情報処理推進機構（IPA）は火曜日、FortiGate SSL VPNの脆弱性に対する緊急通報を公表した。兵庫県がインターネット公開の未更新機器経由の不正アクセスを確認したことが背景にある。

被害の概要

県は既知のSSL VPNの欠陥を突かれ、土木・防災系のファイル共有へ横展開が試みられたと説明した。住民基本台帳の流出は未確認だが、数百アカウントの認証情報をリセットした。

ベンダーは以前に修正を出していたが、県は再起動を伴う更新を先送りしていた。

IPAの通報

全国の自治体・大学・病院に適用され、ファームウェア確認と管理画面の閉域化を求める。サイバーセキュリティ戦略本部が県のCIO向けに連絡会を開いた。

攻撃の様相

大規模なスキャンと再利用パスワードの痕跡。パッチだけでは足りず、多要素認証が論点になる。

対策

VPN機器の棚卸し、修正適用、秘密情報のローテーション、VLAN分離。期限内のIPA報告も必要だ。

まとめ

既知のVPN欠陥は更新を遅らせると自治体で現実の侵害になる。パッチとMFAが最低ラインだ。