マルウェアが銀行口座だけでなく燃料タンクも空にする恐れ

米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、自動タンクゲージ（ATG）への継続的なサイバー攻撃により、事業者が気づかないうちに燃料タンクが空にされる恐れがあると警告しました。ネットワーク接続型ATGはガソリンスタンドをはじめ、軍事基地、病院、製造工場などに広く導入されています。また、リスクにさらされているのは燃料の貯蔵施設だけではありません。ATGは化学・食品・農業といった分野でも活用されています。

CISAをはじめとする関係機関は、こうした攻撃によりゲージが危険な状態に陥り、タンクオーナーが漏洩や内容物の窃取に気づけなくなる可能性があると警告しています。

攻撃の手口は主に3種類に分類されます。まず、認証バイパスおよびハードコードされた認証情報を悪用し、デバイス管理へのアクセスを取得するもの。次に、OSコマンドインジェクションやSQLインジェクションにより、基盤となるデータベースを改ざんするもの。そして、権限昇格によって完全な管理者権限を奪取するものです。

ATGを導入している組織のシステム管理者は、シリアルポートへの接続を切断してインターネットへの露出を排除すること、デフォルトパスワードを直ちに変更すること、最新のパッチを適用すること、不審な活動をCISAに報告すること、そしてサプライチェーン上の企業にも同様のベストプラクティスの採用を促すことが推奨されています。

こうした企業のCISOは、すでにこれらの対策を講じているべき立場にあります。リスクを知らなかったとは言えないからです。昨年はカナダの燃料会社が攻撃を受けてシステムを侵害され、2024年にはセキュリティ企業BitSightがATGはサイバー犯罪者の格好の標的になっていると警告していました。