OTセキュリティ連合、水道関連へのハッキング相次ぐ中で議会とCISAに改革を要請

運用技術（OT）を専門とするセキュリティ企業の連合体が、米国の水道インフラを標的とした協調的な攻撃を受け、重要インフラの強化に向けた即時対応を呼びかけています。

連邦および州の当局は、全米各地の何千もの上下水道処理施設で使用されている脆弱な産業機器を狙ったキャンペーンを調査しています。

イランと関連があるとみられる脅威アクターは、インターネットに露出した産業機器を標的にすることで、事業者を自らのシステムからロックアウトすることに成功していました。これまでのところ、ミネソタ州やミシガン州を含む少なくとも7州の水道事業者が影響を受けています。

一連の攻撃は7月26日と27日に始まり、ミネソタ州内の約30のシステムが被害を受けました。連邦および州当局によると、今回の事案は、設定が不十分で初期設定のパスワードのままになっていることが多く、多要素認証も要求されず、オープンインターネット上で発見できてしまう脆弱なロジックコントローラーを狙ったハッカーの手口と一致しているとのことです。

CISAとFBIは先週、水道システムの事業者に対し、特に各地の水道事業者で水質監視などの機能に広く使われているプログラマブルロジックコントローラー（PLC）を中心に、システムの防御強化を急ぐよう呼びかけました。

連邦当局からの警告を受け、ミシガン州当局も同様のOTシステム改ざんの試みを確認したと、同州環境・五大湖・エネルギー省の広報担当者が明らかにしています。

「すべてのシステムは安全に稼働し続けました。問題は現地の運用担当者によって対処され、公衆衛生上の懸念につながった影響は確認されていません」と、広報担当のデール・ジョージ氏はCybersecurity Diveに語りました。

広範に及ぶリスク

OTサイバーセキュリティ連合の議長でForescoutの政府渉外担当バイスプレジデントを務めるアリソン・キング氏によると、米国内には現在、約148,000カ所の公共水道システムがあり、そのうち約50,000カ所がコミュニティ水道システム、16,000カ所が下水処理施設だといいます。

「これらのシステムは分断されており、多くは資金不足で、セキュリティ対策にもばらつきがあります」とキング氏は述べています。「脅威インテリジェンスの共有に直接参加している事業者はごく一部にとどまり、多くの運用者は、敵対勢力が自らのインフラについてすでにどこまで把握しているのかを十分に把握できていません」

金曜日に発表された声明の中で、運用技術サイバーセキュリティ連合（Operational Technology Cybersecurity Coalition）の事務局長タチアナ・ボルトン氏は、今回の攻撃を「警鐘」だと表現しました。同連合は、サイバーセキュリティ・インフラセキュリティ庁（CISA）に対し、連邦文民行政機関に対して、暖房・冷房、電力、アクセス管理などの機能で政府が利用する何千もの重要拠点のリスクを直ちに軽減するよう義務付ける拘束的運用指令（Binding Operational Directive）の発出を求めています。

ボルトン氏はまた、議会とCISAに対し、直ちに3つの具体的な措置を講じるよう求めました。

• 議会は、州・地方サイバーセキュリティ助成プログラムを再承認し、予算を確保すべき

• 議会は、エネルギー省サイバーセキュリティ・エネルギー安全保障・緊急対応室の室長にアンドリュー・マクルーア氏を支持すべき。マクルーア氏は先月末に同室の室長に任命されたばかりで、同室は電力網を含む米国のエネルギー分野を悪意あるサイバー活動から守る責任を担っている

• CISAは、2015年サイバーセキュリティ情報共有法（Cybersecurity Information Sharing Act of 2015）の長期的な権限付与を実現するよう働きかけられている。この権限により、民間セクターのパートナーはサイバー脅威の可能性についてCISAへの情報提供を継続でき、CISAとFBIはその情報をより広範な潜在的被害者に伝達できるようになる。この権限は9月末に失効する予定