FortiGateの管理者・VPN認証情報の流出（FortiBleed）
- タグ
- 国外
目次
SOCRadarの2026年6月16日の報告では、FortiBleedは、インターネットに面したFortiGateのファイアウォールとSSL VPNゲートウェイを狙う、活動中の大規模な認証情報侵害キャンペーンである［6］。FBIと米シークレットサービス（USSS）は共同の勧告で、初期の調査では攻撃者が以前に入手した侵害済みの認証情報で公開されたFortinetのファイアウォールの走査を続けているとした［16］。
報告の内容
開発元の文書によると、FortiOS 7.2.11、7.4.8、7.6.1から、管理者の認証情報を設定に保存するハッシュ関数がSHA256からPBKDF2に変わった［14］。それより前の版から更新した直後は、その管理者がログインに成功するまでSHA256のハッシュのまま残る［14］。互換性のため、既定では以前のSHA256ハッシュが隠し設定old-passwordに残り、消すにはlogin-lockout-upon-weaker-encryptionを有効にする〔注1〕［14］。
最初の報告と手口
SOCRadarは、発端が鍵のかかっていない公開ディレクトリのあるサーバーで、そこからキャンペーンに結びつく260台の運用サーバーにたどり着いたと書いた［6］。公開された攻撃者のサーバーを最初に指摘したのは研究者で、SOCRadarは作戦の全体を独自に発見・分析した［6］。SOCRadar Threat Research Unit（STRU）がデータの分析に5日間を費やすあいだに、残りのチームは連絡できた影響顧客に通知し、無料の確認ツールを立ち上げ、全データを世界のCERT・CSIRTに送った［6］。
SOCRadarの6月16日の報告では、攻撃者は過去のFortinet関連の流出データとインフォスティーラーのログからユーザー名とパスワードを集め、公開されたFortiGateに常時自動で試した［6］。多くの組織は過去のインシデントの後に認証情報を変えていなかった［6］。手口は、公開された機器の走査、流出した認証情報の再利用によるログイン、機器の内部での受動的な認証情報の収集、暗号化されたもののオフラインでの解読、結果を走査に戻して次の機器に及ぶ、の5段階からなる［6］。データベースの認証情報は攻撃者自身が自動化ツールで試して確かめた有効なユーザー名とパスワードで、SOCRadarはこのキャンペーンをCriticalと評価した［6］。
SOCRadarは、単一のCVEが原因ではなく、インターネットに公開されたFortiGateの管理インターフェースと、盗まれた設定ファイルをオフラインで解読できる旧来のハッシュの隙の組み合わせから生じたと説明した［6］。2026年1月にFortinetが公表したFortiCloud SSOのSAML認証回避の脆弱性CVE-2026-24858（CVSSは最大9.8）が一部の初期侵入に関わったかを議論する研究者もいるが、SOCRadarは調査中とした［6］。
SOCRadarのFAQによると、2,500台を超えるFortinet機器が単一の既定の認証情報で侵害された［7］。FortiBleedの元になったFortinetのゼロデイは確認されておらず、Fortinet自身のシステムも侵害されていない［7］。同じ攻撃者はFortiWebとMSSQLのサービスも狙っていた［7］。
SOCRadarは報告書「Dismantling FortiBleed」の紹介ページで、作戦が430,000台を超えるFortiGateを狙ったと書いた［8］。報告書は、FortiOSのdiagnose sniffer packetコマンドを悪用して24のプロトコルで認証情報を集めるGolang製のFortigateSnifferを取り上げた［8］。659回を超える収集で露出した認証情報は1億1,000万件を超え、RADIUS・NTLM・Kerberosの情報を含む［8］。被害者の主な像はITサービスと従業員200人未満の中小企業で、NATO側の防衛関連企業での侵害とDFSデータの持ち出しも扱った［8］。
Hudson RockとCloudSEKの分析
Hudson Rockが引いた、最初に発見した研究者の報告によると、攻撃者は320,000を超えるFortiGateに推計11.6億回の認証の試行をした［10］。160,000を超えるMSSQLサーバーにも21億回のブルートフォースを試みた［10］。攻撃者はSSL VPNの認証ハッシュを傍受してHashtopolisで管理する45 GPUのクラスタで解読し、内部のActive Directoryに侵入した［10］。日本・台湾・ベトナム・イラク・トルコの複数の組織で完全なネットワーク侵害が確認され、トルコのNATO防衛請負業者からは機密の防衛文書が持ち出された［10］。
分析に加わった研究者のKevin Beaumontは、データが機器の設定のエクスポートに由来するとみられ、攻撃者は認証情報をオフラインで取り出して総当たりできたと見立てた［10］。2022年のゼロデイによるBelsen Groupの15,000台の流出と違い、今回は最近の侵害で、影響を受けた機器の多くが最近のパッチを当てていたとも指摘した［10］。
CloudSEKは、FortiBleedはソフトウェアの脆弱性ではなく、新たに公表されたFortinetの欠陥やゼロデイとも結びつかないと書いた［11］。公開されたサーバーには運用者の作業環境の319ファイルがあり、データは2層からなる［11］。第1層は公開された管理インターフェースから取った設定のエクスポートにあるFortiOSの認証情報で、第2層は運用者が侵入済みのネットワークに盗聴の道具を置いて取ったKerberosの事前認証データである［11］。
CloudSEKの6月19日の分析では、解読に使ったのは単一の専用クラスタではなく、Vast.aiで借りた6台、計約36 GPUだった［11］。報告の執筆の段階で攻撃者の基盤は元で停止されていたが、同じIPアドレスのHashtopolisは稼働していた［11］。
説明の食い違い
SOCRadarは攻撃者を、2023年から活動するロシア語話者のランサムウェアグループLynx/INCに帰属させた［6］。根拠には、道具と基盤の選び方、NATO加盟国の組織に大きく偏る被害者の選び方がロシア語話者の攻撃者と一致したことを挙げた［6］。報告書では運用者を金銭目的の初期アクセスブローカー（IAB）と評価し、道具のキリル文字のコメントからロシア起源の可能性が高いとした［8］。SOCRadarは第2の報告書の紹介で、FortiBleedをLynxとINCに結びつける証拠を挙げた［9］。
SecurityWeekによると、SOCRadarは、INC RansomとLynxの両方の交渉パネルにログインした運用者と、FortiBleedの被害者とINCの標的の重なりを観測した［23］。
最初に発見した研究者はHudson Rockの分析の中で、複数の運用者からなるロシア語話者の犯罪グループの仕業と報告した［10］。CloudSEKは、公開ディレクトリの証拠の上では運用者の出自は未解決だとした［11］。道具にロシア語の痕跡はあるが、パスワードスプレーの単語リストはペルシャ語・アラビア語の名前で、ペルシャ語話者の運用者とも少なくとも同程度に整合すると書いた［11］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | - | 少なくともこの月から作戦が続いていた | ［6、8］ |
| 2026年 | SOCRadar | FortiBleedの調査をブログで公表した | ［6］ |
| 2026年 | Hudson Rock | 固有のファイアウォールURLとドメインの分析と照会ポータルを公表した | ［10］ |
| 2026年 | CISA | 注意喚起を出した | ［2］ |
| 2026年 | 英国NCSC・アイルランドNCSC・カナダのCanadian Centre for Cyber Security | それぞれ注意喚起を出した | ［17、18、19］ |
| 2026年 | Fortinet | PSIRTのブログで分析を公開した | ［1］ |
| 2026年 | CloudSEK | 公開ディレクトリの技術分析を公表した | ［11］ |
| 2026年 | SOCRadar | 報告書「Dismantling FortiBleed」を公開した | ［8］ |
| 2026年 | JPCERT/CC | 注意喚起JPCERT-AT-2026-0019を公開した | ［3］ |
| 2026年 | SOCRadar | FortiBleedをLynx/INCランサムウェアグループに帰属させたとブログに追記した | ［6］ |
| 2026年 | SOCRadar | 第2の報告書「FortiBleed Unmasked」を公開した | ［9］ |
| 2026年 | FBI・USSS | 共同の勧告JCSA-20261006-01を公開した | ［16］ |
| 2026年 | Hudson Rock | 新たに得た設定のレポートの分析「FortiBleed 2.0」を公表した | ［21］ |
根拠と範囲
SOCRadarの6月19日のFAQでは、各社の数字が違うのは調査の進み方と数える対象の違いによる［7］。SOCRadarは侵害された機器を数え、Hudson Rockの73,000超は固有のファイアウォールのURLの数で、機器の数とは違う〔注2〕［7］。SecurityWeekが引いたSOCRadarの説明では、SOCRadarの台数は露出の推計ではなく、侵害が確かめられた機器の数である［24］。
CloudSEKは、21,632という数字はKerberosのレルムのまとまりで、侵害された別個のファイアウォールや企業の数ではないとした［11］。データにはFortinet以外の機器の認証情報も混じる［11］。高名なブランドの多くは1台の機器の1〜2件で、ブランドの割り当てはDNS・証明書・登録メールによるため、契約先・販売店・子会社であることが多い［11］。
| 項目 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 侵害された機器 | 86,644台（固有IP 80,000以上、固有ドメイン22,405、194か国） | SOCRadar | ［6］ |
| 業種・地域の内訳 | 通信5,616件、政府111ドメイン591件（インドが政府の60%超）、インドと米国で全件の3分の1近く、売上10億ドル超の企業が20%超 | SOCRadar | ［6］ |
| 固有のファイアウォールURL | 73,932（影響を受けた固有のドメイン21,632） | Hudson Rock | ［10］ |
| 流出した認証情報に関連する機器 | 世界で約74,000台 | アイルランドNCSC | ［18］ |
| 内部の通信を取られた証拠のある組織 | 918組織（うちKerberosハッシュが解読されAD認証情報が確かめられた確定の侵害148） | CloudSEK | ［11］ |
| 帰属済みの機器数の国別 | インド9,629、米国6,355、台湾3,637 | CloudSEK | ［11］ |
| 完全に侵害された組織 | 少なくとも4組織 | 最初に発見した研究者（SecurityWeekの報道） | ［12］ |
| 影響を受けたパートナー組織 | 845 | Huntress（SecurityWeekの報道） | ［12］ |
| 管理者権限を得られた標的 | 約11,250のポータルへの走査のうち409（攻撃の連鎖の完了354、ランサムウェアの展開12） | SOCRadar（SecurityWeekの報道） | ［23］ |
| FortiBleed 2.0の記録 | 平文の秘密情報を含む記録40,573件（ローカル利用者37,076件、ADのLDAPバインド1,576件を含む）、1.0に無いドメイン975 | Hudson Rock | ［21］ |
Hudson RockはFortiBleed 2.0の設定の資料を2026年2月ごろのものとし、レポートの日付は最初の侵害や設定の抽出の日と確かめたものではないとした［21］。1,672のファイルのレポートの日付が2月20日だった［21］。件数は記録の数で、固有の人や現在使える認証情報の数とは違い、平文のローカル利用者の記録のうち7,437件には無効の印が付く［21］。
関係者の対応
開発元の見解と案内
JPCERT/CCの6月23日の注意喚起では、Fortinet PSIRTが、新規の脆弱性や直近のアドバイザリに関連するものではなく、過去のインシデントで取得された情報の再利用が主因との見解を示した［3］。JPCERT/CCのWeekly Reportは、Fortinetが過去のインシデントに関連する認証情報の再利用や、多要素認証が有効化されていない機器へのブルートフォース攻撃によるものと説明したと伝えた［4］。
日立ソリューションズのFortinet製品ユーザーサポートは6月23日の顧客向けの案内で、Fortinet社のアナウンスとして、過去に発生したインシデントに起因する情報が再利用される問題で、新規の脆弱性に対する攻撃ではないと案内した［20］。
＠ITの記事によると、Fortinetは注意喚起で、関連する過去のインシデントとして「FG-IR-26-060」と「FG-IR-25-647」を挙げた〔注3〕［25］。見覚えのないアカウントの確認を求め、無許可の設定変更や不審なアカウントの作成があれば機器を侵害済みとして扱うべきとした［25］。
SecurityWeekは、Fortinetが影響の可能性があるシステムを特定し、影響を受けた顧客への通知を始め、法執行機関と攻撃を調べていると報じた［22］。
当局・CSIRTの注意喚起
SecurityWeekによると、CISAは注意喚起でFortinetの利用者に、有効なセッションの終了と認証情報の再設定、管理者の認証情報の保存へのPBKDF2の使用の確認を求めた［12］。不審な活動を見つけるためのログの確認、フィッシング耐性のあるMFAの有効化、管理アクセスの制限も求めた［12］。
Security NEXTは、CISAの注意喚起の段階で「あらたな脆弱性などは確認されておらず、大量流出と直接結びつく原因はわかっていない」と報じた［13］。
英国のNational Cyber Security Centre（NCSC）の6月18日のアラートでは、FortinetのファイアウォールとVPNゲートウェイが世界的なキャンペーンの標的となり、英国でも影響の可能性を示す兆候がある［17］。攻撃者はインターネットに面したFortiGateとVPNポータルへのブルートフォース・辞書攻撃・クレデンシャルスタッフィングの後に、認証情報のデータベースを流出させた［17］。英国NCSCが求めた対応は、照会ツールでの確認、IoCの確認、侵害の証拠があるときの機器の隔離、工場出荷時の設定への初期化、同じ認証情報を使うほかの境界機器の調査を含む［17］。初期化については、攻撃者が機器に常駐していれば認証情報の変更だけでは不十分な場合があると書いた［17］。
アイルランドのNCSCは勧告で、攻撃者が以前に露出した認証情報、ブルートフォース、辞書攻撃、クレデンシャルスタッフィング、既知の脆弱性の悪用で機器の侵害を試みたとの見方を示した［18］。
カナダのCanadian Centre for Cyber Securityの6月18日のアラートAL26-014では、センターは6月17日に公開情報でFortiBleedを知った［19］。センターはアラートで、forticloud-sync・forticloud-techなどの不審なアカウントの確認、管理画面への接続の制限、CVE-2024-55591・CVE-2025-59718・CVE-2025-59719の修正の確認などを勧めた［19］。
JPCERT/CCは注意喚起で、漏えいした情報に国内企業に関連するものが含まれていることを確認したと説明した［3］。FortiGateの設定ファイルには管理者パスワードのハッシュが含まれ、設定ファイルが取得されていれば、機器に直接アクセスしなくてもオフライン解析でパスワードが解読されている恐れがある［3］。攻撃者は侵害したFortiGateを経由して内部ネットワークの認証の通信を傍受する道具を持ち、Windowsドメイン認証（Kerberos・NTLM）の資格情報まで窃取・解読された事例も確認されている［3］。一部のセキュリティ研究者が現在も有効な認証情報が含まれている可能性を指摘しているとして、過去情報の再流通としてのみ扱うべきではないとした［3］。
JPCERT/CCの注意喚起によると、侵害したFortiGateから設定情報をエクスポートする手口が使われたと推定され、ログでconfigのエクスポートの履歴を確かめる方法が示された［3］。正規の利用で想定されないIPアドレスからの管理者アクセスと、「forticloud」「fortiuser」「fortinet-support」「fortinet-tech-support」などの意図しないアカウントの追加の有無も調べる［3］。Hudson RockとSOCRadarの照会ツールは、FortiGuardのライセンス登録時のメールアドレスのドメインを使うと推定され、運用委託先やSIerが代行登録した場合はエンドユーザーのドメインが検索結果に表れないケースが想定される［3］。被害組織の一部ではIPsec VPNトンネルへのログインが確認されており、サイト間のIPsec VPNで常時接続する組織は、対向側の侵害された機器を起点に侵害が及ぶ可能性がある［3］。
7月1日のWeekly Reportで、JPCERT/CCはFortinet製品の利用者に、影響の有無に関わらず速やかな対処と対策を勧めた［5］。注意喚起では、漏えいの可能性が高い場合はFortinetの推奨手順を参考に認証情報のローテーションなどを行い、影響が確認できない組織も多要素認証の有効化などの対策と、PBKDF2に対応したFortiOSへの更新を推奨した［3］。管理者パスワードを再設定しても、既定では旧SHA256ハッシュがold-passwordに残るため、過去に設定ファイルを取られていればオフラインクラックで平文を復元されるリスクが残るとも書いた［3］。
Fortinetは侵害時の手順の記事で、設定への不正なアクセスがあった場合の措置として、全管理者・ローカル利用者・VPN利用者の認証情報とRADIUSのシークレット、IPsecの事前共有鍵の再設定、証明書の交換、外部のインターフェースでの管理アクセスの無効化などを挙げた［15］。設定の内容を不用意に知られたことは機器の侵害には当たらず、設定の変更で解消できるとも書いた［15］。
FBIとUSSSの10月6日の共同の勧告では、運用者が自らのバックエンドのサーバーを意図せず公開した後に、内部の作業の流れが見えるようになった［16］。攻撃者は侵入時に新しいアカウントを作り、場合によって既存のアカウントを削除して、組織が機器に接続できないようにする［16］。攻撃者が元のアカウントを削除するかパスワードを変えると、被害者が自らのFortinet機器から締め出されることがある［16］。
勧告によると、FortiBleedの攻撃の連鎖を使う初期アクセスブローカーが、ランサムウェアのアフィリエイト（現在はINC/LynxとPayload）にアクセスを提供しているとの報告がある［16］。FBIとUSSSは、管理アクセスの制限、全管理者とVPNのセッションを終えて認証情報を再設定すること、フィッシング耐性のあるMFA、設定とログの確認、PBKDF2での保存と弱い旧ハッシュの削除、REST APIキーの確認を求めた［16］。
観測主体の通知と照会
SOCRadarは組織名を公開せず、影響を受けた組織とCERT・CSIRTに直接伝えるとした［6］。FAQでは、数千の影響顧客と各国のCERTにすでに通知し、政府のサイバーセキュリティ機関と調整していると書いた［7］。データベースは国・業種・売上で整理され、初期アクセスの販売に備えた在庫の形と一致するが、FAQの公開の段階では犯罪フォーラムでの販売・配布は観測されていない［7］。Hudson Rockは、影響を受けた組織が自社のドメインを照会できる無料のポータルを公開した［10］。
未公表の事項
- Fortinetが通知した顧客の数
- 国内で影響を受けた組織の数
- 機器から締め出された被害の件数
- 攻撃者が最初に機器へ侵入した経路
- FortiBleed 2.0の設定のレポートが取得された経路
注
出典
当事者
- ［1］Fortinet, Inc.『Analysis of Reported Credential Compromise of FortiGate Devices』（2026年6月19日公開、保存記録のみ） 保存記録
関係組織
- ［20］株式会社日立ソリューションズ『FortiGate を標的としたサイバー攻撃(FortiBleed)について』（2026年6月23日公開、PDF）
公的機関
- ［2］Cybersecurity and Infrastructure Security Agency『CISA Urges Hardening Fortinet Devices After Reports of Credential Exposure』（2026年6月18日公開、保存記録のみ） 保存記録
- ［3］一般社団法人JPCERTコーディネーションセンター『Fortinet製品に関連する認証情報の漏えいに関する注意喚起（JPCERT-AT-2026-0019）』（2026年6月23日公開）
- ［4］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Weekly Report 2026-06-24号 【12】Fortinetが「FortiGateデバイスの認証情報を使った攻撃キャンペーンの分析」を公開』（2026年6月24日公開）
- ［5］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC Weekly Report 2026-07-01号 【6】Fortinet製品に関連する認証情報の漏えいに関する注意喚起』（2026年7月1日公開）
- ［16］Federal Bureau of Investigation・United States Secret Service『FortiBleed Operations Continue Targeting Exposed Systems Leading to Reports of Lockouts（JCSA-20261006-01）』（2026年10月6日公開、PDF）
- ［17］National Cyber Security Centre『Alert: NCSC issues advice following global targeting of Fortinet firewalls and VPN gateways』（2026年6月18日公開、PDF）
- ［18］National Cyber Security Centre『NCSC Advisory Global Targeting of Fortinet Firewalls and VPN Gateways』（2026年6月18日公開、PDF）
- ［19］Canadian Centre for Cyber Security『AL26-014 – FortiBleed leak of thousands of compromised credentials impacting Fortinet devices』（2026年6月18日公開）
調査・観測
- ［6］SOCRadar Cyber Intelligence Inc.『FortiBleed: SOCRadar’s Investigation into 86,644 Compromised Fortinet Firewalls』（2026年6月16日公開、2026年9月3日更新）
- ［7］SOCRadar Cyber Intelligence Inc.『What Is FortiBleed? Your Questions Answered』（2026年6月19日公開、2026年9月3日更新）
- ［8］SOCRadar Cyber Intelligence Inc.『Dismantling FortiBleed: Inside a Russian Fortinet Compromise Operation』（2026年6月21日公開、2026年6月22日更新）
- ［9］SOCRadar Cyber Intelligence Inc.『FortiBleed Unmasked: Inside the Lynx and INC Ransomware Operation』（2026年7月6日公開、2026年7月9日更新）
- ［10］Hudson Rock『FortiBleed: 75,000 Fortinet Firewalls Compromised: Global Enterprises Exposed – Claim Your Ethical Disclosure』（2026年6月17日公開）
- ［11］CloudSEK『Inside the FortiBleed Open Directory: A Technical Analysis of What the Attacker Left Behind』（2026年6月19日公開）
- ［21］Hudson Rock『FortiBleed 2.0: 975 New Domains & 40,573 Exposed Secrets – Claim Your Ethical Disclosure』（2026年10月27日公開）
報道機関
- ［12］SecurityWeek『FortiBleed: 86,000 Fortinet Device Credentials Compromised』（2026年6月19日公開、2026年6月22日更新）
- ［13］Security NEXT『FWやVPNの認証情報を攻撃者が大量保有 - 「FortiBleed」に要警戒』（2026年6月19日公開）
- ［22］SecurityWeek『Fortinet Responds to FortiBleed Campaign』（2026年6月22日公開）
- ［23］SecurityWeek『FortiBleed Campaign Linked to INC, Lynx Ransomware Attacks』（2026年7月2日公開）
- ［24］SecurityWeek『FortiBleed Attackers Locking Victims Out of Fortinet Devices』（2026年10月8日公開）
- ［25］アイティメディア株式会社『FortiBleedはなぜ止まらない？ Fortinetが示した“次に確認すべきこと”』（2026年6月24日公開）
背景資料
- ［14］Fortinet, Inc.『Technical Tip: Enforcing PBKDF2 as hash function for administrator accounts in FortiOS v7.2.11 and later』（2025年12月24日公開）
- ［15］Fortinet, Inc.『Troubleshooting Tip: Recommended steps to execute in case of a compromised host』（2022年11月24日公開、2026年6月30日更新）
更新記録
- 2026年6月21日：公開した。
- 2026年6月22日：SecurityWeekのFortinetの対応の記事（出典22）を「関係者の対応」に加え、SOCRadarの報告書の紹介ページ（出典8）とSecurityWeekの記事（出典12）を6月22日の更新後の版に改めた。
- 2026年6月23日：JPCERT/CCの注意喚起（出典3）と日立ソリューションズの顧客向けの案内（出典20）を「関係者の対応」「時系列」に加えた。
- 2026年6月24日：JPCERT/CCのWeekly Report（出典4）と＠ITの記事（出典25）で伝えられたFortinetの説明を「関係者の対応」に加えた。
- 2026年6月29日：SOCRadarのブログ（出典6）の6月29日の追記で示されたLynx/INCへの帰属を「説明の食い違い」「時系列」に加えた。
- 2026年6月30日：Fortinetの侵害時の手順の記事（出典15）の6月30日の改訂後の版を「関係者の対応」の出典に改めた。
- 2026年7月1日：JPCERT/CCのWeekly Report（出典5）の対処の勧めを「関係者の対応」に加えた。
- 2026年7月2日：SecurityWeekの記事（出典23）で報じられたSOCRadarの観測を「説明の食い違い」と表1に加えた。
- 2026年7月6日：SOCRadarの第2の報告書の紹介ページ（出典9）を「説明の食い違い」「時系列」に加えた。
- 2026年7月9日：SOCRadarの第2の報告書の紹介ページ（出典9）を7月9日の更新後の版に改めた。
- 2026年9月3日：SOCRadarのブログ（出典6）とFAQ（出典7）を9月3日の更新後の版に改めた。
- 2026年10月6日：FBIとUSSSの共同の勧告（出典16）を「関係者の対応」「時系列」に加え、リードの最後の文を勧告の説明に改めた。
- 2026年10月8日：SecurityWeekの記事（出典24）で伝えられたSOCRadarの台数の説明を「根拠と範囲」に加えた。
- 2026年10月27日：Hudson RockのFortiBleed 2.0の分析（出典21）を表1と「根拠と範囲」「時系列」に加えた。