詳しい解説は後で読んでいただければ大丈夫です。まずはこの5つから着手してください。上から順に緊急度が高い順です。
① Fortinet製品（FortiOS／FortiProxy）のバージョンを棚卸しする
社内にあるFortiGateなどの機器を全部リストアップし、ファームウェアのバージョンを確認してください。2026年8月13日に国内でも複数の脆弱性が公表されています。「保守業者に任せてある」場合は、いつ最後に更新したかを今週中に確認しましょう。
② SSL VPNの管理画面がインターネットから見えていないか確認する
管理インターフェースが外部公開されていると、そこが入口になります。あわせてCisco ASA／FTD（CVE-2026-20349）も、米CISAが8月11日に「実際に悪用されている」と認定し、8月14日を修正期限としています。すでに期限は過ぎています。
③「多要素認証（MFA）を入れたから安全」という前提を捨てる
GunraはMFAを回避して侵入しています。ID・パスワード＋ワンタイムコードで守っているつもりの入口が、そのままでは止められない可能性があります。
④ VPNアカウントの棚卸しをする
退職者・委託先・保守用に作った「使っていないけど生きているアカウント」を消してください。国内でも実際にVPN機器経由のランサムウェア被害が発生しています。
⑤ バックアップがネットワークから切り離されているか確認する
社内ネットワークから見える場所に置いたバックアップは、ランサムウェアに本番データもろとも暗号化されます。「バックアップは取っている」ではなく「隔離されているか」を確認してください。
2026年8月8日から15日までの1週間、世界のセキュリティ情報を集めたデータを分析したところ、ひとつ気になる偏りが見つかりました。「Gunra（グンラ）」というランサムウェアグループに関する記事が7日間で6本出ており、しかもその6本すべてが危険度スコア100（最高値）。世界の重要ニュースTop5のうち、3枠をこのGunra関連が占めていました。
ところが同じ1週間、日本語のセキュリティ報道でGunraの名前は一度も出ていません。日本側の収集データにあった唯一の1件も、英語メディアの記事がそのまま拾われたものでした。
「海外の話でしょう？」と思われるかもしれません。しかし調べていくと、Gunraが侵入に使っている機器は、すでに日本国内にも大量に設置されているものでした。この記事では、Gunraとは何者なのか、なぜ日本に来る可能性が高いと言えるのか、そして担当者は何をすればいいのかを、専門用語をひとつずつ噛み砕きながら解説していきます。
① 米CISA・FBI・韓国当局が合同でGunraランサムウェアへの警告を出した。標的は重要インフラと医療機関。
② 侵入経路はFortinet製のVPN機器の脆弱性で、しかも多要素認証（MFA）を回避してくる。
③ 日本でも同じ週に「FortiOSの脆弱性公表」と「VPN機器経由のランサム被害」が起きている。穴はもう日本にも開いている。
1. 今週の異常値：世界Top5の3枠を1つのグループが占めた
まず、今回の分析で何が起きたのかを数字で見てみましょう。2026年8月8日〜15日の1週間で収集した記事は、日本版が596件、世界版が386件でした。このうち重複記事をまとめて「同じ事件は1件」と数え直したうえで、危険度の高い順に並べたのが下の表です。
| 順位 | 世界版の重要ニュース | スコア |
|---|---|---|
| 1 | Cisco ASA／FTDの脆弱性が実際に悪用される（CVE-2026-20349） | 100 |
| 2 | Microsoft 月例パッチ（2026年8月） | 100 |
| 3 | GunraがFortinetの脆弱性を悪用しMFAを回避（Dark Reading） | 100 |
| 4 | Gunra「#StopRansomware」勧告（米CISA） | 100 |
| 5 | Gunraが重要インフラを標的に（CISA・FBI合同警告） | 100 |
3位から5位までが、すべて同じGunraの話です。これは通常ではあまり起きない偏りです。ランキングは「複数のメディアが同じ事件を追いかけているか」を優先して並べているため、上位に来る＝業界全体が同じ方向を向いていることを意味します。
そして重要なのは、4位と5位がニュースメディアではなく政府機関の発表だという点です。米国のCISA（サイバーセキュリティ・インフラセキュリティ庁）とFBI、さらに韓国の当局が連名で警告を出しました。政府が合同で名指しの警告を出すのは、「実際に被害が出ていて、これ以上増やしたくない」という段階に来たときです。
同じ期間の日本版Top5は、ゼロデイ攻撃のPoC公開、Lazarus（北朝鮮系グループ）によるWindows攻撃、Cisco機器の脆弱性、悪性npmパッケージ約800件——という顔ぶれでした。Gunraは1件も入っていません。つまり日本の情報空間には、この警告がまだ届いていない状態です。
2. そもそもGunraとは何者か
ここからは基本用語から順に説明します。すでにご存じの方は次の章まで読み飛ばしていただいて構いません。
① ランサムウェアとは
ランサムウェアとは、「Ransom（身代金）」＋「Software（ソフトウェア）」を組み合わせた造語で、企業のファイルを勝手に暗号化して読めなくし、元に戻す代わりに金銭を要求するマルウェアのことです。「マルウェア」は悪意のあるソフトウェア全般を指す言葉です。
被害に遭うと、業務で使っているファイルサーバーやパソコンのデータが一斉に開けなくなり、画面に「戻してほしければ支払え」という文面が表示されます。工場なら生産が止まり、病院なら電子カルテが見られなくなります。
② 「二重恐喝」という手口
最近のランサムウェアは、暗号化するだけでは終わりません。暗号化する前にデータを盗み出しておき、「払わなければ盗んだ情報をネットに公開する」と脅す手口が主流です。これを二重恐喝（ダブルエクストーション）と呼びます。
この手口が厄介なのは、バックアップがあっても解決しない点です。データを復旧できても「情報を公開する」という脅しは残るためです。個人情報を扱う医療機関が狙われやすいのは、この圧力が効きやすいからです。
③ Gunraが狙っている相手
収集データによると、Gunraの標的として報告されているのは以下のとおりです。
| 項目 | 内容 |
|---|---|
| 標的の業種 | 重要インフラ（電気・水道・交通など）、医療機関 |
| 報告された被害国 | 🇰🇷 韓国、🇺🇸 米国 |
| 侵入経路 | Fortinet製 FortiOS／FortiProxy の脆弱性 |
| 特徴的な手口 | 多要素認証（MFA）の回避 |
| 警告を出した機関 | 米CISA、米FBI、韓国政府機関（合同勧告） |
注目していただきたいのが被害国に韓国が入っていることです。地理的にも、企業が使っているネットワーク機器の構成も、業種の分布も、韓国と日本はよく似ています。攻撃者から見たとき、韓国の組織を攻撃できたなら、日本の組織も同じ手順で攻撃できる可能性が高いということになります。
3. 侵入経路を理解する：VPN機器とMFA回避
① そもそもFortinet製品とは何か
Fortinet（フォーティネット）は、企業向けのネットワークセキュリティ機器を作っている大手メーカーです。代表的な製品がFortiGateというファイアウォール製品で、その上で動いているOSがFortiOS、Webアクセスを中継する製品がFortiProxyです。
日本国内でも、中小企業から大企業、自治体まで幅広く導入されています。「社外から社内ネットワークにVPNで接続する」仕組みを、この機器で実現している会社は非常に多いです。
② なぜVPN機器が狙われるのか
VPNとは「Virtual Private Network」の略で、インターネット越しに社内ネットワークへ安全に接続するための仕組みです。テレワークで会社のファイルサーバーにアクセスするときなどに使われます。
VPN機器が攻撃者に人気なのは、次の3つの条件が揃っているからです。
| 条件 | 攻撃者にとっての意味 |
|---|---|
| インターネットに面している | 世界中どこからでも到達できる。社内に潜り込む必要がない |
| 社内の入口そのもの | 突破すれば、いきなり社内ネットワークの内側に立てる |
| 更新されにくい | 止めると全社の業務が止まるため、パッチ適用が後回しにされやすい |
3つ目が特に重要です。パソコンのWindows Updateは自動で当たりますが、ネットワーク機器の更新は「業務を止める調整」が必要なため、何ヶ月も放置されることが珍しくありません。攻撃者はそこを正確に突いてきます。
③ 「MFAを回避する」とはどういうことか
多要素認証（MFA）とは、ID・パスワードに加えて、スマホアプリのワンタイムコードや生体認証など「もうひとつの要素」を要求する仕組みです。パスワードが漏れても入られないようにする、現在の標準的な防御策です。
ところがGunraは、これを回避していると報告されています。イメージとしては、正面玄関で二重チェックをしている間に、チェックの済んだ「通行証」そのものを盗むような手口です。認証が終わった後に発行される「セッション」と呼ばれる通行証を奪えば、パスワードもワンタイムコードも不要になります。
「MFAを導入したのでうちは大丈夫」——この前提が崩れます。MFAは今でも極めて有効で、外すべきではありません。ただしMFAは「入口の鍵」であって「万能の壁」ではないため、機器そのものに穴が開いていれば迂回されます。だからこそ、パッチ適用と併せて初めて意味を持ちます。
4. なぜ「日本に上陸しそう」と言えるのか
ここが今回の記事の核心です。「話題になっているから危ない」ではなく、データ上で3つの事実が同じ週に並んでいることが根拠です。
| # | 日付 | 出来事 | 場所 |
|---|---|---|---|
| 1 | 8/10〜12 | GunraがFortiOS／FortiProxyの脆弱性を悪用しMFAを回避（CISA・FBI・韓国当局が警告） | 🌏 世界 |
| 2 | 8/13 | 「FortiOSに複数脆弱性 — 修正版や仮想パッチを用意」（Security NEXT） | 🇯🇵 日本 |
| 3 | 8/13 | 「VPN機器経由でランサム被害、メアド変更など対策実施 — 丸高興業」 | 🇯🇵 日本 |
整理するとこうなります。Gunraが使っているのと同じ製品の脆弱性が、同じ週に日本でも公表されました。そして、同じ経路（VPN機器）を通ったランサムウェア被害が、日本で実際に発生しています。
つまり、攻撃に必要な「穴」も「経路」も、すでに日本国内に存在しているということです。足りていないのは「その穴を組織的に使っている集団の名前」を日本側が把握していることだけ、という状態です。
日本語でGunraの記事が出ていないのは、日本が安全だからではなく、単にまだ翻訳・紹介されていないからです。実際、今回のデータでは日本側の報道が「すでに起きてしまった漏えいの事後報告」に偏り、世界側は「これから悪用される手口」を先に報じるという傾向が数値として出ています。日本語で読める頃には、被害が始まっている可能性があります。
5. 関連する脆弱性（CVE）一覧
CVEとは「Common Vulnerabilities and Exposures」の略で、世界共通で脆弱性に振られる管理番号です。「CVE-2026-20349」のように書きます。KEVは米CISAが管理する「実際に悪用が確認された脆弱性リスト」で、ここに載ったら最優先で対応すべきものと考えてください。
| CVE番号 | CVSS | KEV | 概要 | 対応期限 |
|---|---|---|---|---|
| CVE-2026-20349 | ─ | ✅ KEV | Cisco ASA／FTDの脆弱性。実際の悪用を確認。今週世界で最も報じられた案件 | 2026-08-14 （期限超過） |
| CVE-2025-68686 | ─ | ✅ KEV | FortiOSの悪用確認済み脆弱性。KEV登録は7/27、修正期限が8/10でGunra勧告と重なる | 2026-08-10 （期限超過） |
| CVE-2026-70466🆕 NEW | 5.3 | ─ | Fortinet製品の入力値検証不備。今回の収集で初観測 | ─ |
| CVE-2026-70467🆕 NEW | 3.8 | ─ | Fortinet製品のSSRF（サーバーを踏み台にさせる）脆弱性。今回初観測 | ─ |
| CVE-2026-68820 | ─ | ✅ KEV | Windows WinSockドライバの脆弱性。Lazarus（北朝鮮系）が悪用。参考として掲載 | 2026-08-25 |
CVSS = 脆弱性深刻度スコア（0〜10、9.0以上がCritical） ／ KEV = CISA「既知の悪用された脆弱性」リスト掲載 ／ 🆕 NEW = 今回の収集で初観測
Gunraが悪用している具体的なCVE番号は、今回の収集データには含まれていませんでした。報道は「FortiOS／FortiProxyの脆弱性」とだけ伝えており、番号までは特定されていません。上の表に載せたCVE-2025-68686は「FortiOSで悪用が確認され、修正期限がGunra勧告と重なっている」ものであり、Gunraが使ったと確認されたものではありません。正確な対象バージョンは、必ずCISAの公式勧告（AA26-222A）とFortinet公式のアドバイザリでご確認ください。
6. 今週動いていた他の攻撃グループ
Gunra以外にも、この1週間で複数のランサムウェアグループが動いていました。あわせて把握しておくと、全体像がつかみやすくなります。
| グループ名 | 一言でいうと |
|---|---|
| Gunra 🆕 | 今回の主役。Fortinet機器から侵入しMFAを回避。重要インフラ・医療が標的 |
| DeadLock 🆕 | ブロックチェーン（Polygon）を使い、警察に「元締めのサーバー」を止められにくくした新型 |
| Akira | Windowsをセーフモードで起動させEDR（監視ソフト）を無効化。データ窃取には成功したが暗号化は失敗 |
| StormEncryptor 🆕 | 中国系グループが投入した新種。N-central（IT管理ツール）の脆弱性経由とみられる |
| Clop | 大手企業からのデータ窃取を主張。Shell社が調査中と報じられた |
注目すべきは、Akiraの事例で「EDRを無効化された」という点です。EDRとは端末の不審な挙動を監視・検知するソフトのことですが、Windowsをセーフモード（最小限の機能だけで起動する診断モード）で立ち上げると、こうした監視ソフトが動かない状態を作れてしまいます。「高価な監視ソフトを入れたから安心」とは言い切れない、という点でGunraのMFA回避と共通する教訓があります。
7. 今すぐできる対策
冒頭の結論をもう少し詳しく、優先度順に整理します。
🥇 今日中にやること
□ 社内のFortinet製品（FortiGate／FortiProxy等）をすべてリストアップする
□ 各機器のファームウェアバージョンと最終更新日を記録する
□ 保守を外部委託している場合、委託先に「最新の修正が適用済みか」をメールで確認する
□ Cisco ASA／FTDを使っている場合、CVE-2026-20349の対応状況を確認する（CISA期限8/14は既に超過）
□ VPNの管理画面がインターネットから見えていないか確認する
🥈 今週中にやること
□ VPNアカウントを棚卸しし、退職者・元委託先・使っていない保守アカウントを削除する
□ 管理者アカウントのパスワードを変更する（初期パスワードのままの機器がないか特に確認）
□ バックアップがネットワークから切り離されているか確認する（オフライン保管が理想）
□ バックアップから実際に復旧できるかテストする（取れているが戻せない、が最も多い失敗）
□ VPNのログを確認し、深夜や海外からの不審なログインがないか点検する
🥉 今月中にやること
□ ネットワーク機器のパッチ適用ルールを作る（「緊急時は◯日以内に適用する」を明文化）
□ MFAを回避された場合を想定し、セッションの有効期限を短く設定する
□ 万一感染した場合の連絡体制を紙に印刷して保管する（メールもチャットも使えなくなるため）
□ 経営層に対し「身代金を払うか払わないか」の方針を事前に決めておく
□ 重要インフラ・医療分野の場合、所管官庁への報告手順を確認する
立場別・今週の最優先アクション
| 立場 | 今週やること |
|---|---|
| 情報システム担当 | Fortinet／Cisco機器のバージョン棚卸しとパッチ適用計画の作成。VPNアカウントの削除 |
| 経営者・役員 | 「機器を止めてでもパッチを当てる」判断を担当者に与える。止める許可がないと作業は進みません |
| 医療機関・重要インフラ | Gunraの標的業種そのもの。最優先で対応し、電子カルテ等の復旧手順も再確認する |
| 一般社員 | VPN接続時に見慣れない認証画面が出たら入力せず情シスへ連絡。パスワード使い回しをやめる |
| 外部委託先がいる場合 | 委託先にも同じ確認を依頼する。委託先経由の侵入は実際に起きています |
8. まとめ
今回のデータが示している最大のメッセージは、「日本語で報じられていないことは、安全であることを意味しない」という一点に尽きます。
Gunraは世界で7日間に6本、すべて最高スコアで報じられ、米韓の政府機関が合同で警告を出すところまで来ています。それでも日本語のニュースには出てきません。しかし侵入経路であるFortinet機器は日本にも大量にあり、同じ週に国内で脆弱性が公表され、VPN経由のランサム被害まで実際に発生しています。攻撃の条件は、すでに日本国内で揃っています。
一方で、前向きな材料もあります。今回のようにCISAやFBIが早い段階で手口を公開してくれるようになったこと、そしてFortinetやCiscoが修正版と暫定的な回避策（仮想パッチ）を用意していることです。やるべきことは、すでに分かっています。あとは、それを被害が出る前に実行できるかどうかだけです。
① 社内のFortinet／Cisco機器をリストアップし、ファームウェアの最終更新日を確認する。
② 使っていないVPNアカウントを削除し、バックアップがネットワークから切り離されているか確認する。
③ 「機器を止めてでもパッチを当てる」判断を、経営層と事前に合意しておく。
この3つが終わっていれば、Gunraが上陸しても入口で止められる可能性が大きく上がります。難しい投資は必要ありません。今週の数時間が、来月の数千万円を守ります。
データソース：Cyber Threat Intelligence Monitor（2026-08-15 18:08 JST更新）。分析期間は2026年8月8日〜8月15日の7日間、日本版596記事／世界版386記事を突合。CVE・KEV情報はNVD（米国国立脆弱性データベース）およびCISA KEVカタログ（1,665件照合済み）に基づく。Gunraに関する一次情報は米CISA勧告 AA26-222A。
免責事項：本記事の情報は公開情報をもとにした教育目的の解説です。Gunraが悪用する具体的なCVE番号は本記事執筆時点の収集データに含まれていないため、対象製品・バージョンの特定は必ずベンダー公式情報をご確認ください。具体的なセキュリティ対策については専門家にご相談ください。
コメント