概要

米サイバーセキュリティ・インフラセキュリティ庁(CISA)は7月30日、プログラマブルロジックコントローラー(PLC)を狙った攻撃が急増しているとして、米国の上下水道事業者に対しインターネットに露出したOT(運用技術)機器を直ちに保護するよう緊急警告を発した。この警告は、7月26日から27日にかけてミネソタ州の30以上の地域水道システムを襲った協調サイバー攻撃を受けたもので、Maple Plain、Braham、South St. Paul、Plymouthなど複数の自治体で設備の誤動作が発生し、一部では「煮沸消毒勧告」が出される事態となった。水質そのものは安全が確保されたが、自動制御機能が停止し、事業者は持続的な手動運転への切り替えを強いられた。ミネソタ州IT局(MNIT)はこれを「協調的なサイバー攻撃」と認定し、州のサイバーセキュリティ・インシデント対応計画を発動している。

攻撃の手口と標的機器

攻撃者は、運転員をロックアウトするためのパスワード変更、IPアドレス改変によるPLCのネットワーク切断、設定変更による通常運転の妨害といった手口を用いたとされる。標的となった機器には、Rockwell AutomationのCompactLogix、Micro850、MicroLogix 1400、Schneider ElectricのModicon M340、SiemensのS7-1200シリーズなど、複数メーカーの主要なPLC製品が含まれる。セキュリティ企業Censysの調査によれば、現在もインターネットに露出したままの機器はRockwell/Allen-Bradley製が4,100台超、Siemens製が4,100台超、Schneider Electric製が2,000台超に上るという。特に懸念されるのは、露出しているRockwell製デバイスの約半数がVerizon、AT&T、T-Mobileといった主要携帯電話網経由でも到達可能な状態にあった点で、従来の企業ネットワーク境界だけを守る対策では不十分であることを示している。

背景にあるとみられる脅威グループ

今回の攻撃パターンは、イラン系脅威グループ、とりわけ小規模水道事業者を標的にしてきた実績を持つ「CyberAv3ngers」の手口と類似しているとされる。米当局は7月22日にも、イラン系アクターが産業制御システム(ICS)を標的にしているとする勧告を別途発出しており、今回のミネソタ州での事案はその延長線上にある可能性が指摘されている。重要インフラの中でも特に予算・人員規模が小さい水道事業者は、老朽化した制御システムをそのままインターネットに接続してしまっているケースが多く、以前から国家支援型・非国家アクター双方にとって狙いやすい標的とみなされてきた経緯がある。

CISAの推奨対策と今後の見通し

CISAは緊急対応として、PLCをインターネットから直ちに切断すること、リモートアクセスが必要な場合はVPNやセキュアゲートウェイ経由に限定すること、デフォルトパスワードを変更した上でパスワード保護を有効化すること、許可済みIPアドレスのみを許可するアクセス制御(IPアローリスト)を導入することを推奨している。今回の事案は、水道・下水道セクターにおけるOTセキュリティの脆弱性が依然として広範に残存していることを改めて浮き彫りにした形であり、CISAは全米の事業者に対して自組織のPLCの露出状況を速やかに点検するよう呼びかけている。今後、同様の攻撃が他州の水道事業者にも波及する可能性があり、重要インフラ全体でのOT資産の可視化と境界防御の強化が急務となっている。