よりも出力の整形に多くを投じたアーキテクチャ、適切なデシリアライズではなく文字列マッチングによって解析されたJSON、空のドキュメントスタブを伴う互換性シムなどを列挙している。これらのツールは行為者の狭いケースでは機能したが、周辺領域では失敗した。Amazonは、この分量なら通常は開発チームを想定させるが、ここでは一人の行為者またはごく小規模なグループによるものだったと指摘している。

AWSのレポートには、モデルベンダーも製品名も、Model Context Protocolへの言及も含まれていない。それらは翌日に公開された2つ目の調査資料に現れている。

サーバー、そしてAmazonが公表しなかった名前

2026年2月21日、セキュリティブログ「Cyber and Ramen」は、AS4264（チューリッヒのGlobal-Data System IT Corporation）上でホストされている212.11.64[.]250:9999のオープンディレクトリに関する独自の分析を公開した。これは、Amazonが脅威アクターのインフラとして挙げている2つのアドレスのうちの1つである。研究者は、139個のサブディレクトリにまたがる1,402個のファイルを数えた。そこには、盗まれたFortiGate設定バックアップ、Active Directoryマッピングデータ、認証情報ダンプ、Nucleiスキャンテンプレート、Veeam認証情報抽出ツールに加え、Claudeにちなんで命名された2つのフォルダがあり、タスク出力、セッションディフ、キャッシュされたプロンプト状態の200を超えるファイルが含まれていた。

その分析では2つのカスタムコンポーネントが名指しされている。ARXONは、ターゲットごとの偵察情報を取り込み、DeepSeekを呼び出して攻撃計画を生成し、ターゲットごとに拡大するナレッジベースを保持するPython製のModel Context Protocolサーバーとして説明されている。また、FortiGate VPNアカウントのSSHベースの一括作成やDomain Admin資格情報の検証用スクリプトも備えている。CHECKER2は、並列VPNスキャン用のGo製でDockerベースのオーケストレーターであり、そのログは106か国にわたる2,516のターゲットを示している。研究者は、どちらのツールについても公開された言及は見つからなかったと述べており、両方ともこの作戦のために構築されたことを示唆している。

同じ分析では、同じサーバーが2025年12月に露出した事例も説明されている。こちらの事例には、オープンソースの攻撃用MCPフレームワークであるHexStrikeのコピーと、大手アジア系メディア企業の従業員に属するハードコードされたドメイン認証情報に対してImpacketツール、Metasploit、hashcatを実行することをClaude Codeに事前承認していた.claude設定ファイルが含まれていた。研究者によると、2月までには、行為者はそのオープンソースの出発点からARXONとCHECKER2へと移行していた——およそ8週間の進展である。

BleepingComputerは2月21日の記事の更新で、これらの調査結果を伝えた。この区別は重要だ。ARXON、CHECKER2、DeepSeek、Claude Codeは、研究者が保護されていないディレクトリ内のファイル、ログ、設定を読み取った内容だ。同じインフラストラクチャに独自にアクセスできたAmazonは、そのいずれも名指ししていない。モデルプロバイダーはどれも、その内容を一切確認していない。

何が確立されており、何が単一の情報源に依拠しているのか

3つの主張は、2つの独立した当事者に基づいている。2026年3月6日付のFortinet自身のブログ投稿「Attacks at the Speed of AI」は、Fortinetが「FortiGateの脆弱性が悪用された事例は確認されなかった」と述べ、またキャンペーンは、露出した管理ポートと、単一要素認証による脆弱な認証情報を通じ、パスワードスプレーを用いて成功したと述べている。これは、どちらの当事者も相手の証拠が公開されたものを見ていないにもかかわらず、ベンダー側からAmazonのメカニズムを裏付けるものである。

規模——600台超のデバイス、55か国超、1月から2月の期間——についても、行為者プロファイルについても、情報源はAmazonのみだ。ロシア語話者で、金銭的動機を持ち、技術的基盤は低～中程度、AIへの依存度が高く、ポストエクスプロイトの深度は浅く、運用セキュリティは不十分である。600という数字を第三者が裏付けたことはない。

Cyber and Ramenだけが、名前の挙げられたツール群、モデルベンダー、ファイル数、および2,516件のスキャン対象の情報源である。同グループ自身の証拠文書は、アジア太平洋地域の産業ガス企業、トルコの通信事業者、そして12月の暴露に関係するメディア企業での侵害を確認しており、偵察活動は韓国、エジプト、ベトナム、ケニアに言及している。確認された被害者の範囲は少なくとも5か国にわたり、Amazonが挙げる55か国には遠く及ばない。この2つの数字は別々のものを測っており、どちらも公に突き合わせられていない。

Fortinetの対応と、同社が確認しなかった規模

Carl Windsorによる2026年3月6日付のFortinetの投稿は、攻撃手法についてはAmazonと一致しているが、規模については見解が異なっている。「Fortinetの調査と監視に基づくと、一部の顧客がこの攻撃の影響を受けた」と投稿は述べている。「当社はこれらの組織への通知を進めている」。600台という数字は確認しておらず、Amazonが示した国数も採用しておらず、攻撃主体の名も挙げていない。

Fortinetの主張は、手法は古く、自動化が新しいというものだ。保護が不十分なエッジデバイスに対するパスワードスプレー攻撃が、今やノーコードのプロンプトベースの会話によって実行されている。同社は、MFAがあればこの攻撃は「不可能だった」とし、パスワード複雑性ポリシーが有効であれば「成功する可能性は非常に低い」と述べている。また、次のインジケーターも公開した。212[.]11.64[.]250 または 185[.]196.11[.]225 からの管理者アクセス、fortiuser、fortinet-support、fortinet-tech-support という名前のアカウントの作成、予期しない VPN 設定またはユーザー、永続化メカニズムとして実行されるようにスケジュールされたスクリプト。

これは範囲の相違であり、そのキャンペーンが起きたかどうかをめぐる争いではない。記録に名前が挙がっている誰も侵入を争っておらず、アーカイブはそれをAと評価し、異議ありのフラグはなく、実際の害を記録している。

その後、何が変わりましたか？

CVEもパッチも存在しない。脆弱性がなかったからだ。是正は設定によるもので、両組織は同じリストで一致した。Amazonは、関連パートナーと侵害指標を共有し、業界パートナーと協力し、組織が攻撃者の効力を低下させる措置を取るのを支援したと述べている。報告書には通知した組織の数は記載されていない。Fortinetは影響を受ける顧客に直接通知していると述べている。

両方に共通する技術的ガイダンスは一貫しています。インターネットに面したインターフェースから管理アクセスを外し、内部経路または帯域外経路で管理する。管理者アクセスとVPNアクセスにMFAを適用する。パスワードの複雑性を要求する。管理インターフェースが到達可能だった、または到達可能であった可能性があるすべてのアプライアンスでSSL-VPN資格情報をローテーションする。FortiGate VPNアカウントとActive Directory間のパスワード再利用を監査する。バックアップ基盤を分離し、パッチを適用し、不変コピーを保持する。

検出については、AmazonはDCSync活動（レプリケーション関連GUIDを伴うイベントID 4662）、正規のWindowsサービスを模倣した名前の新しいスケジュールタスク、VPNアドレスプールからの不審なリモート管理接続、LLMNRおよびNBT-NSポイズニングの痕跡、バックアップ資格情報ストアへの不正アクセスを挙げています。また、ここではシグネチャベースの検出は限られた価値しか持たないと警告しています。なぜなら、ツール群は通常のペネトレーションテストにも現れる正規のオープンソースユーティリティ——Impacket、gogo、Nuclei——から構築されているからです。

なぜその記録は画期的なのか

アーカイブはこれを画期的な項目として記録しており、その理由は、このアクターが実際に成し遂げたことと、このアクターに可能と考えられていたことの対比に見て取れる。低～中程度の技能と評価された単独のオペレーターまたはごく小規模なグループが、数十か国にわたって同時侵入を実行し、通常なら開発チームの存在を連想させるツールキットを作り出し、複数の侵入を同時に進行させられるほどの速さでターゲットごとの攻撃計画を生成した。

同じ報告書が上限を示している。この攻撃者は独自のエクスプロイトをコンパイルできず、失敗した悪用試行をデバッグできず、計画が堅牢化された標的に直面したときに即興で対応することもできなかった。そのため、粘るのではなく次へ移った。AIが生成したコードは境界領域で破綻した。運用メモは、パッチ適用済みのサービスと閉鎖済みのポートの記録である。モデルが取り除いたのは判断ではなく労働だった。偵察、解析、文書化、計画は自動化されたが、適応を要する部分は手の届かないところに残った。

それが、未解決の問いが地味で具体的である理由でもある。Fortinet が実際に何組織に通知したかが分かれば、「少数の顧客」と600台超の機器との間の隔たりに決着がつくだろう。ARXON ディレクトリを、発見した研究者とは独立に再調査すれば、そのツールが何であったか、どのモデルを呼び出したかに決着がつくだろう。それまでは、記録は手法について確固たる結論を支えるが、規模についての結論ははるかに弱いものしか支えない。