米国の6つの連邦機関が共同サイバーセキュリティ勧告を更新し、イラン関連の脅威アクターが米国政府施設、水道システム、エネルギーインフラ全域で、インターネットに露出したプログラマブルロジックコントローラー（PLC）を積極的に悪用していると警告しています。
AA26-097Aとして追跡されているこの勧告は、2026年4月に初めて公表され、2026年7月22日に改訂されて対象範囲が大幅に拡大されました。
この脅威アクターは、インターネット上で露出したPLCをスキャンし、正規のエンジニアリングソフトウェアを使って接続します。これはソフトウェアの脆弱性を悪用するのではなく、認可された技術者の作業手順をなぞる形になっています。
侵入後、攻撃者はコントローラーのロジックを改変し、場合によってはオペレーター用の表示画面まで操作するため、ヒューマンマシンインターフェース（HMI）のオペレーターはリアルタイムで異常を検知できなくなります。
この活動は、2023年のキャンペーンで確認されたIRGC関連グループと一致する攻撃者によるものとされていますが、今回の侵入は手口が著しく高度化しています。
7月の更新では、4月時点で名指しされていたRockwell AutomationおよびAllen-Bradley CompactLogixとMicro850のコントローラーに加えて、対象メーカーの範囲がSchneider ElectricとSiemensの機器にも拡大されました。
新たな検知ガイダンスでは、共有・再利用可能なコードモジュール内に隠された悪意ある改変にも言及しています。これはサプライチェーン型のリスクであり、1つの改ざんされたモジュールが運用環境全体に変更を波及させる可能性があります。
Unitronics製PLCが影響を受けた2023年の侵入は、単純なデフォルト認証情報の悪用によるもので、大きな業務妨害はほとんどありませんでした。
2026年の活動ははるかに高度化しています。攻撃者はデフォルトパスワードではなく、有効な正規の認証情報と正規のエンジニアリングソフトウェアを使用するため、接続は通常の技術者アクセスと見分けがつかなくなっています。
以前のキャンペーンはパスワード変更という単純な対策で解決できましたが、今回進行中の悪用はネットワーク露出とアクセス制御における構造的な脆弱性に起因しており、一部の被害組織では実際の業務妨害と金銭的損失が確認されています。
悪意あるトラフィックは、産業用プロトコルで一般的に使用される5つのポート、すなわち22（SSH）、102（ISO-TSAP/S7comm）、502（Modbus TCP）、2222、44818（EtherNet/IP）で観測されました。
Trend Microの指摘によれば、これらのトラフィックはいずれも悪用可能なバグに依存しているわけではなく、根本的な問題はパッチで対応できる欠陥ではなく、ネットワークセグメンテーションとリモートアクセス強化の不足にあるとしています。
公開されているスキャンデータによれば、数万台に上るICSデバイスが依然としてオープンなインターネットから直接アクセス可能な状態にあり、その多くはデフォルトの認証情報のまま、あるいは認証情報自体が設定されていない状態です。
CISAと、FBI、NSA、EPA、エネルギー省、米サイバー軍を含む共同署名機関は、即時および短期的な対応として以下の対策を推奨しています。
この勧告はまた、製造事業者側の責任にも言及しており、インターネットに直接面したデフォルトの管理インターフェースを排除すること、そしてMFAのような基本的なセキュリティ機能に追加料金を課すのをやめることを、ベンダー各社に強く求めています。
注記： IPアドレスおよびドメインは、誤った名前解決やハイパーリンク化を防ぐため、意図的に無害化表記（defang）されています（例：[.]）。再有効化（re-fang）は、MISP、VirusTotal、SIEMなど管理された脅威インテリジェンス基盤の中でのみ行ってください。
SOC調査の死角を解消し、ANY.RUNで脅威を早期に封じ込め、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/hackers-manipulate-plc-logic-operator-displays/