ミネソタ州の水道システムを狙った協調攻撃をめぐり、捜査当局は2つの疑問を追っています。攻撃の実行者は誰なのか、そして広く使われている産業用コントローラーに共通する脆弱性が、数十もの小規模事業者を一斉に攻撃可能な状態にしていたのかという点です。
ミネソタ州の30以上の地域水道システムを標的とした協調サイバー攻撃が、産業サイバーセキュリティの専門家たちの間で警戒を呼んでいます。広範囲な機能停止を引き起こしたからではなく、共通する運用技術(OT)上の弱点によってつながった数十もの小規模事業者を狙った、初の分散型キャンペーンとみられるためです。
被害を受けた各コミュニティは飲料水の安全性は保たれ、影響も限定的だったと報告していますが、セキュリティ研究者らは今回の事案について、イランとの地政学的緊張が高まる中、米国の水道インフラを標的に数カ月にわたって続くキャンペーンがさらにエスカレートしたものだと指摘しています。
Nozomi NetworksのフィールドCISOであるMarkus Mueller氏はCSOの取材に対し、「これは水道事業者を狙った、前例のない分散型攻撃です」と語っています。「公開されている情報に基づく限り、金銭目的ではなく、明らかに機能停止を狙ったものです」
何が起きたのか
ミネソタ州IT局(Minnesota IT Services)は、7月26日から27日にかけての2日間にわたり、複数の水道システムが協調的なサイバー活動の被害を受けたと明らかにしました。イサンティ郡にある人口約1,700人のブラハム市では、影響を受けたシステムの制御を運用担当者が取り戻すまでの約2時間、水道システムの一部を停止せざるを得なくなり、最も目に見える形で業務への影響が出ました。
プリマス市は、侵入を止めて機器の再設定中に攻撃者による再アクセスを防ぐため、2つの給水塔と複数の下水中継ポンプ場でセルラー接続の機器を遮断しました。サウスセントポール市では自動制御の一部に影響が出たとされており、メープルプレーン市は対応を強化するため地域非常事態を宣言しました。
今回の事案は、CISA、FBI、NSA、EPAがイラン関連のサイバー攻撃者が米国の重要インフラ全般、水道システムを含む分野で使用されているプログラマブルロジックコントローラー(PLC)を引き続き標的にしていると警告する勧告を拡大した直後に発生しました。
CISAのニック・アンダーセン(Nick Andersen)長官代行はCSOに提供した声明の中で、「CISAは現在、水道事業者のプログラマブルロジックコントローラーを標的とするサイバー脅威攻撃者の大幅な増加を確認しています」と述べています。「重要インフラの所有者・運用者の皆さまには、インターネットに公開されているPLCおよびその他の運用技術を、できるだけ早く切り離すよう強く求めます」
アンダーセン氏はさらに、「すべての組織に対し、CISA.govで最新のガイダンスを確認いただき、疑わしい事案や異常な活動があれば当局に報告して支援を受けていただくことも推奨します」と述べています。
単なる事業者ハッキングにとどまらない
専門家らは、今回の攻撃が単一の被害者に的を絞った過去の事案とは一線を画すとの見方で一致しています。数多くの事業者にまたがって協調的に行われた点が特徴だといいます。
Nozomi社のMueller氏は、この協調性から、被害を受けたコミュニティ同士をつなぐ何らかの技術的な糸口を、捜査当局が最終的に特定することになるだろうとの見方を示しています。
「これほど特定のセクターに絞られているということは」と同氏は語ります。「単にミネソタ州の水道事業者であるという以上に、これらを結びつける何かがあるはずだと私は考えています」。同氏は、共通のシステムインテグレーターや通信アーキテクチャ、あるいはその他の共通インフラが存在し、それが事業者全体を一斉に脆弱な状態にしていた可能性があるとみています。
運用技術に対する攻撃を綿密に追跡している産業制御システム研究者のRon Fabela氏も、公開情報を調べた結果、同様の結論に達しています。
「ミネソタ州の公開IPアドレス空間を検索しましたが、明らかにインターネットに露出している水道インフラは見つかりませんでした」と同氏は言います。「これらの事業者の多くはセルラー通信を使用しており、インターネットに直接接続された産業システムに比べて特定がはるかに難しくなっています」
この点が、地理的に近接した数十もの事業者が影響を受けた一方で、隣接するインフラには影響が見られなかった理由を説明しているのかもしれません。
Rockwellとのつながり
捜査が続く中、もう一つの重要な展開が浮上する可能性があります。
この連邦捜査に詳しい関係者によれば、当局はRockwell Automation製のMicroLogix 1400 PLCの脆弱性が、今回のキャンペーンを可能にした共通要因だったかどうかを調べています。
Fabela氏はプリマス市の公開IPアドレス空間を対象にShodanで的を絞った検索を行い、同市が少なくとも2台のRockwell Automation製MicroLogix 1400コントローラーを使用していることを確認しました。
この可能性は、最近の連邦当局による警告や、MicroLogix 1400シリーズのコントローラーに関する7月30日付のRockwell Automationのセキュリティ勧告とも符合します。連邦当局は当初、イラン関連の脅威アクターが積極的に標的としている産業用コントローラーの中にRockwell Automation/Allen-Bradley製PLCが含まれていると示していましたが、その後、警告の対象を他のPLCメーカーにも拡大していました。
7月30日、ミネソタ州での攻撃に対する捜査が進む中、CISAは水道・下水道事業者に対し、インターネットに公開されているPLCやその他の運用技術をできるだけ早く切り離すよう求める新たなガイダンスを発表しました。
この事案に関するレポートをセキュリティ企業として最初に発表したTenable社のシニア・スタッフ・リサーチ・エンジニア、Scott Caveza氏は、タイミングだけでは因果関係を証明できないと慎重な姿勢を示しています。「タイミングだけを見れば、確かに疑わしく映ります」とCaveza氏は言います。「Rockwell Automation製のデバイスはこれまでもこうしたグループの標的として繰り返し狙われてきたので、十分にあり得る話です」
露出したPLCが実際に攻撃者に侵入経路を提供していたとすれば、その影響は単なる監視にとどまりません。
「設定内容によっては」とCaveza氏は説明します。「攻撃者が監視能力を得たり、運用担当者が目にする情報を改ざんしたり、状況によっては運用設定そのものを変更したりすることも可能になります」。幸い、ほとんどの水道施設に組み込まれている手動の安全制御機能により、破滅的な事態に至る可能性はかなり低く抑えられています。
ブラハム市での比較的迅速な復旧は、この見方と一致しているようです。運用担当者は約2時間でシステムを復旧させ、煮沸消毒命令が出されることもありませんでした。
CISAの7月30日付アラートでは、ミネソタ州の事案に関与した機器は特定されておらず、Rockwell製コントローラーが関係していたかどうかについても言及していません。しかし、インターネットに公開されたPLCの切り離しを改めて強調する同局の姿勢は、Rockwell自身の緩和策ガイダンスや、複数の事業者への共通の侵入経路として露出したRockwell製コントローラーが使われた可能性という、捜査当局が現在調べている論点の一つと、色濃く重なっています。
最大の未解決問題は「犯人は誰か」
連邦当局は攻撃の実行者を公に特定するには至っていませんが、大半の専門家はイラン関連の攻撃者が最有力の容疑者だとみています。
元FBIサイバー担当副長官で、現在はHalcyon社の戦略・政策担当バイスプレジデントを務めるCynthia Kaiser氏は、今回の攻撃が、運用技術を標的としたイランによる活発なキャンペーンを警告する連邦当局の最近の発表の直後に起きたと指摘しています。
「FBIをはじめとする米政府機関が、イランが運用制御系を標的にしているという緊急警告を発した直後です」と同氏はCSOに語っています。「そこへ、これほど大規模な協調キャンペーンが起きています。地政学的に見て、この種の混乱を狙ったサイバー攻撃を実行する最も強い動機を持つのはイランです」
とはいえKaiser氏は、捜査当局が決定的な技術的証拠を掴んでいるわけではないことも認めています。それどころか同氏は、イランが「戦略的な曖昧さ」と呼ぶべき状況から、むしろ利益を得ることが増えていると主張します。
「彼らは、自分たちの仕業ではないかと疑われつつも、確証を持たれない状況をうまく利用しています」と同氏は言います。「その曖昧さが対応を複雑にし、作戦面での時間稼ぎにもなっているのです」
この説明は、今回の攻撃をめぐる最大の謎の一つを解く手がかりになるかもしれません。
CyberAv3ngersをはじめとする過去のイラン系ハクティビストグループによるキャンペーンとは異なり、ミネソタ州への攻撃後、説得力のある勝利宣言動画や詳細なTelegram投稿はすぐには公開されませんでした。異例の遅れの末、イランの国営メディアが7月29日、つまり事案発生から数日後になってようやく、この攻撃を脅威グループ「Handala」の犯行だと断定しました。
Handala自体はこれについて沈黙を保っていますが、同グループは7月26日、ウィスコンシン州マディソンを拠点とする大手インターネットサービスプロバイダーSupraNet Communicationsのネットワークインフラを標的としたサイバー攻撃について、X上で犯行声明を出していました。
Handalaが数日前には別の攻撃について犯行声明を出しておきながら、ミネソタ州の件については沈黙を貫いていることが、この謎をいっそう深めています。
Fabela氏は、この沈黙が際立っていると指摘します。「HandalaもCyberAv3ngersも、過去のキャンペーンで見られたような形で公に犯行声明を出していません」と同氏は言います。「通常であれば、彼らはスクリーンショットや証拠となる画像を投稿するものです。しかし今回はまだそれが確認されていません」
Mueller氏もこの沈黙を異例だと感じています。
「ピーク時には100を超えるイラン系の分派グループを追跡していました」と同氏は言います。「それが、ある時期からすっかり静かになったのです。実際の攻撃活動が再び活発化している中でも、以前と同じような公然たる自慢の投稿は見られていません」
水道事業者への教訓
最終的な犯人が誰であるにせよ、専門家らは今回の攻撃が、ある不都合な現実を改めて浮き彫りにしていると指摘します。攻撃者は運用技術を混乱させるのに、必ずしも高度なゼロデイエクスプロイトを必要としないという現実です。
むしろ攻撃が成功するのは、産業用制御機器がインターネットから直接アクセス可能な状態に置かれていたり、脆弱な認証情報で保護されていたり、連邦当局が長年推奨してきたネットワークセグメンテーションを実施せずに導入されていたりするためです。
Fabela氏はこの皮肉な状況を次のようにまとめています。「これらの断片をつなぎ合わせてみると、脅威アクターたちは結果的に、CISAがPLCに関して推奨している対策——パスワードを設定する、インターネットから切り離す——を、運用担当者の許可なく実行してしまっているように見えます。冗談のようで、冗談ではありません」
「このガイダンスの内容自体は、ごく標準的なものです」とCaveza氏は言います。「こうした機器をインターネットに直接接続しないこと。本来であれば、すでに常識として知られていてほしいことばかりですが、残念ながら実際にはこうした事態が起きてしまうのです」
