Amazon Threat Intelligenceは、ロシア語話者の脅威アクターが商用生成AIを活用し、55カ国600台超のFortiGateを侵害したと公表した。AWSのユーザーや情報システム部門が取るべき対策を整理する。
2026年2月20日（現地時間）、Amazon Threat Intelligence（ATI）が公開した調査によると、金銭目的とみられるロシア語話者の脅威アクターが複数の商用生成AIサービスを利用し、UTM（統合脅威管理）アプライアンス「FortiGate」を搭載したデバイスを侵害した。被害件数は55カ国以上600台超で、侵害は2026年1月11日〜2月18日に発生した。
注目すべきは、FortiGateの脆弱性悪用（エクスプロイト）は確認されていない点だ。突破口になったのは、インターネットに露出した管理インタフェースと、多要素認証（MFA）なしの認証情報という“基本的な穴”だった。ATIによると、本インシデントでAWSのインフラが悪用された事実は確認されていない。
本稿は、攻撃の流れを整理し、AWSユーザーや情報システム部門（情シス）が取るべき対策を紹介する。
ATIによると、攻撃者はFortiGateの管理インタフェースを探索し、攻撃者が公開情報や過去の調査から収集したデフォルトの認証情報や強度が低いパスワード、漏えいした認証情報を使って標的へのログインを試みる“Mass credential abuse”を通じて初期侵入した。
重要なのは、生成AIがゼロデイを生み出した訳ではないことだ。露出したポートや強度が低い認証情報を使った攻撃の計画、自動化、量産に商用AIが使われた。ATIによると、攻撃者は高度APTのような国家支援型集団とは結び付いておらず、技術力は低から中程度だがAIで規模を拡大させた。攻撃の流れは以下だ。
ATIによると、攻撃者はFortiGateの構成ファイルから以下を奪取した。
これらの情報の整理、分析には、生成AIツールを利用して、プログラミング言語「Python」や「Go」を用いて作成したスクリプトが利用されたという。
被害者のネットワークに侵入した攻撃者は、GoやPythonで書かれたカスタム偵察ツールを使って以下を自動化した。
ATIは、攻撃者がVeeam Softwareの「Veeam Backup＆Replication」を重点的に狙い、PowerShellスクリプト、復号ツール、既知の脆弱性の試行など、複数手段で資格情報に迫ったと説明する。バックアップ基盤は高い権限の資格情報を持ちやすく、ランサムウェア前段として攻撃者が好む標的であるという傾向がある。
ATIは「AWSインフラの悪用は確認されていない」と強調している。一方、ユーザー企業は、境界に設置されている機器から社内のActive Directoryを経由して、AWSの権限まで連鎖的に侵害される可能性を考慮しておくとよい。AWSのユーザー企業は、「自社はAWSだから関係ない」ではなく、ID／資格情報の再利用や持ち出しを前提に備えておきたい。
ATIは、以下の運用を推奨している。
％
ATIの結論は一貫している。侵害の成功要因は、「管理インタフェースの露出」「強度が低い認証情報」「単要素認証」であり、その対抗策はセキュリティ基礎の徹底だ。ATIは対策の一例として以下を挙げている。
Copyright © ITmedia, Inc. All Rights Reserved.
なぜクラウド全盛の今「メインフレーム」が再び脚光を浴びるのか
メインフレームを支える人材の高齢化が進み、企業の基幹IT運用に大きなリスクが迫っている。一方で、メインフレームは再評価の時を迎えている。
「サイト内検索」＆「ライブチャット」売れ筋TOP5（2025年5月）
今週は、サイト内検索ツールとライブチャットの国内売れ筋TOP5をそれぞれ紹介します。
「ECプラットフォーム」売れ筋TOP10（2025年5月）
今週は、ECプラットフォーム製品（ECサイト構築ツール）の国内売れ筋TOP10を紹介します。
「パーソナライゼーション」＆「A／Bテスト」ツール売れ筋TOP5（2025年5月）
今週は、パーソナライゼーション製品と「A／Bテスト」ツールの国内売れ筋各TOP5を紹介し...
ITmediaはアイティメディア株式会社の登録商標です。
