- サイバー攻撃がミネソタ州の30以上の地域水道システムの運用技術(OT)を直撃し、浄水処理施設が一時停止、複数の町が手動運用への切り替えを余儀なくされました
- WIREDが入手した流出済みのWaterISACメモは、州フュージョンセンターの評価としてこの侵入をイラン関連ハッカーに結び付けていますが、米政府機関による正式な帰属認定はまだ行われていません
- CISAはその4日前、イラン関連の攻撃者がインターネットに露出したPLCを侵害していると警告していましたが、これはこれまでほとんど無視されてきた注意喚起の繰り返しでした
ミネソタ州内の30以上の地域水道システムが、協調的なサイバー攻撃の標的となりました。今回の攻撃は事務系ネットワークではなく、ポンプや井戸、給水塔、下水中継ポンプ場を動かす運用技術(OT)を狙ったものです。
ミネソタ州IT局は2026年7月28日にこの攻撃を公表し、州全体でインシデント対応を発動しました。同局によれば、現時点でミネソタ州内のいずれの都市も住民に飲料水利用の変更を呼びかけてはいないとのことです。
Wiredが入手したメモは、水道セクターの情報共有団体WaterISACによって配布されたもので、制限区分「TLP: AMBER」の取り扱いマークが付されています。このメモは、ミネソタ州フュージョンセンターによる評価として、今回の侵入をイラン関連ハッカーに結び付けています。
ほぼ無視されていた警告
攻撃の4日前、CISAは勧告「AA26-097A」を更新し、イラン関連の攻撃者がRockwell Automation、Schneider Electric、Siemens製、さらにはその他メーカー製の可能性もあるプログラマブルロジックコントローラー(PLC)を侵害していると警告していました。対象は米国の水道、エネルギー、政府部門全般に及び、実際に確認された業務障害や金銭的損失についても記載されていました。
この警告に対し、州当局からの即時対応はありませんでした。理由は容易に想像がつきます。米国には数万に上る地域水道システムが存在しますが、その多くは小規模な人口を対象としており、専任のサイバーセキュリティ担当者を置く予算がないのが実情です。
前例がなかったわけではありません。2023年11月、イラン関連とされる攻撃者はペンシルベニア州のAliquippa市水道公社(Municipal Water Authority of Aliquippa)を襲い、Unitronics製コントローラーに反イスラエルのメッセージを表示させて改ざんしました。当時CISAは、これらの機器がデフォルトパスワードのままインターネットに露出していたと指摘しています。今回発せられた注意喚起も当時とまったく同じ内容であり、それだけ状況がほとんど変わっていないことを物語っています。
攻撃が終息した当日付のWaterISACメモは、州フュージョンセンターの報告書を伝達する形で、今回の攻撃活動をイラン関連の攻撃者に結び付けています。このメモは本来公開を意図したものではありませんでしたが、The New York TimesとThe Washington Postによって裏付けられています。両紙はそれぞれ連邦当局者、米情報機関に取材したと報じており、この見立てに信憑性を与えています。
その後CISAは、攻撃者がPLCのパスワードを変更し、運用担当者を自らの機器から締め出していると警告し、長年変わっていない注意喚起を改めて繰り返しました。すなわち、PLCを公衆インターネットから切り離し、リモートアクセスはVPNやゲートウェイの背後に置くべきだというものです。
影響を受けたのはどこか
今回のサイバー攻撃で最も被害が大きかったのは、人口約1,700人の町Brahamです。市当局によると、攻撃者は運転制御系統をシャットダウンさせ、浄水処理施設と井戸をオフラインに追い込みました。作業員は数時間以内に手動で復旧させ、その間住民には水の使用を最小限にとどめるよう呼びかけられました。
ミネアポリス郊外にあり人口約80,000人のPlymouthでは、問題は携帯回線経由で接続された給水塔2基と複数の下水中継ポンプ場の機器に限定されていました。同市IT部門は攻撃を食い止めるため、該当機器をネットワークから完全に切り離し、再設定作業中に再び標的にされることを防ぎました。
Maple Plainは対応のため地域非常事態を宣言し、South St. Paulでは一部の自動制御系統が侵害されたと報告されています。ほとんどのケースでは、緊急時対応手順が機能し、上下水道の運用は継続されました。
ただし、これは何の脈絡もなく起きたことではありません。米国とイランの間の戦闘停止を定めた6月の覚書はすでに破綻しており、両国は攻撃の応酬を続けています。中には、米国がホルムズ海峡付近で最近実施した攻撃で水道施設が破壊され、20,000人以上への給水が途絶えた事例も含まれます。今回ミネソタ州を攻撃したのが誰であれ、自治体の水道インフラを標的にしたことの象徴性は、偶然とは考えにくいものです。
今回の侵入による被害は限定的で、生じた停止も訓練を受けた職員の手作業によって短時間で解消されました。これは不幸中の幸いと言える結果であり、デジタル防御が完全に破られたとしても、自動化なしで処理施設を運転できる人材を各水道事業者が確保していたことに支えられたものです。
