GlobalProtectに大規模ブルートフォース攻撃─VPN機器への執拗な攻撃とその防衛策とは

2025年3月中旬から下旬にかけて、セキュリティ業界で注目を集めたのが、Palo Alto NetworksのVPN製品「GlobalProtect」に対する大規模なブルートフォース攻撃です。この攻撃は、世界各地のIPアドレスから無差別に行われ、VPNを介して社内ネットワークへアクセスする企業にとって大きな警鐘となりました。
この記事では、攻撃の詳細から、近年相次ぐVPN機器へのゼロデイ攻撃、さらには偽CAPTCHA認証などの新たな手口を解説します。

GlobalProtectとは？企業ネットワークの要となるVPNソリューション

GlobalProtectは、米Palo Alto Networksが提供するエンタープライズ向けVPNソリューションです。従来のIPSecやSSL VPNに加えて、Palo Altoの次世代ファイアウォールとの連携により、単なる通信の暗号化だけでなく、ユーザーやデバイスの識別、アプリケーションごとの制御、マルウェア対策など多層的なセキュリティを実現しています。

現在では、テレワークや外出先からの業務アクセスが一般化したこともあり、官公庁から大企業、中堅企業まで幅広く導入されています。GlobalProtectはゼロトラストネットワークアクセス（ZTNA）の実装基盤としても利用可能であり、近年のセキュリティ戦略において中核的な存在となっています。

3月に発生したGlobalProtectへのブルートフォース攻撃の詳細

2025年3月17日以降、セキュリティリサーチャーによって、GlobalProtectポータルへの大規模なブルートフォース攻撃が観測されました。この攻撃は、わずか10日間で23,000以上のユニークなIPアドレスから試行され、世界中の企業が影響を受けたと見られています。

• 対象地域
  • ​主にアメリカ、イギリス、アイルランド、ロシア、シンガポールなどが標的となりました。​
• 攻撃手法
  • ​攻撃者は、GlobalProtectゲートウェイに対して大量のログイン試行を行い、認証情報の突破を試みました。​
• 関連ツール
  • ​ランサムウェアグループBlack Bastaが開発した「BRUTED」フレームワークが、VPNへのブルートフォース攻撃を自動化するために使用された可能性があります。

特に注目すべきは、この攻撃が既知の脆弱性を狙ったものではなく、ユーザー名やパスワードの推測による認証突破型の攻撃であった点です。Palo Alto Networksは、ログインポータルを標的とした「パスワードスプレー攻撃」や「辞書攻撃」が主であり、組織的な攻撃キャンペーンであると分析しています。

背景には、ランサムウェアグループ「Black Basta」が開発したとされる自動化攻撃ツール「BRUTED」の存在も指摘されており、攻撃の巧妙化・自動化が進んでいることが伺えます。

▼ ブルートフォース攻撃もその一つであるパスワードクラックについてはこちらから🔗

パスワードクラックとは？対策や実際に起きた重大な被害事例も紹介

パスワードクラックとは、他人のパスワードを不正に解析・推測し、アカウントに侵入するサイバー攻撃のことです。一見ハッカーによる特殊な攻撃のように思えますが、実際には基本的なセキュリティ対策を怠るだけで、誰でも被害に遭う可能性があります。この記...

www.cybernote.click

2025.04.03

偽CAPTCHA認証を用いたフィッシング手法の拡大

攻撃手法は技術的な脆弱性だけではありません。2024年以降、攻撃者は「人間による操作」を装うために、偽のCAPTCHA認証を用いる新手のフィッシング攻撃を展開しています。

たとえば、ブラウザ上で「私はロボットではありません」と表示されるおなじみのCAPTCHA画面を模倣し、クリックしたユーザーをマルウェアに感染させたり、認証情報を窃取するサイトへ誘導する手口です。

このような手法は、従来のURLフィルタやアンチウイルスでは検知しづらく、ユーザーの判断力に大きく依存するため、セキュリティ教育の重要性も高まっています。

▼ 以前YouTubeを悪用したマルウェア感染でも話題になりました…

YouTubeでマルウェア感染！？被害事例や対策について紹介！

Photo by freestocks.org on Pexels.comYouTubeを利用したマルウェア感染の事例が増加しています。特に、YouTube動画をダウンロードするサイトにアクセスした際に、偽のCAPTCHA認証や不正なポップ...

www.cybernote.click

2025.03.19

VPN機器へのゼロデイ攻撃：次の標的は誰か？

VPN機器は、リモートアクセスの利便性を提供する一方で、常にインターネットに晒されているため、外部攻撃の入口になりやすいという弱点があります。特にここ数年、VPN製品のゼロデイ脆弱性を悪用する攻撃が頻発しており、攻撃者にとって魅力的なターゲットであることが浮き彫りになっています。

代表的な事例

• Ivanti Connect Secure（旧Pulse Secure）
  • 2024年末、ゼロデイ脆弱性を突いた攻撃により、複数の大手企業が被害。
  • 中国系国家支援ハッカーが関与していた可能性が指摘されています。
• Fortinet FortiGateシリーズ
  • 2023年に複数のゼロデイが公開直後に悪用され、初動対応の遅れが多くの組織で問題に。
• Cisco ASA/VPN
  • VPNポータルの脆弱性を突いたリモートコード実行（RCE）が実証され、即時パッチ適用が推奨されました。

企業が取るべき具体的な対策

このような複合的な攻撃に対して、企業はどのような対策を講じるべきでしょうか？Palo Alto Networksやセキュリティ専門家は以下の対策を推奨しています。

• 全VPNユーザーに多要素認証（MFA）を強制適用
  • パスワードのみのログインを避け、1回限りのコードや生体認証を併用。
• ログ監視とSIEM連携の強化
  • 不正ログインや異常な通信を早期に検知するためのログ分析体制の構築。
• VPNアクセス元IPの制限
  • 管理者画面やVPNポータルを特定の地域・IPアドレスに限定する設定も有効です。
• 従業員へのセキュリティ教育
  • フィッシングの見分け方や偽CAPTCHAへの注意喚起を定期的に実施しましょう。

まとめ：VPNは守るべき最前線──防御の再構築を

今回のGlobalProtectへの攻撃は、VPNが「通信手段」ではなく「攻略対象」として見なされていることを明確に示しました。さらに、ゼロデイ脆弱性や巧妙な偽装手法が交錯する現在のセキュリティ環境において、多層防御とユーザー意識の強化は不可欠です。

企業にとってVPNは、柔軟な働き方を支えるインフラであると同時に、最前線の防衛ラインでもあります。今こそ、技術・運用・教育の3本柱で、セキュリティの再構築を進めるべきタイミングです。