概要
イラン政府と関連が疑われるハッカー集団が、米国の小規模な水道・下水道施設を相次いで標的にしていたことが明らかになった。攻撃はミネソタ州の30以上のコミュニティから始まり、アーカンソー州、ジョージア州、ニュージャージー州、ミシガン州など少なくとも7州に拡大した。攻撃者はインターネットに露出したプログラマブルロジックコントローラー(PLC)を悪用し、一部施設ではポンプやバルブへの遠隔操作アクセスを取得していたとみられる。攻撃主体は正式には特定されていないが、米情報機関はイスラム革命防衛隊(IRGC)の関与を「確信している」とワシントン・ポストが報じている一方、トランプ大統領は「イランによるサイバー攻撃があったとは思わない」と発言しており、政府内でも見解が割れている。
被害の実態
セキュリティ企業Forescoutの調査により、米国の水道システムでは2,800台以上のコントローラーがインターネット上に露出した状態にあったことが判明した。実際の被害としては、水圧の低下により未処理の地下水が配水管に浸入するリスクが生じたケースが報告されているほか、ミネソタ州ブラハム町では水処理施設が数時間にわたりオフラインとなった。同州メープルプレーン市では一時的に緊急事態が宣言され、ジョージア州では予防措置として住民に煮沸消毒の指示が出された。これらの被害はいずれも予算や専門人員が限られる小規模インフラ事業者で発生しており、大都市の水道システムに比べてサイバーセキュリティ対策への投資が手薄になりがちな構造的な脆弱性が浮き彫りになった。
当局の対応と今後の焦点
米国土安全保障省傘下のサイバーセキュリティ・インフラセキュリティ庁(CISA)は今年4月と7月の2度にわたり警告を発令し、FBIも7月30日に公式声明で注意を呼びかけた。しかし攻撃主体の特定をめぐっては政府内で足並みが揃っておらず、情報機関の分析とホワイトハウスの発言に食い違いが見られる状況が続いている。水道インフラは電力や通信網に比べてサイバーセキュリティへの投資が後回しにされがちな重要インフラであり、今回の一連の攻撃は、老朽化した制御システムをインターネットに接続したまま運用する小規模事業者に対する国家的なリスクを改めて突きつける結果となった。今後は露出したPLCの隔離やパスワード管理の徹底など基本的な対策の普及に加え、連邦レベルでの支援策の拡充が焦点となりそうだ。