CISA、米国の水道事業者を混乱させるサイバー攻撃について警告

米国サイバーセキュリティ・インフラセキュリティ庁(CISA)は、水道・下水道システム分野においてインターネットに露出したプログラマブルロジックコントローラ(PLC)を狙う攻撃が大幅に増加しているとして警告を発しています。

この緊急警告は、ミネソタ州の30以上の地域水道システムをハッカーが混乱させた攻撃を受けて発表されたものです。この攻撃は先週日曜日に始まり、月曜日まで続きました。

CISAの警告によると、今回の脅威活動では、ハッカーが露出したプログラマブルロジックコントローラ(PLC)を標的にし、パスワードを変更してオペレーターをロックアウトしたり、IPアドレスを変更してデバイスをインターネットから切断したりするなど、業務運用を混乱させる行為が確認されています。

「CISAは、重要インフラの所有者・運用者・インテグレーターに対し、可能な限り速やかに、公開状態にあるPLCおよびその他の運用技術(OT)をインターネットから切り離すよう強く求めます」としています。

成熟したサイバーセキュリティプログラムを持つ組織を含め、あらゆる規模の水道・下水道システム運用組織が標的となっています。

今回の通達では、露出している運用技術(OT)の中には、運用者やベンダー、システムインテグレーターが設置した文書化されていないセルラーモデムが含まれる場合があると指摘されています。

インターネットに接するアセットは、改ざん攻撃、設定変更、業務の中断、さらには物理的な損害を受けるリスクにさらされていると同庁は述べています。

CISAは、これらのアセットを直接的なインターネット露出から即座に切り離すことを推奨しています。それが不可能な場合は、安全なアクセスのためにVPN接続やゲートウェイデバイスを使用するべきだとしています。

さらに、デフォルトパスワードを変更し、アクセスをIPアドレス許可リストに限定することも求めています。

同庁はまた、Rockwell Automation製MicroLogix 1400 PLCの所有者に対し、パスワードが変更された場合のアクセス回復方法についてベンダーのガイダンスを参照するよう案内しています。

サイバーセキュリティ検索企業のCensysはブログ記事を公開し、インターネット露出の規模を数値化しています。それによると、現在4,100台以上のRockwell Automation/Allen-Bradley製ホスト、4,100台のSiemens製ホスト、2,000台以上のSchneider Electric製ホストがインターネットに露出していると推定されています。

ただし、上記のマップが示しているのは公共インターネット経由で到達可能なデバイスであり、必ずしも標的にされている、あるいは侵害されているシステムを表すものではない点には注意が必要です。

CISAの通達で言及されているMicroLogix 1400コントローラについて、Censysは、その多くがEoS(販売終了)ファームウェアバージョンで稼働していると見られると指摘しています。

同社はまた、文書化されていないセルラーモデムの問題が共通の盲点になっていると強調し、露出しているRockwellデバイスのうち半数近くが、Verizon Business、AT&T、T-Mobile、Comcast、Charter、Starlinkの各ネットワークを経由して到達可能であると報告しています。

Censysはレポートの中で、脅威ハンティングのガイダンスとともに、侵害指標(IoC)を拡充したセットも提供しています。

今週初め、ミネソタ州IT サービス局(MNIT)は、「ミネソタ州内30以上の地域水道システムの運用技術を標的とした協調的なサイバー攻撃」と説明する事態を確認したことを受け、州のサイバーセキュリティインシデント対応計画を発動しました。

複数の自治体が今回のサイバー攻撃による障害を報告しており、機器の誤作動により一部の水道事業者は一時的に手動運転への切り替えを余儀なくされました。

MNITは、被害を受けたシステムから収集した脅威インテリジェンスを共有し、影響を受けた事業者が通常運用を回復するためのガイダンスとベストプラクティスを提供しています。