106カ国2516の標的をClaude Codeなどで偵察 FortiGate狙う攻撃が判明：セキュリティニュースアラート

FortiGate侵害を起点に「Claude Code」や「DeepSeek」などの大規模言語モデルを攻撃支援に組み込んだ事例を報告した。攻撃者は侵入後の偵察分析と計画策定をLLMで自動化し、多国間で同時展開したという。

[ITmedia エンタープライズ編集部]

　セキュリティブログ「Cyber and Ramen」に掲載された脅威分析レポートは2026年2月21日（現地時間、以下同）、「FortiGate」機器を標的とする侵入活動の内部構造を発表した。

　サイバー攻撃者は侵入後の調査や計画立案に大規模言語モデル（LLM）「Claude Code」や「DeepSeek」を使用し、複数国にまたがる標的に並行して攻撃を展開していたという。

侵入活動に「Claude Code」や「DeepSeek」が使われる

　同レポートによると、2026年2月上旬にインターネットに公開状態で放置されていたサーバの発見が事態発覚の発端とされている。1000件超のファイルが保存され、盗まれたファイアウォール設定や「Active Directory」構成情報、認証情報ダンプ、攻撃計画文書などが含まれていた。調査の結果、このサーバは2025年12月にも公開状態となっており、当時から同種の活動が継続していた形跡が確認されたという。

　この基盤の特徴は、LLMを侵入ワークフローに直接組み込んだ点にある。LLMはゼロデイ探索やエクスプロイト作成ではなく、侵害済み環境の情報整理や優先順位付けを担っていた。攻撃者は偵察データを独自のMCP（Model Context Protocol）サーバに投入し、DeepSeekに攻撃計画を生成させ、Claude Codeのコーディングエージェントに脆弱（ぜいじゃく）性評価やコマンド実行を担わせていた。

　公開ディレクトリにはFortiGateの設定ファイルやCVE悪用コード、「Nuclei」テンプレート、「Veeam」関連ツール、「BloodHound」の収集データなどが保存されていた。Claude Codeの設定ファイルにおいて、「Impacket」「Metasploit」「hashcat」などの攻撃ツールを自動実行できる状態に構成され、特定企業のドメイン資格情報が埋め込まれていた。

　侵入経路の一例では、支店の「FortiGate-40F」アプライアンスから取得したバックアップ設定を解析し、VPN利用者約50人分の情報やLDAP設定、ドメインコントローラー情報を抽出した。暗号化保存されたLDAPバインドパスワードは「CVE-2019-6693」関連スクリプトで復号された可能性が高い。その後、内部ネットワークに接続し、「QNAP NAS」やVeeamバックアップサーバを標的に横展開を試みていた。

　2026年2月1日に公開された評価レポートには、アジア太平洋地域標的への約400ミリ秒の往復遅延が記録され、リアルタイム接続下で文書が生成されたと推測される。ntlmrelayx.pyの実行痕跡も残り、資格情報中継攻撃が進行中だった状況がうかがえる。

　攻撃基盤の中核は「ARXON」と「CHECKER2」と呼ばれる独自ツール群だ。ARXONは各標的の偵察結果を取り込み、LLMに照会して攻撃計画を生成し、知識ベースに蓄積する役割を担う。同時に、FortiGate機器へのVPNアカウント作成やドメイン管理者権限検証を自動実行する機能も備えていた。

　ログにはFortiGate設定を国別に整理した102MBのアーカイブを別サーバに転送し、自動スキャンを開始する処理が記録されていた。結果として106カ国2516件の標的が抽出され、並列処理が実行されていた。

　被害確認は少なくとも5カ国におよび、アジア太平洋地域の産業ガス企業やトルコの通信事業者、アジアの大手メディア企業などが含まれる。韓国やエジプト、ベトナム、ケニアの組織情報も保存されていた。

　2025年12月時点において、公開されている攻撃支援フレームワーク「HexStrike」を利用していたが、2カ月後には独自開発ツールに移行していた。半自動型から高度な自動化体制へ移った過程が確認できる。

　同レポートは防御側に対し、境界機器の迅速なパッチ適用と未承認VPNアカウントの監査、SSH接続履歴の確認、ポリシー変更の監視を求めている。AIが攻撃工程に組み込まれる流れは促進するとみられ、防御体制の即応性が問われている。