生成AIを悪用した脅威アクターがFortiGateへ不正アクセス-脆弱性悪用なしでも600台超|セキュリティとITのニュース-セキュリティ対策Lab

投稿日時: 2026年02月24日更新日時: 2026年02月24日

AWS Security BlogでAmazon Threat Intelligenceは、ロシア語話者の金銭目的とみられる脅威アクターが、複数の商用生成AIサービスを使ってFortiGate機器を大規模に侵害したキャンペーンを報告しました。観測期間は2026年1月11日〜2月18日で、55か国以上・600台超のFortiGateが侵害されたとしています。

重要なのは、FortiGateの脆弱性悪用は観測されていない点です。

成功要因は、インターネットに露出した管理インターフェースと、単一要素認証（MFAなし）＋弱い資格情報という基本的な設定・運用の隙でした。
なお、AWSのインフラがこのキャンペーンに悪用された事実は確認されていないと明記されています。

1 概要
2 原因
3 攻撃の流れと到達点
4 生成AIが効果的に運用されたポイント
5 防御の要点
6 ネットワークIoC（AWSが明示）
7 IoC相当として有効な行動・ログ観点（AWSが推奨）

概要

Amazon Threat Intelligenceは、キャンペーン関連の悪性ツールをホストしていたインフラを特定し、そこにAI生成の攻撃計画、被害組織の構成情報、カスタムツールのソースコードが同居していたことで、攻撃者の手口を広範に把握できたと説明しています。

侵害後はFortiGateからデバイス構成情報（config）を丸ごと取得し、そこから得た認証情報やネットワーク情報を足掛かりに、内部ネットワークへ侵入してActive Directoryの侵害、認証情報の収集、バックアップ基盤へのアクセスを試みたとしています。ランサムウェア前段で典型的に見られる動きです。

原因

初期侵入は、インターネットに公開されたFortiGate管理画面への資格情報ベースのアクセスでした。攻撃者は管理IFを443/8443/10443/4443などで探索し、よく使われる認証情報でログインを試みる、という古典的手口をスケールさせています。

FortiGateの構成ファイルは、SSL-VPNユーザー資格情報（復元可能なパスワードを含み得る）、管理者資格情報、ネットワークトポロジやVPN設定などを含むため高価値で、攻撃者はAI支援のPythonスクリプトで解析・復号・整理していたとされます。

攻撃の流れと到達点

初期侵入：露出した管理IFに対する認証情報の総当たり・使い回し（脆弱性悪用なし）
侵害後偵察：VPN経由で内部に入り、gogo（ポートスキャナ）やNuclei（脆弱性スキャナ）などOSSを組み合わせて調査を自動化
AD侵害：Meterpreter＋mimikatzを想定し、DCSyncでNTLMハッシュを取得してドメイン資格情報DBを丸ごと入手したケースを確認
横展開：pass-the-hash / pass-the-ticket、NTLM relayなど標準的手法
バックアップ基盤狙い：Veeam Backup & Replicationサーバーを重点的に狙い、資格情報抽出や既知脆弱性の悪用も試行（復旧能力破壊の布石になり得る）

一方で、攻撃者は環境が堅牢だと深追いせず、突破しやすいターゲットに移る傾向があったと評価されています。

生成AIが効果的に運用されたポイント

Amazon Threat Intelligenceは、この攻撃者が少なくとも2つの商用LLMプロバイダを使い分け、攻撃計画作成、コマンド生成、ツール開発、作戦報告まで広範に依存していたと述べています。

特に、攻撃者のインフラにはAI生成らしい特徴を持つコードや運用資料が多数残っており、少人数でも「量」を出せる状態になっていた点を強調しています。

防御の要点

AWSは、AIで攻撃が加速しても有効な対策は結局基本だと整理しています。まずFortiGate運用組織は次を優先すべきです。

管理IFをインターネットに露出させない（必要なら接続元IP制限、踏み台、OOB管理網）
既定・共通・使い回し資格情報の排除、SSL-VPNユーザー資格情報のローテーション
管理者・VPNともにMFA必須化
不審な管理者アカウント/ポリシー変更の監査、予期しない地域からのVPNログイン監視

侵害後検知としては、DCSync（Event ID 4662）、VPNアドレスプールからの不審な遠隔管理、LLMNR/NBT-NS毒入れの痕跡、バックアップ資格情報ストアへの不正アクセスなどを挙げています。

ネットワークIoC（AWSが明示）

212[.]11.64.250（スキャン／侵害オペレーション用インフラ、観測：2026/1/11〜2/18）
185[.]196.11.225（脅威オペレーション用インフラ、観測：2026/1/11〜2/18）

※AWSも強調している通り、本件はImpacket、Nucleiなど正規用途でも使われるOSSツールが多く、IoC一致だけでは判断しにくいため、後述の行動検知を優先する整理が推奨されています。

IoC相当として有効な行動・ログ観点（AWSが推奨）

FortiGate管理IFの探索／アクセス痕跡：443/8443/10443/4443への管理インターフェース探索と、共通・使い回し資格情報での認証試行
不審な地理からのVPN／サインイン：想定外の地域（例：海外）からの管理系サインイン、VPNログイン
Active DirectoryのDCSync兆候：Event ID 4662（レプリケーション関連GUID付き）の予期しない発生
VPNアドレスプール起点の横展開：VPNプールからの不自然な遠隔管理接続、横展開（pass-the-hash/ticket等）
LLMNR/NBT-NS Poisoningの痕跡：ネットワーク上での毒入れアーティファクト
バックアップ基盤への不審アクセス：Veeam等のバックアップ資格情報ストアへの不正アクセス、バックアップサーバ上での不審なPowerShellモジュール読み込み
正規っぽい名前の新規アカウント：サービスアカウントに紛れる命名の新規アカウント作成