「VPN機器は最新版に更新しているから大丈夫」。そう考えていた会社にとって見過ごせない事案が、2026年6月に明らかになりました。Fortinet製FortiGateなどに関連する認証情報が大量に流出していたとされる、通称「FortiBleed」です。JPCERT/CCも国内企業に関連する情報の存在を確認し、注意喚起を出しています。今回のポイントは、新しい脆弱性の話ではなく、過去に漏れた認証情報が今も使えてしまうという運用面の穴にあります。

この記事でわかること

  • 「FortiBleed」で何が起きたのか
  • パッチを適用していても安心できない理由
  • 取引先経由で自社にリスクが及ぶ場合があること
  • 中小企業が確認すべき対応

「FortiBleed」とは何か

海外セキュリティベンダーのSOCRadarは2026年6月、攻撃者が運用するデータベースに、194カ国にわたる企業や政府機関に属する86,644台以上のFortiGateなどの機器のログイン情報が含まれていることを確認したと公表しました。JPCERT/CCもこの情報に国内企業に関連するものが含まれていることを確認し、2026年6月23日付で注意喚起（JPCERT-AT-2026-0019）を発行しています。

パッチ適用だけでは防げない理由

Fortinet PSIRTは、本件について新規の脆弱性や直近のアドバイザリに関連するものではなく、過去のインシデントで取得された情報の再利用が主因との見解を示しています。一方で一部のセキュリティ研究者は、漏えいした認証情報にひも付くドメインの中に、現在も有効な認証情報が含まれている可能性を指摘しており、単純な「過去情報の再流通」として片付けるべきではないとしています。

さらに、FortiGateの設定ファイルには管理者パスワードのハッシュが含まれています。設定ファイルが取得された場合、機器への直接アクセスがなくても、オフライン解析によってパスワードが解読されてしまう恐れがあります。つまり、脆弱性を修正するパッチを当てていても、過去に漏れた認証情報がそのまま使い続けられていれば、侵入経路として残ってしまいます。FortinetとJPCERT/CCは、パスワードを解読されにくい形式で保存するPBKDF2方式に対応したFortiOSの最新版への更新も案内しています。

侵入されるとどこまで被害が広がるか

漏えいした認証情報が悪用された場合、VPN機器への不正アクセスを起点に、内部ネットワークへの侵入・横展開へと被害が広がる可能性があります。JPCERT/CCの注意喚起では、攻撃者が侵害したFortiGate機器を経由して内部ネットワークの認証トラフィックを傍受するツールを保有しており、Windowsドメイン認証（Kerberos・NTLM）の資格情報まで窃取・解読された事例が確認されているとしています。VPN機器を踏み台に、社内Windows環境の認証情報まで盗まれる可能性があるということです。この場合、VPN機器側の対処だけでは防ぎきれない侵害経路が残ることになります。

取引先のVPN機器経由で自社が巻き込まれる可能性

今回の事案では、被害組織の一部でサイト間IPsec VPNトンネルへのログインも確認されています。対向拠点を信頼できる相手として常時接続するサイト間VPN構成をとっている場合、自社の機器やドメインが漏えい確認ツールで該当しなくても、対向側の取引先が侵害されていれば、そこを起点に自社へ侵害が及ぶ可能性があります。自社のVPN機器を点検するだけでなく、常時接続している拠点や取引先の状況把握もあわせて必要になります。

FortiBleed 確認チェックリスト1つでも該当したら要確認
  • 利用中のFortiOSがPBKDF2対応の最新版か確認していない
  • VPN機器の管理画面ログで、設定情報のエクスポート履歴を確認していない
  • 管理者アカウント・APIアカウントの操作履歴を確認していない
  • 見覚えのないIPアドレスからの管理者アクセスを確認していない
  • 見覚えのない管理アカウントの追加有無を確認していない
  • VPN機器の管理者パスワードを長期間変更していない
  • VPN機器の管理画面に多要素認証を設定していない
  • VPN機器の管理画面をインターネットへ広く公開している
  • AD/LDAP連携用アカウントの不審な利用を確認していない
  • サイト間VPNで常時接続している取引先の状況を確認していない
  • 拠点間VPNで接続する支店・取引先・保守業者へ本件を共有していない
  • 他サービスと使い回しのパスワードをVPN機器に使っている可能性がある

設定やログの確認に慣れていない場合は、管理画面を自己判断で変更せず、保守業者や導入業者へ上記項目の確認を依頼してください。不審な痕跡が見つかった場合はログを消さずに保全し、専門担当者と、外部接続の一時停止または最新版への更新、現在の管理・VPNセッションの終了、VPN利用者・管理者・AD/LDAP連携アカウントを含む認証情報の変更、MFAの有効化を進めます。更新前に認証情報を変更した場合は、更新完了後にもう一度変更します。

自社のVPN機器・認証情報は大丈夫？

現在の機器・構成をお聞きして、確認すべき点と現実的な対策を無料でご提案します。

無料相談を申し込む →方式を比較する →

まとめ：パッチ適用と認証情報の管理は別問題

「FortiBleed」が示したのは、脆弱性を修正するパッチを当てていても、過去に漏れた認証情報がそのまま使われていれば侵入経路になり得るという点です。中小企業にとっての確認事項は次の3点に整理できます。

  1. 外部接続を一時停止するか、PBKDF2対応のFortiOS最新版へ更新する
  2. 現在の管理・VPNセッションを終了し、VPN利用者・管理者・連携アカウントの認証情報を変更してMFAを有効にする
  3. 設定エクスポート履歴、不審な管理者アクセス、AD/LDAP環境、常時接続する取引先を確認する

パスワードだけに頼らない多要素認証の導入や、共用IDをやめて利用者ごとのアカウントに分ける運用は、こうした認証情報の漏えいリスクを下げる基本的な対策です。共用IDのリスクやSSL-VPNの脆弱性対策もあわせて確認してください。自社での進め方は、比較ページで方式を確認しつつ、料金ページとFAQもご覧ください。

参考・出典