AWSは、AI強化型攻撃により600以上のFortiGateファイアウォールが侵害されたと報告しています。

AWSインシデントレポートからの攻撃詳細

AWSのセキュリティチームは、2026年1月中旬から2月中旬にかけて、ロシア語を話すサイバー犯罪者が55か国で600以上のFortiGateファイアウォールを侵害したキャンペーンを記録しました。攻撃者は商用の生成AIツールを使用して攻撃プレイブック、スクリプト、運用ノートを生成し、比較的スキルの低いグループが通常より多くのリソースを必要とする攻撃を実行できるようにしました。

攻撃手法

このキャンペーンは、公開インターネット上のFortiGate管理インターフェースのスキャンに焦点を当てました。攻撃者はその後、一般的に再利用されるか脆弱な認証情報を試行しました。内部に入ると、以下の設定ファイルを抽出しました：

• 管理者およびVPN認証情報
• ネットワークトポロジの詳細
• ファイアウォールルール

そこから、環境のより深部に移動し、Active Directoryを標的にし、認証情報をダンプし、横移動の機会を探りました。Veeamサーバーを含むバックアップシステムも標的にされました。

AIツールの特徴

AWSは、AI生成ツールが機能するが洗練されていないことを観察し、単純な解析ロジックや冗長なコメントは機械生成コードを示唆していました。ツールは単なる偶発的なスクリプト作成ではなく、ワークフロー全体に組み込まれていました。AmazonのCISOであるCJ Moses氏は次のように述べています：「カスタムツールの量と種類は通常、十分なリソースを持つ開発チームを示します。代わりに、単一のアクターまたは非常に小さなグループがAI支援開発を通じてこのツールキット全体を生成しました。」

攻撃パターンと防御

攻撃者は抵抗を示す標的を放棄し、より脆弱な標的に移行する傾向があり、洗練さよりも量を重視しました。活動は厳密に標的を絞るのではなく地理的に日和見的であり、ヨーロッパ、アジア、アフリカ、ラテンアメリカの被害者がいました。一部の侵害は、マネージドサービスプロバイダーやより大規模な共有環境へのアクセスを可能にし、下流のリスクを増幅させた可能性があります。

AWSは、基本的なセキュリティ衛生状態がほとんどの侵害を防いだであろうと強調しました：

• 管理インターフェースを公開インターネットから外す
• 多要素認証を実施する
• パスワードの再利用を避ける

この発見は、Googleからの最近の警告に続くもので、犯罪者が偵察、標的プロファイリング、フィッシング、マルウェア開発にGemini AIを使用するなど、生成AIを直接運用に統合しつつあると警告しています。