概要

米国のNSA、CISA、FBI、エネルギー省、環境保護庁（EPA）は、AIが生成したエクスプロイトスクリプトを用いてSiemens S7シリーズのPLC（プログラマブルロジックコントローラ）を狙う「アクティブな脅威」について合同勧告を発表した。攻撃者はCensysやZoomEyeといったインターネット走査サービスを使い、インターネットに露出したS7デバイスを特定した上で、弱い認証情報や既知の脆弱性、更新されていないソフトウェアを悪用して侵入を試みているという。標的となるモデルはS7-200、S7-300（314・315・317を含む）、S7-400、S7-1200（CPU 1211C～1217C）、S7-1500（Fシリーズ安全コントローラを含む）と多岐にわたり、クリティカル製造業、エネルギー、水道・下水道システム、化学、食糧・農業、防衛産業基盤、商業施設など幅広いセクターが危険にさらされていると指摘されている。

技術的な詳細

攻撃者が使用するツールは、オープンソースの産業オートメーションライブラリである「snap7.dll」や「python-snap7」を組み込んだカスタムPythonスクリプトで、正規のOT（運用技術）監視ソリューションを装って展開される点が特徴だ。これらのスクリプトはS7commプロトコルを介してPLCのメモリ、設定データ、ラダーロジックプログラムへの読み書きアクセスを提供する能力を持つ。現時点で確認されている活動は主に偵察や設定データの窃取といった読み取りアクセスにとどまっているとみられるが、これは攻撃対象の環境を理解し、将来的な破壊的操作に向けた準備段階である可能性が指摘されている。政府機関はAIの活用によって「脅威アクターに必要な技術的専門知識と時間が大幅に削減」されている点を強調しており、ICS（産業制御システム）攻撃の技術的な参入障壁が下がっていることへの懸念を示した。

政府機関の勧告内容

合同勧告では、事業者に対して以下の対策を推奨している。

  • ネットワーク上に存在するSiemens S7デバイスの全数を把握する
  • 最新のセキュリティパッチおよびファームウェアを適用する
  • PLCをインターネットから遮断し、直接アクセスできない構成にする
  • アクセス制御を強化し、認証情報を見直す
  • 異常なアクティビティを監視し、侵害の兆候がないか検証する

背景と今後の見通し

今回の警告は、米国のクリティカルインフラを狙ったPLC攻撃が近年増加していることを受けたものだ。過去にはイラン関連とされるハッカー集団がRockwell AutomationやSchneider Electric製のデバイスを標的にした事例が報告されているほか、2026年7月にはミネソタ州の水道事業者30社以上が同様の攻撃を受け、装置の誤動作により一時的に手動運用への切り替えを余儀なくされた。今回のケースはAIによる攻撃ツールの自動生成という新たな側面が加わっており、産業制御システムを運用する事業者にとって、資産の可視化とネットワーク分離の徹底がこれまで以上に急務となっている。