今週、ミネソタ州の30カ所以上のコミュニティ水道システムを標的とした協調的なサイバー攻撃が発生し、米国全土の重要インフラサービスを混乱させようとする攻撃者による、防御が脆弱なことが多い運用技術(OT)への脅威が高まっていることが浮き彫りになりました。
米政府当局者がイランによるものと報じられている今回の攻撃は、ミネソタ州内の一部コミュニティで自動化システムを混乱させ、短時間ながら手動運用への切り替えを余儀なくさせました。しかし、コミュニティ当局者やミネソタ州IT部門(MNIT)の公式声明によると、この攻撃が水道供給、水質安全、下水処理サービスに大きな影響を与えた形跡は今のところ見られません。
米政府の警告発出直後の攻撃
今回の攻撃は、米サイバーセキュリティ・インフラセキュリティ庁(CISA)が警告を更新してから数日後に発生しました。この警告は、今年初めに発出されたもので、イラン関連の脅威グループが水道システムを含む米国内の重要インフラ組織において、プログラマブルロジックコントローラー(PLC)やその他のインターネット接続OTデバイスを標的にしていると指摘するものでした。この勧告では特に、Rockwell Automation/Allen Bradley、Schneider Electric、Siemens製のPLCが攻撃者の関心対象として名指しされていますが、インターネットに露出しているPLCであればどれも標的となり得ると警告しています。
MNITは、州公安局、ミネソタ州保健省、CISA、FBI、米環境保護庁(EPA)、その他の関係機関と連携し、7月26日と7月27日に発生した攻撃について調査を進めています。攻撃者がどのような自動化システムを、どのような手口で狙った可能性があるかなど、詳細はまだ公表されていません。CISA自体は、攻撃者がPLCのプロジェクトファイルを改ざんし、ヒューマンマシンインターフェース(HMI)やSCADAシステムに表示されるデータを書き換えることで、標的環境を混乱させたと説明しています。
ミネアポリスの北方約50マイルに位置するミネソタ州ブラハム市は、7月27日、水道プラントが「原因不明の理由でオフラインになっている」として、住民に節水を呼びかけました。ブラハム市のネイト・ジョージ市長は翌日この声明を更新し、水道サービスに影響が及ぶことなく問題は解決したと報告しています。一方、ミネソタ州メープルプレイン市はサイバー攻撃を受けて地域非常事態を宣言し、対応のためのリソース調整と緊急措置の迅速化を図りました。市は声明の中で、「今回の事案は一部の自動制御機能に影響を及ぼしましたが、既存の対策手順を即座に実施した」ため、上下水道業務は中断することなく維持されたと述べています。
ミネソタ州サウスセントポール市の当局者も同様の表現で、市の水道公益事業システムに関連する自動制御システムに関わるサイバー事案について説明し、既存の対策措置により水道・下水道業務は通常通り維持されたとしています。ミネソタ州プリマス市は、市内2カ所の給水塔と複数の揚水場で通信の中断が発生したと報告していますが、水質および水位への影響はなかったとしています。
状況証拠はすべてイランを指し示す
ミネソタ州当局は今回の攻撃について特定の攻撃者への帰属を明らかにしていませんが、一部の研究者は、この攻撃にイラン系脅威グループの特徴が見られると考えています。
Tenableのシニアスタッフリサーチエンジニアであるスコット・カベザ氏は、その手口の特徴から、イスラム革命防衛隊サイバー電子コマンド(IRGC-CEC)およびCyberAv3ngersの関与が強くうかがえると指摘しています。「今回の手口は、この組織が持つとされる既知の能力と一致しています。インターネットに露出したPLCと、ベンダー純正のエンジニアリングソフトウェアを悪用し、認証を回避してプロジェクトファイルを抜き取るというものです」とカベザ氏は述べています。「今回の攻撃のタイミングも、イランとの関連を示唆しています。攻撃は、米国の水道セクターのPLCをイランが積極的に標的にしていると警告するCISA勧告の更新から、わずか数日後に発生しています」。
カベザ氏によると、金銭目的の攻撃者による攻撃がOT環境に波及することがあるのとは異なり、CyberAv3ngersのようなイランの国家主導型グループは、OT環境そのものを明確に標的にしているといいます。「彼らはPLCのプロトコルの理解に投資を惜しまず、正規の運用担当者と同じベンダー製エンジニアリングツールを使用し、目的に特化した攻撃能力を構築しています」。同氏はさらに、その狙いはおそらく金銭化ではなく、重要インフラへのアクセス能力を誇示することによる地政学的な影響力の行使にあると付け加えています。
今回の攻撃が30カ所以上の水道システムをほぼ同時に襲ったという事実も注目に値します。Clarotyのフィールド最高技術責任者(CTO)を務めるショーン・タフツ氏は、攻撃者は常に多数の組織にまたがって同種の露出した運用技術をスキャンしているものの、今回の攻撃に見られる地理的な集中度の高さは、これらのシステムを結びつける単なる偶然以上の何かが存在する可能性を示唆していると述べています。
同氏によると、MicroLogixコントローラーが共通項の一つである可能性があるといいます。「これらのコントローラーは重要インフラ全体で広く使用されているため、攻撃者はインターネットに露出したデバイスを広範囲に検索し、その過程でミネソタ州に集中していることを発見した可能性が最も高いでしょう」とタフツ氏は指摘します。「しかし、この規模の大きさは、被害に遭った各水道事業者が共通のITバックボーン、インテグレーター、リモートアクセス経路、あるいは他のエコシステムレベルの依存関係を共有しているのかどうかという疑問も投げかけています」。
水道業界の脆弱性
タフツ氏によれば、水道業界はサイバーセキュリティ対策の相対的な立ち遅れゆえに、日和見的な攻撃に対して脆弱だといいます。最も近い分野である電力業界が、連邦政府の義務付けによる予防的管理策を約50項目実施することを求められているのに対し、米国水インフラ法(AWIA)は加盟事業者にリスク評価の実施のみを義務付けています。「水道業界ではサイバー対策への取り組みにばらつきがあり、それこそが問題なのです」と同氏は指摘します。リスク評価に基づいて適切に対策を講じている優良な事業者もある一方、多くのコミュニティ系水道システムは従業員がわずか数名しかおらず、専任のサイバーセキュリティチームも持っていません。「彼らは自治体規模の予算で産業用技術を防御しながら、水道を24時間365日稼働させ続けることを求められているのです」。
専門家によると、事態を悪化させるもう一つの要因は、重要なOTがインターネットに露出していることです。Suzu LabsのCTOを務めるデニス・カルデローネ氏は、携帯回線モデム経由で接続されたPLC、TeamViewerやAnyDeskによるリモートアクセスの有効化、認証なしで公開されているHMI Webインターフェースなどの例を挙げています。「これらのデバイスはインターネットに接続されていますが、運用担当者はそのリスクを考慮していないか、あるいは単に気づいていないのです。というのも、その接続は何年も前にインテグレーターが設置した携帯回線ゲートウェイを経由しており、ネットワーク図やセキュリティ評価に一度も記載されたことがないからです」とカルデローネ氏は述べています。
もう一つ考慮すべき要因は、OTがしばしば「他人事」として扱われている点です。「人口1,800人の町にサイバーセキュリティチームなどありません」とカルデローネ氏は言います。「あるのは、水道を維持している公共事業の作業員だけです。こうしたコミュニティがセキュリティ対策として必要としているものと、実際に確保できるリソースとの間には、大きな隔たりがあります」。
GuidePoint SecurityのOT部門ディレクターを務めるパトリック・ジレスピー氏が指摘するように、米国には14万8,000カ所を超える公共飲料水システムが存在し、公営の下水処理システムを含めるとその数は16万5,000カ所から17万カ所に上ります。これらの組織の多くは小規模で、地方に所在するか自治体運営であり、サイバーセキュリティ担当の人員、資金、調達能力、専門的なOTノウハウへのアクセスが限られています。「大規模な投資家所有の公益事業者であれば、セキュリティ監視や、インシデント対応の契約、専任のセキュリティチームといった予防措置に資金を投じられるかもしれませんが、多くの小規模なコミュニティ系システムにはそれができません」とジレスピー氏は述べています。「これこそが、水道セクターを悪意ある攻撃者にとって非常に魅力的な標的にしている理由なのです」。
