VPNやUTM（統合脅威管理）といったインターネット境界のアクセス機器は、テレワークや拠点間接続を支える一方で、侵害されると「社内ネットワークへの玄関口」を丸ごと奪われるリスクを抱えます。特にFortinetのFortiGateは導入規模が大きく、脆弱性が公表されるたびに世界中の攻撃者が迅速にスキャンと侵入を試みます。近年はスキャンや脆弱性探索にAIを組み合わせ、探索・侵入・横展開までを半自動化する動きも見られ、攻撃側の初動がさらに速くなっています。
FortiGateを狙う「スキャンの波」はなぜ起きるのか
境界機器の脆弱性が危険視される最大の理由は、攻撃者が認証前（ログイン前）に到達できる経路が多いことです。VPNゲートウェイは外部公開されるのが前提であり、脆弱性が存在すると「インターネットから直接」悪用されます。さらに、攻撃の成否は脆弱性の種類だけでなく、次の条件に左右されます。
- 露出面の広さ：管理画面やSSL-VPNなど、外部公開サービスが多いほど探索されやすい
- 影響範囲の大きさ：侵害されると社内ネットワークの踏み台、通信の盗聴・改ざん、認証情報の窃取に直結しやすい
- パッチ適用の遅れ：機器アップデートは業務影響を懸念して後回しにされがちで、攻撃者に「猶予」を与える
- PoC（概念実証）やエクスプロイトの流通：公開情報が揃うほど攻撃の再現性が高まる
今回取り上げるニュースでは、FortiGateを中心としたFortinet製品に関する脆弱性を狙うスキャン活動が観測され、短期間で大規模に広がっている点が重要です。「スキャンが増えた」という事実は、その後に侵害・マルウェア感染・情報窃取へ連鎖する可能性が高いことを示唆します。
「AIによる探索」が現実にする“時間差の消失”
従来、脆弱性悪用の拡大には「公表→解析→ツール化→大規模悪用」という段階がありました。しかし現在は、公開情報（アドバイザリ、設定例、エラーメッセージ、過去の類似CVE、機器の応答パターン）を材料にして、攻撃者がAIを使いながら短時間で探索ロジックを改善できます。結果として、守る側が想定していた“猶予期間”が圧縮され、以下のような事態が起こりやすくなります。
- 脆弱性情報の公開直後にスキャンが急増し、未対策の機器が優先的に狙われる
- スキャンがより高精度化し、製品/バージョンの推定や設定ミスの抽出が進む
- 探索から侵入までの自動化により、広範囲のターゲットが“薄く速く”侵害される
ここで注意したいのは、AI自体が魔法のハッキング装置になるというより、攻撃者の作業を省力化し「やれることの総量」を押し上げる点です。つまり、パッチ適用が遅れている組織ほど、統計的に狙われる確率が上がります。
FortiGate侵害がもたらす典型的な被害シナリオ
境界機器の侵害は、単体の障害にとどまりません。典型的な連鎖は次の通りです。
- 初期侵入：脆弱性悪用、弱い認証、設定不備などを起点に機器へ侵入
- 永続化：不正な管理者アカウントの追加、設定改ざん、バックドア的設定の投入
- 内部偵察と横展開：VPN経由で社内セグメントへアクセスし、AD（Active Directory）やファイルサーバを探索
- 情報窃取・ランサムウェア：認証情報の収集、重要データの持ち出し、暗号化による業務停止
- 証拠隠滅：ログ改ざん・削除、監視回避の設定
特にFortiGateのような機器では、ログの保全や外部転送が設計・運用上のカギになります。機器ローカルにしかログがなく、かつ侵害された場合、事後調査が困難になり、復旧と再発防止が遅れます。
組織が今すぐ実施すべき対策の優先順位
スキャン増加が観測される局面では、「理想のセキュリティ改善」よりも「侵害確率を最短で下げる」手当てが重要です。以下は優先順位の高い実務的な対策です。
パッチ適用とバージョン管理を“前倒し”する
最優先は脆弱性修正の適用です。境界機器は、社内端末よりも先に更新する価値があります。ポイントは「いつかやる」ではなく、公開から何日以内に適用するかをSLAとして決め、例外時の代替策（機能停止、アクセス制限、WAF/IPSでの緩和）まで含めて運用設計することです。
管理画面・VPNの露出を減らす
管理GUIをインターネットへ公開している場合は、可能な限り閉じ、管理は踏み台（VPNやゼロトラストアクセス）経由に切り替えます。公開が不可避なら、アクセス元IP制限、管理ポート変更、証明書・暗号スイートの見直しなど、多層の制御を適用してください。
認証を強化し、ローカル管理を最小化する
管理者アカウントは最小限とし、MFA（多要素認証）を有効化します。加えて、不要なアカウントの棚卸し、権限の最小化、パスワードポリシーの強化を徹底します。攻撃者は脆弱性だけでなく、漏えい済み認証情報（リスト型攻撃）も併用します。
ログの外部保全と検知ルールの整備
FortiGateのイベント、管理操作、VPNログをSIEMやログサーバへ転送し、改ざんされにくい形で保全します。加えて、次の兆候を検知できるルールを用意します。
- 管理者アカウントの追加・権限変更
- 設定変更（特にVPN、ポリシー、NAT、管理アクセスの変更）
- 短時間の大量認証失敗、地理的に不自然なアクセス
- 未知のIPへの管理ログインやAPI利用
インシデント前提の復旧計画（バックアップと再構築）
境界機器は「設定バックアップがあるから安心」と誤解されがちですが、侵害時はバックアップ自体に不正設定が混入している可能性があります。定期バックアップに加え、クリーンな再構築手順（初期化、ファームウェア再適用、設定差分のレビュー、証明書や鍵の更新）を文書化し、演習しておくべきです。
経営・ガバナンス観点：VPN機器は“最重要資産”として扱う
境界機器のセキュリティは、現場任せにすると優先度が落ちがちです。しかし、侵害されれば全社影響になり、復旧費・調査費・営業損失・信用毀損を同時に引き起こします。経営層が関与すべき論点は明確です。
- 更新停止期間の許容度（メンテナンス時間を確保し、計画停止を“前提”にする）
- 資産台帳の精度（どこに何台あり、どのバージョンか即答できる）
- 例外運用の管理（パッチを当てられない機器の代替策・期限・責任者）
「AIで攻撃が賢くなった」というよりも、攻撃者が高速に大量の試行を回せる時代になった、と捉えるのが実務的です。だからこそ、防御側は“完璧”を目指す前に、露出の最小化、迅速な更新、ログ監視という基本動作の質と速度を上げる必要があります。
まとめ
FortiGateを狙う大規模スキャンが観測される状況は、「未対策の境界機器が短期間で選別され、侵害へ進む」局面に入りやすいことを意味します。対策の要点は、パッチ適用の前倒し、管理面の露出削減、認証強化、ログの外部保全と検知、そして侵害前提の復旧手順です。境界機器を最重要資産として扱い、技術と運用、ガバナンスを同時に整えることが、AI時代の現実的な防御になります。