CISA・FBIが警告、イラン系ハッカーが水道・エネルギー分野への標的を拡大

米サイバーセキュリティ・インフラセキュリティ庁(CISA)とFBIは、イラン系ハッカーが水道・エネルギー分野をはじめとする自治体インフラ施設の混乱を狙い、主要な産業用デバイスを標的とする攻撃を強化していると警告しました。 

両機関は以前、ハッカーがRockwell Automation/Allen-Bradley製のプログラマブルロジックコントローラー(PLC)を悪用していると警告していました。更新された勧告によると、イラン系グループはその後標的の範囲を拡大し、Schneider Electric、Siemens、そしておそらくその他メーカーのデバイスも対象に含めているとのことです。 

両機関はまた、各組織に対し、PLCデバイスへのアクセス権限を持つ人員を厳しく制限し、PLCを稼働させるプロジェクトファイルに不正な活動がないか検証するよう呼びかけました。セキュリティチームは、デバイスが安全に構成されていることを確認するため、メーカーが以前に公開したガイダンスも再確認すべきだとしています。 

「CISAは、本勧告に記載されたPLCベンダーを含む、政府および業界の関係者と緊密に連携しています」と、あるCISA広報担当者はCybersecurity Diveに語りました。

Rockwell Automationの広報担当者は、同社が最初の勧告が発表されて以来、政府機関と連携を続けてきたと述べ、顧客に対して2021年および今年発表済みの勧告を再確認するよう呼びかけました。 

最初の勧告は、CVE-2021-22681として追跡されている認証バイパスの脆弱性に関連するものでしたが、3月に更新されました。Studio 5000 Logix Designerソフトウェアのこの欠陥は、暗号鍵が発見される可能性があるというものです。悪用に成功すると、Rockwell製ではないアプリケーションがコントローラーに接続できるようになる恐れがあります。 

更新された勧告によると、新たに標的とされたデバイスには、Schneider ElectricのBMX P34/Modicon M340 PLCおよびSiemensのS7-1200シリーズPLCが含まれています。

ある攻撃では、ハッカーがDropbear Secure Shellソフトウェアを使用して標的システムへのリモートアクセスを取得しました。 

安全性を欠く運用体制

OTセキュリティの専門家は、セキュリティチームがこれらのシステム周辺の侵入口を強化するために、あらゆる予防策を講じる必要があると警鐘を鳴らしています。 

イラン系脅威グループは、2023年のガザ紛争勃発以降、米国の水道システムを標的にしてきました。環境保護庁(EPA)による調査では、米国内の数百カ所の施設に深刻または重大な脆弱性が存在することが判明しています。 

当局は4月、水道・エネルギー分野の複数の施設がすでに攻撃の標的となり、金銭的損失などの被害が発生していたことを確認したと発表しました。 

6月には、イラン情報機関とつながりがあるとされるグループ「Handala」が、攻撃への関与を主張 し、米国最大級の水道事業者の一つであるCalifornia Water Serviceが標的になったとしました。Cal Waterは6月、調査の結果、被害は2つのサードパーティサービスプロバイダーのプラットフォーム内にある特定のアカウントに限定されていたと発表しました。 

Cal Waterの社内IT・OTシステムへの影響はありませんでした。同社によると、ハッカーは盗んだ認証情報を使い、ある顧客のオンラインアカウントにアクセスしたということです。

「攻撃者が認証情報を手に入れたり、ワークステーションを侵害したり、サービスプロバイダー経由で侵入したりした場合、次に問題になるのは、コントローラーやエンジニアリングシステムといった運用上の最重要資産へたどり着ける経路が実際にあるかどうかです」と、Frenosの共同創業者兼CTOであるHarry Thomas氏はCybersecurity Diveに語りました。

当局は各組織に対し、デフォルトパスワードの変更、多要素認証の導入、ソフトウェアパッチの更新を行うとともに、VPN、ネットワークプロキシ、ファイアウォール、ゲートウェイを使用してこれらのデバイスをオープンなインターネットから保護するよう求めています。