太陽光発電デバイスで発見された未記載の無線機器

出典：Michael Vi（Shutterstockより）

最新のサプライチェーンにおけるサイバー脅威は、道路脇に潜んでいるかもしれません。

米国運輸省連邦高速道路局は、高速道路機関やインフラ企業に対し、「充電器、道路脇の気象観測所、交通カメラなどの太陽光発電インフラについて、バッテリーやインバーター内部に隠された無線機器などの不正デバイスが存在しないかスキャンするよう」警告しました。これはロイターが9月10日に公開した報道によるものです。勧告では特定のメーカーや国家を名指ししていませんが、米国が中国から流入する安価な製品に対して警戒を強めている中での発表となりました。

未記載のセルラー無線機器は悪意があるものとは限りませんが、悪用される可能性があると、OTサイバーセキュリティ技術メーカーNozomi Networksのサイバーセキュリティ戦略ディレクター、クリス・グローブ氏は述べています。

「こうしたものが私たちのエコシステムに存在することで、機会が生まれます」と彼は言います。「例えば、[道路]標識自体が実際の標的ではなくても、その標識が攻撃者にとって安全な施設から1ホップ離れた場所に侵入する手段となる場合があります。つまり、もう一つの足がかりになるのです。」

米国で使われている交通機器は、セキュリティ精査の対象となっている最新の重要インフラ技術です。1年前、米下院中国共産党（CCP）特別委員会は米国の港湾が中国製機器に過度に依存していることを指摘しました。これらの機器は遠隔操作が可能な場合が多いのです。11月には環境保護庁（EPA）の報告書で、約100の大規模な地域水道システム（CWS）に深刻なセキュリティの弱点があることが判明しました。

現代の交通は無線に依存している

米国の分散型インフラの多く、例えばパイプライン、電力供給、水および下水処理、交通などは、異なる機器同士の通信に無線周波数を利用しています。実際、ほぼすべての産業分野で重要な通信の主要な手段となっていると、広域ソフトウェア定義ネットワーク接続プロバイダーAryakaのセキュリティエンジニアリング・AI戦略担当副社長アディティヤ・K・スード氏は述べています。

「無線機器の利用は、規模の大きい運用では普遍的と見なされています。長年にわたる政府の調査でも、無線機器を搭載した車両群は、無線機器のないものよりもはるかに効率的であると結論付けられています」と彼は言います。「これは単なるレガシー技術ではなく、複雑な専用システムへと進化しています。」

しかし、重要インフラをつなぐ要となる一方で、無線は弱点にもなり得ます。7月には、サイバーセキュリティ・インフラセキュリティ庁（CISA）が、鉄道車両の先頭と最後尾に設置されるデバイス（ヘッド・エンド・オブ・トレインデバイス、エンド・オブ・トレインデバイス）に脆弱性があると報告しました。これらのデバイスは、列車を停止させたり、障害を引き起こすためのブレーキコマンドを送信できます。CISAの勧告によれば、これらは無線周波数データパケットを使って攻撃される可能性があります。

同様に、電気自動車や太陽光発電用途で使われる大型のリン酸鉄リチウム（LiFePO4）バッテリーの多くには、バッテリーマネジメントシステム（BMS）に接続されたBluetooth通信モジュールが搭載されていると、インフラセキュリティ企業Dragosの著名な技術的脆弱性リード、リード・ワイトマン氏は述べています。

「これらのBMSは基本的に読み取り専用であると宣伝されていますが、実際には最大充電状態などの重要な設定を変更できるものも多いと考えています」と彼は言います。「例えば、攻撃者がバッテリーを放電させたり、充電を妨げたりすることで、重要な標識やインフラを無力化することが可能になります。」

未記載の無線機器：一般的な問題

全体として、運用技術（OT）の脆弱性はサイバー攻撃者の標的となっており、重要な運用を妨害できれば組織に身代金を支払わせる圧力を高めることができます。2024年には、OTに対するランサムウェア攻撃が前年から87％増加し、製造業、エネルギー企業、その他の産業部門が標的となったと、Dragosの報告書は伝えています。

OT機器への遠隔接続が可能であることは、さらに脆弱性を高めます。また、無線機器は多くの運用者が考えている以上に重要インフラ全体で一般的に導入されていると、Dragosの脆弱性・マルウェア脅威研究ディレクター、ケイト・ジョンソン氏は述べています。ほとんどの場合、デフォルトで搭載されているか、サプライヤーやOEM（元機器製造業者）が機器の保守のために使用しています。

「多くのOEMは、セルラーモデムを含む部品を購入しますが、その機能を利用する意図はありません」と彼女は言います。「これらはデータ漏洩の問題となる可能性もありますが、より一般的には機器を遠隔で制御・管理するためのアクセス手段となります。…アクセスができること自体が悪用の道を開き、未記載であることでハードウェアや無線の評価なしにそれらを特定するのが難しくなります。」

無線制御デバイスのリスクは低いものの、国家によるサイバー作戦が加わると脅威の様相は変わると、サイバーフィジカルシステムセキュリティプロバイダーClarotyのフィールドCTO、ショーン・タフツ氏は述べています。

「大きな被害を与えるには、脅威行為者が非常に多くのデバイスを制御下に置く必要があります」と彼は言います。「確かに、個々の道路標識でデータ改ざんが起きれば危険ですが、脅威行為者が得られるものは何でしょうか？経済的な見返りは少ない活動です。国家でなければ別ですが。」

彼は、中国がSalt TyphoonやVolt Typhoonといった活動の一環として、多数のデバイスネットワークを構築しており、現時点での目的は米国の重要インフラやネットワークの把握にあると指摘しています。

サプライヤーには部品表（BOM）が必要

サプライヤーやその取引先（企業・政府）は、自社機器にどのような部品が含まれているか把握すべきです。資産の発見やハードウェア部品表（BOM）は、どこに脆弱性があるか、また脆弱性が発見された際にどこを調査すべきかを知る上で大いに役立つと、Dragosのワイトマン氏は述べています。

「政府プロジェクトでは、プロジェクトマネージャーがハードウェア部品表のリスクを評価し、その機器を使うかどうかリスクに基づいた判断ができます」と彼は言います。「私はBluetoothは低リスクと見ていますが、セルラーモデムや長距離無線チップ（例えば400MHzや900MHzの免許不要帯）は、より遠隔からの悪用リスクをもたらします。」

さらに、多くの業界標準はデバイスの機能が遠隔から侵害されることを防ぐことに焦点を当てていますが、これらのデバイスはしばしば他の接続インフラへのアクセス手段として使われるため、ネットワーク接続も監視する必要があるとNozomiのグローブ氏は述べています。

「無線はデフォルトで、あるいは偶然にオンになっている場合がありますが、それによって、物理的な接続ではなく無線経由で攻撃を仕掛けるための経路が開かれてしまいます」と彼は言います。そのため、攻撃者が横方向に移動している兆候（イースト・ウエストトラフィック）を監視することが重要です。

長期的には、企業はサプライヤーに対して不要な機能を排除した、より安全な製品の提供を求める必要があります。しかし、中国との市場シェアを巡る経済競争は、ブランドメーカーに不利に働くとClarotyのタフツ氏は述べています。安価な製品による価格競争は信頼できるベンダーに打撃を与え、正しく機器を構築するための資金も制限されますが、セキュリティ重視の企業は長期的に成功を収める可能性が高いでしょう。

「『最小限の機能』プログラミングや、ソフトウェア開発ライフサイクル（SDLC）の基本により注力する傾向が強まっています」と彼は言います。「この[無線機器に関する]ニュースは、信頼できるベンダーが行ってきた前向きな改善を後押しするものです。」