セキュリティ
「協調的なサイバー攻撃」により30カ所以上の施設に支障、当局はいまだ攻撃主体を特定せず
セキュリティ企業Tenableの研究者らは、ミネソタ州の水道施設30カ所以上に支障をもたらしたサイバー攻撃の背後に、イランと関連の深い偽ハクティビスト集団CyberAv3ngersがいるとみています。
州当局・連邦当局のいずれも今回の攻撃について犯行主体を特定してはいませんが、Tenableは分析の中で、その手口が同集団の過去の攻撃パターンと一致するとし、最近の政府による警告との時期的な近さも指摘しています。
米サイバーセキュリティ・インフラセキュリティ庁(CISA)は7月22日、重要インフラ全般を標的としたイラン関連の攻撃者によるプログラマブルロジックコントローラー(PLC)への攻撃に関する勧告を更新しており、これはミネソタ州が自州のシステムへの攻撃を発表するわずか4日前のことでした。
この勧告では、イランと関連するハッカーがCyberAv3ngersに関連付けられてきた手口を用いて業務妨害を試みていると警告していました。政府施設、上下水道システム、電力事業者などが、特に厳重な警戒を呼びかけられていました。
ミネソタ州で何が起きたのか
7月26日と27日、ミネソタ州内の30カ所以上の地域水道システムが、当局が「運用技術(OT)を狙った協調的なサイバー攻撃」と呼ぶ攻撃によって支障をきたしました。
州のIT機関であるミネソタIT局(MNIT)によると、州保健局が影響を受けた水道施設と連携し、公衆衛生の維持に努めているとのことです。MNITの最新情報によれば、これまでのところ、いずれの市も住民に飲用水の使用量を変更するよう求めてはいません。
同機関は、調査に協力している複数の機関・団体・組織について言及した以外、攻撃の詳細についてはほとんど明らかにしていません。
最初に問題を報告した都市の一つであるBraham市は、当初の通知で水の備蓄が限られていると警告しました。住民には芝生への散水やレクリエーション目的での水の使用を控えるよう求めましたが、問題は同日中に解決しています。
他の被害都市ではこうした指示は出されていません。Maple Plain市は非常事態を宣言し、リソースをより柔軟に調整できる体制を整えましたが、住民に消費量の調整を求めることはしませんでした。
同様の対応は、ツインシティーズ郊外のPlymouth市やSouth St. Paul市でも見られました。両市とも7月27日にサイバー関連の問題を確認していますが、住民に水の使用抑制を求めることはありませんでした。
「重要インフラに対するサイバー攻撃には、政府全体を挙げた協調的な対応が必要です」と、MNITの副長官兼ミネソタ州CISOであるJohn Israel氏は述べています。
「MNITはパートナー各所と緊密に連携し、情報を共有するとともに、被害を受けた地域社会を支援し、水道事業者が安全に業務を復旧できるよう、また将来の攻撃に対する防御を強化できるよう支援しています。
「今回の事案は、ミネソタ州が強固なサイバーセキュリティ能力とパートナーシップに投資してきた理由を如実に示しています。私たちの対応は想定通りに機能し、あらゆるレベルの政府機関が迅速に連携し、事案を封じ込め、重要サービスへのより深刻な影響を防ぐ助けとなりました」
CyberAv3ngersとは何者か
CyberAv3ngersは2020年頃に初めて確認された集団で、イラン・イスラム革命防衛隊(IRGC)、特にそのサイバー電子コマンド部門(IRGC-CEC)と関連が深いとの見方が広く支持されています。
Tenableによれば、活動開始から最初の2年間、同集団は「プロパガンダの人格」として振る舞い、イスラエルのインフラに対する破壊的な攻撃を主張していましたが、こうした主張は後に虚偽であったことが判明しています。
同集団による最初の本格的な攻撃キャンペーンは2023年11月、米ペンシルベニア州のMunicipal Water Authority of Aliquippa(アリキッパ市水道公社)のPLCを侵害し、反イスラエルのメッセージで改ざんした事件でした。
Tenableによると、このキャンペーンにおいてCyberAv3ngersは、米国・イスラエル・英国・アイルランドにまたがる少なくとも75台のUnitronics Vision Series製PLCを侵害しました。手口としては、デフォルトパスワードの悪用が使われました。
2024年から2025年にかけて、同集団はOT機器やモノのインターネット(IoT)機器への攻撃に特化したマルウェアキット「IOCONTROL」を開発しました。OpenAIは2024年、同集団のメンバーが開発過程でChatGPTを利用していたと明らかにしています。
CyberAv3ngersは2026年に入り活動を活発化させ、3月以降はRockwell Automation/Allen-Bradley製PLCを通じて米国の重要インフラを標的にするようになりました。CISAが7月22日に更新した勧告では、標的となりうる機器のリストにSchneider ElectricおよびSiemens製の機器も追加されています。
連邦当局によると、複数の重要インフラ分野を標的としたこれらの攻撃により、被害を受けた施設の一部で業務に支障が生じたケースもあったとのことですが、その具体的な内容については明らかにされていません。
CyberAv3ngersは、小規模な水道施設や自治体施設を標的にすることで知られています。専門家は、こうした施設が米国の重要インフラの中でも特に狙われやすい存在だと考えています。
多くの小規模・地方の施設には専任のサイバーセキュリティ人材が不足しています。Tenableによれば、一部の運用担当者はTeamViewerやAnyDeskといったリモートアクセスソフトウェアでOT環境を管理しているほか、PLCをインターネットに露出させたままにしているケースもあるとのことです。
「こうしたアクセス手段は企業のセキュリティ管理を完全に迂回してしまうため、従来型のセキュリティ監視では捉えられない攻撃対象領域を生み出しています」とTenableは述べています。
ITとOTの環境間の分離が不十分な場合、一度の侵入でネットワークの大部分に被害が拡大する恐れもあります。®
