ポーランドの熱電併給プラント、プライベートAPN経由の前例なき侵入経路でOT機器が停止

概要

ポーランドで約5万人に熱供給する熱電併給(コジェネレーション)プラントが、通信事業者が提供する専用モバイル網「プライベートAPN」を経由するという、これまで観測されたことのない侵入経路でサイバー攻撃を受けたことが明らかになった。攻撃は離れた場所にある風力発電所のファイアウォールを起点とし、最終的にプラント内の産業用制御機器(WAGOコントローラや複数のSiemens製コントローラ)に到達、蒸気タービンと給水処理システムが停止する事態となった。CERT Polskaの責任者によれば、3ヶ月に及ぶ調査の末、遠隔アクセス装置や既に消去されたハードウェアを経由する複雑な侵入経路がようやく判明したという。

侵入の経路

攻撃者はまず、風力発電所に設置された多機能ファイアウォール(FortiGate)を突破口とした。この機器は多要素認証(MFA)なしでVPN接続が可能な状態になっており、そこから侵入した攻撃者はセルラールーターの設定不備を悪用して、配電事業者(DSO)が運用するプライベートAPNに接続。本来は独立したOT(制御技術)ネットワーク同士を隔離するはずのプライベートAPNが誤って相互接続を許してしまっており、これを経由して風力発電所とは無関係の熱電併給プラントのネットワークにまで到達した。IT/OT境界の防御をすり抜けるこの手法は、キャリア側のプライベートモバイル網を侵入経路として利用した初めての確認事例とされる。

攻撃の経過とタイムライン

調査によると、攻撃者は12月18日から25日にかけて偵察フェーズを実施し、VNC、HTTP、S7、Modbusといった産業用プロトコルをスキャンして、デフォルトの認証情報が残されたままのWAGOデバイスを特定していた。そして12月29日早朝、攻撃を実行に移し、複数のPLC(プログラマブルロジックコントローラ)がSTOPモードに切り替えられパスワードで保護されるなど、Siemens製コントローラを含む制御機器が操作不能な状態に陥った。事件発生当日はプラントでメンテナンス作業が行われていたため、当初は人為的なミスによる停止と誤認されていたという。

背景と教訓

CERT Polskaの調査チームは、今回悪用されたようなプライベートAPNの設定ミスによる機器間の意図しない接続は、ポーランド国内で広く見られる構成だったと報告している。専用モバイル網は本来、公共インターネットから隔離された安全な通信手段と見なされることが多いが、その設定次第では複数の重要インフラ事業者のOTネットワークを不用意に結びつけてしまうリスクがあることが今回の事例で浮き彫りになった。同様の脆弱な構成は世界各地の電力・エネルギー事業者でも展開されている可能性があり、キャリア網を含めたサプライチェーン全体でのセグメンテーション見直しと認証情報の管理強化が急務と指摘されている。