概要
米ミネソタ州で7月26日から27日にかけて、30以上の水道公社の運用技術(OT)システムを狙った協調的なサイバー攻撃が発生した。ミネソタIT局(MNIT)は7月28日に対応を開始し、州・連邦の関係機関と共同で脅威の封じ込めと調査を進めている。攻撃を受けた各インシデントには、発生タイミング、侵入手法、狙われたインフラの種類において共通点が見られるといい、単一の攻撃キャンペーンである可能性が指摘されている。7月29日時点で調査は継続中であり、州当局は「すべてのインシデントを単一の攻撃者によるものと断定できる段階にはない」としている。なお、いずれの自治体でも水道サービスの供給停止や飲料水の安全性への影響は確認されていない。
被害の詳細
被害状況を公表した自治体は4つある。ブレーム市では浄水施設がオフラインとなり、住民に節水が呼びかけられた。プリマス市では2つの給水塔でセルラー通信が機能停止し、サウスセントポール市では自動制御システムに影響が及んだもののサービス自体は維持された。メープルプレイン市は制御システムへの影響を受け、地域非常事態を宣言した。今回標的となったのは、いずれも専任のOTセキュリティ担当者を置く余裕のない小規模自治体の水道施設であり、この種の事業体が重要インフラの中でも特に脆弱な位置にあることが改めて浮き彫りとなった。
攻撃者とその手口
セキュリティ企業Tenableの研究者は、攻撃のタイミングや運用パターンが、イラン革命防衛隊サイバー電子司令部(IRGC-CEC)と関連するハッカー集団「CyberAv3ngers」による過去の作戦と一致すると指摘している。ただし、公式な帰属認定には至っていない。CyberAv3ngersは2020年頃に初めて特定され、当初はイスラエル関連インフラへの攻撃を誇示するフロント組織として活動していた。2023年11月には、米国・イスラエル・英国・アイルランドの水道事業者が使用するUnitronics Vision Series PLCを少なくとも75台改ざんし、ペンシルベニア州の水道局を含む複数施設に被害を与えた実績を持つ。2024年から2025年にかけては独自マルウェア「IOCONTROL」を開発し、OpenAIによればその開発過程でChatGPTを利用していたことも判明している。2026年3月以降はロックウェル・オートメーション製PLCを標的に加え、7月にはシュナイダーエレクトリックおよびシーメンス製機器にも対象を拡大していた。米サイバーセキュリティ・インフラセキュリティ庁(CISA)は今回の攻撃発生に先立つ7月22日、関連する注意喚起をすでに発出していた。なお、デフォルトパスワードの悪用、TeamViewerなど消費者向けリモートアクセスツールの利用、インターネットに直接露出したPLCインターフェースといった手口は、同グループがこれまでの作戦で繰り返し用いてきた特徴的な侵入パターンとされる。ただし、今回のミネソタ州の攻撃について、MNITは具体的な侵入手法の詳細を明らかにしていない。
対応と今後の展望
現在、CISA、米環境保護庁(EPA)、FBIといった連邦機関がミネソタ州当局と連携し、封じ込めと復旧にあたっている。同州の最高情報セキュリティ責任者は、重要インフラへのサイバー攻撃には「政府全体を挙げた協調対応」が不可欠だと強調した。CISAは今回の事案を受け、重要なOTシステムを他のネットワークから隔離し、たとえ機能が一部低下してもシステム運用を継続できる体制を構築するよう推奨している。小規模な公益事業体は予算や人員の制約から包括的なセキュリティ対策を講じることが難しく、国家に関連するとみられる攻撃グループの標的になりやすい構造的な課題が依然として残っている。攻撃者の正式な特定を含め、調査の続報が待たれる。