米サイバーセキュリティ・インフラセキュリティ庁(CISA)は2026年7月30日、水道・下水道システム(WWS)セクター全体でプログラマブルロジックコントローラー(PLC)を標的とした攻撃が脅威アクターによって激化していると警告する緊急勧告を発表しました。
同庁は重要インフラ事業者に対し、インターネットに接続されたPLCおよびその他の運用技術(OT)デバイスを、直ちに公開ネットワークから切り離すよう求めています。
攻撃者はデフォルトパスワードを変更してオペレーターをPLCからロックアウトし、さらに不正なIPアドレス変更によってデバイスの接続を断ち切るという手口を積極的に用いています。
その影響は現実のものとなっており、複数の被害水道事業者が煮沸給水勧告を発令し、自動化システムの制御を失った後、長期間にわたって手動運用を強いられました。
CISAによると、この攻撃キャンペーンは組織の規模や成熟度を問わず無差別に行われています。強固なサイバーセキュリティプログラムを持つ水道事業者でさえリスクを免れません。攻撃者はベンダーやインテグレーター、現場のオペレーターが設置したセルラーモデムを悪用しており、こうしたハードウェアはドキュメント化や定常的な攻撃対象領域スキャンから漏れがちです。
このような死角は重大なギャップとなります。セキュリティチームは自組織の境界が守られていると考えていても、監視されていないセルラーゲートウェイがOT環境への直接的な侵入経路となっている可能性があるのです。
PLCは水処理の自動化の中核を担い、ポンプ、バルブ、薬剤投入システムを制御しています。
インターネットへの露出は、単なる不正アクセスのリスクにとどまりません。デバイスの改ざん、不正な設定変更、業務の中断、そして最悪の場合には処理インフラへの物理的な損傷にまでつながる恐れがあります。
OTの侵害が水の安全性を通じて公衆衛生に直結することを考えると、このセクターは他の重要インフラの標的と比較しても、際立って高いリスクに直面していると言えます。
CISAはWWS事業者に対し、PLCを直接のインターネット接続から完全に切り離し、リモートでの運用アクセスはコントローラーを直接露出させるのではなく、VPNまたは専用ゲートウェイデバイスを経由させるよう推奨しています。
また、パスワード保護を有効にし、すべてのデフォルト認証情報を変更するとともに、既知のエンジニアリング用ノートPCや重要なOT資産のみが接続できるよう、IPアローリストによってリモートアクセスを制限すべきとしています。
PLCを切り離した後は、攻撃者によるパスワード変更でロックアウトされた場合に迅速に復旧できるよう、検証済みのクリーンなPLCイメージのバックアップを維持しておくべきです。
Rockwell AutomationのMicroLogix 1400 PLCを運用している組織は、不正な変更によってパスワードが不明になった場合のアクセス復旧に関する具体的な手順について、Rockwellの勧告SD1790を確認してください。
CISAは、レジリエンスの高いリモートアクセスアーキテクチャを構築するための参考資料として、自らの「運用技術に対するサイバー脅威を低減するための主要な緩和策」ガイダンスに加え、英国国家サイバーセキュリティセンター(NCSC)の「運用技術のための安全な接続の原則」も参照するよう案内しています。
実務的な支援を求める水道セクターの組織は、EPAの水道セクター向けサイバーセキュリティ技術支援プログラムを利用するか、管轄のCISA地域事務所に連絡することができます。
CISAは、被害を受けた組織に対し、24時間365日対応の同庁オペレーションセンター、またはFBIのインターネット犯罪苦情センター(IC3)への報告を求めています。
報告には、インシデントの発生日時と場所、確認された活動の種類、影響を受けた人数、使用された機器の種類、報告組織の名称、および担当窓口を含める必要があります。
今回の勧告は、ICS/OTセキュリティにおける根強い課題を改めて浮き彫りにしています。直接インターネットに接続できるリモートアクセスといった従来からの便利機能は、重要インフラ環境において今なおセキュリティ対策を上回るスピードで存在し続けているのです。
SOC調査の死角を減らし、脅威をより早期に封じ込めることで、ANY.RUNにより対応コストと業務中断を削減できます。
翻訳元: https://cyberpress.org/cisa-warns-internet-exposed-plcs/
