ニューヨーク州は、153の飲料水・下水道システムがサイバー攻撃への防御を強化できるよう、900万ドル超の助成金を交付します。
キャシー・ホークル州知事は月曜日、州の「公益事業のためのサイバーセキュリティ強化・レジリエンス向上(SECURE)」助成プログラムを通じてこの資金提供を発表しました。
この助成金は、地元の公益事業体におけるサイバーセキュリティ評価の実施やセキュリティ改善策の導入に充てられます。助成を受ける事業体は、ニューヨーク州環境施設公社(EFC)による無償の技術支援も利用できます。
この資金は、ニューヨーク州が3月に導入した最低限のサイバーセキュリティ基準への準拠を、公益事業体が果たせるよう支援することを目的としています。この基準には、認定オペレーターへのサイバーセキュリティ研修の義務化、インシデント報告義務、重要業務や機密情報に対するリスクベースの保護策、そして大規模な飲料水システムにおけるサイバーセキュリティ責任者の指名などが含まれます。
SECUREプログラムが開始された際、ニューヨーク州は公益事業体がサイバーセキュリティ評価に最大5万ドル、セキュリティ強化策の導入に最大10万ドルを受け取れると発表していました。
「これらの脅威は現実のものであり、拡大しています」とホークル知事は述べ、複数の州で水道システムを狙った最近のサイバー攻撃を引き合いに出しました。
今回の資金提供の発表は、米国各地の水道・下水道施設の運用技術(OT)システムを標的とした協調的なサイバー攻撃キャンペーンが発生した直後に行われました。ミネソタ州では7月26日から27日にかけて、30を超えるコミュニティ水道システムが標的とされました。
一部の自治体では自動制御機能に障害が報告されましたが、緊急時対応手順により、ほとんどの施設は稼働を継続できました。
ブラハム市では、攻撃者が運転制御を停止させたことで井戸と浄水施設が止まり、一時的に水道プラントをオフラインにする事態となりました。他の被害自治体は、飲料水の安全性は保たれ、サービスも稼働を継続したとしています。
その後の調査で、この攻撃キャンペーンは少なくとも他の6州、計7州の水道インフラに影響を及ぼしていたことが判明しました。
ミシガン州では少数のコミュニティで悪意ある活動が確認され、サウスダコタ州ラピッドシティでは下水中継ポンプ場に関わるインシデントが報告されました。ジョージア州も標的となった州の一つとされています。ニューヨーク州の公益事業体でこのキャンペーンとの関連が公表されたところはありません。
連邦捜査当局は、この攻撃について正式な帰属特定を行っていません。しかし、今回の活動が産業制御システムや水道事業体を標的とすることで知られるイランの脅威アクターによる過去のキャンペーンと類似していると報じられていることから、イランが有力な容疑者として浮上しています。
一連の攻撃を受け、米サイバーセキュリティ・インフラセキュリティ庁(CISA)は水道・下水道事業者に対し、インターネットに公開されているプログラマブルロジックコントローラー(PLC)やその他の運用技術をインターネットから切り離すよう強く求めました。
同庁はまた、デフォルトパスワードの変更、必要なリモートアクセスの安全なゲートウェイまたは仮想プライベートネットワーク経由への集約、信頼できるIPアドレスへの接続制限も推奨しています。
今回の900万ドルのサイバーセキュリティ助成金は、ニューヨーク州の2027会計年度予算に盛り込まれた、5年間で38億ドル規模のクリーンウォーターインフラ投資とは別枠のものです。同州によれば、この投資により2017年以降の水インフラ助成金の総額は100億ドルを超えることになります。
