Fortinetは自社のデータを無防備なクラウドドライブに放置していた——ハッカーがその440GBを売却

2025年1月中旬、『Fortibitch』のハンドル名を使う脅威アクターがハッカーフォーラムへの投稿を始め、世界最大級のネットワークセキュリティベンダーの一つであるFortinetから約440GBのデータを窃取したと主張した。このアクターは、『Fortileak』と名付けられたこの持ち出しデータが、Fortinetが共有の外部ファイルストレージ基盤として使用していたMicrosoft AzureホストのSharePointファイルドライブから引き出されたものだと述べ、証拠として小規模なサンプルファイルを公開した後にデータを販売に供した。

Fortinetはこの侵入を、異例の認め方で確認した。同社は顧客に対し、『限られた』量のデータが『一個人の脅威アクター』によって第三者のクラウドベースの共有ファイルドライブ経由でアクセスされ、その後攻撃者がファイルを投稿し販売したと伝えた。同社自身のPSIRTブログは規模を軽視し、アクターの440GBという主張は誤解を招くものだと論じた。というのも、そのドライブには従業員と顧客のデータが混在し、一部は重複しており、インシデントの影響は顧客の1パーセントのさらに一部に過ぎないと述べた。

この侵害が注目されたのは主に、それが誰に起きたかという点だった。すなわち、まさにこうした事態を防ぐために製品ライン全体が存在する企業である。Fortinetは数万の組織にファイアウォールとセキュリティソフトウェアを販売しており、その顧客は、防御インフラを任せていたベンダーが自社の文書を厳重に管理できなかったことを告げられなければならなかった。同社は第三者調査員を起用し、攻撃者のアクセスを取り消し、漏えいしたデータが顧客に対するソーシャルエンジニアリングやフィッシング攻撃に利用される可能性があると警告したと述べた。

Fortinetは自社のファイルを無防備なAzure SharePointドライブに放置していた。ハッカーが440GBを売却し、ファイアウォールベンダーが自ら掲げる基準を自ら満たせなかったことが証明された。

Fortinetは顧客関連および企業文書を、単一の脅威アクターが到達し持ち出せる外部ホストのクラウドドライブに保存していた。

このセキュリティベンダーは、顧客に販売しているのと同じセグメンテーションとアクセス制御を自社のファイルストレージに適用していなかった。

このインシデントはFortinet自身の開示ではなく攻撃者のフォーラム投稿を通じて公になったため、同社は常に後手に回っていた。

セキュリティ企業は、自らが販売するのと同じ基準で評価される。自社の共有クラウドドライブが単独の部外者から到達可能であれば、販売しているファイアウォールは自社で運用しているものより機能していないことになる。

Fortinetは顧客に侵害を確認し、フォレンジック調査員を起用し、攻撃者のアクセスを取り消し、漏えいした資料がフィッシングで顧客を標的にするために使われ得ると警告した。『Fortibitch』のペルソナと『Fortileak』のダンプは、自社の内部が整っていなかったベンダーの気まずさを表す略語としてセキュリティ界で定着した——そして、ストレージ層がセキュリティベンダーの資産でさえしばしば最も脆弱な部分であるという注意喚起となった。