水道セクターへのサイバー攻撃、少なくとも12州に被害が拡大か

最近発生している水道・下水処理施設を狙ったハッキングキャンペーンの影響を受けた米国の州の数が、引き続き増加しています。 

ABCニュースによると、少なくとも12州が被害を受けているとのことですが、現時点で被害州として名前が判明しているのはそのうちごく一部にとどまります。

水道システムへのサイバー攻撃で被害を受けた州

最初に攻撃を報告したのはミネソタ州で、7月26日と27日に30を超える地域水道システムが標的にされました。ミシガン州も、「少数」のコミュニティで悪意あるサイバー活動が確認されたことを公式に認めています。

サウスダコタ州でも少なくとも1つの市が、同じキャンペーンの一部とみられるサイバー攻撃を報告しています。 

直近で公式に攻撃の発生を認めたのは、ジョージア州のクレイトン郡水道局です。同局は「運用システムと水道サービスの一部に一時的な障害が発生した」と説明しています。この事案により一部地域で水圧の低下が生じましたが、水道サービスは数時間以内に復旧しました。

ウィスコンシン州もニュースで取り上げられていますが、侵入の事実についてはまだ確認していません。同州の主要な水道事業者数社の担当者は、サイバー攻撃による影響は受けていないと述べています。 

ニューヨーク州は今回のキャンペーンの影響を受けたかどうかを明らかにしていませんが、当局は今週、153の水道システムのサイバーセキュリティ強化を支援するため、900万ドル以上の助成金を交付すると発表しました。

ユタ州でも、油田塩水処理施設の産業制御システムを狙ったハッカーによる攻撃が報告されていますが、この侵入は3月に検知されたもので、今回の一連の攻撃キャンペーンとは関係がないとみられています。ユタ州における新たな攻撃の報告は現時点でありません。 

7月30日時点で、FBIは少なくとも7州が被害を受けたことを公式に確認しています。同局はサイバーアラートの中で、攻撃者がRockwell Automation製のMicrologixプログラマブルロジックコントローラー(PLC)を標的にしていたと述べています。 

これまでのところ、重大な機能障害の公式な報告はなく、飲用水の安全性も保たれています。しかしFBIは、攻撃者の行動や潜在的な影響について一部詳細を公表しており、次のように説明しています。

「悪意あるサイバー攻撃者(MCA)は、インターネットに露出したPLC(Rockwell Automation/Allen-BradleyのMicroLogix 1100および1400シリーズ)を標的とし、IPアドレスの変更やパスワードの有効化・設定といったデバイス構成の遠隔改ざんを行っています。その結果、標的施設内の接続機器について、監視機能、場合によっては制御機能そのものが失われる事態が生じています。少なくとも1つの組織では、複数拠点にわたるラダーロジックの不整合に気づいた後、PLCのプロジェクトファイルが改変されていたことが報告されています。さらに、複数の被害組織にわたってサードパーティが提供するネットワーク構成に類似点が見られることから、脆弱なネットワークおよびハードウェア構成が顧客間で共通して存在する場合、攻撃者がその手口を横展開できる可能性があります。

FBIに報告された運用上の影響には、水圧の低下や浸水が含まれます。水道システムにおける水圧低下は、未処理の地下水が配管内に浸入する可能性を生じさせるおそれがあります。侵害が発生した場合、被害組織の運用への影響の程度は、PLCが構成されていた機能の種類(監視用か制御用か)、機器自体の種類(1100か1400か)、そのデバイスが担っていた機能、そして手動操作へ切り替える能力によって左右されました。」

米国は今のところ攻撃の背後にいる主体を公式には明らかにしていませんが、水道セクターを含むICS/OTを標的にすることで知られるハッカーを抱えるイランが、直ちに主要な容疑者として浮上しています。 

連邦捜査当局はイランの関与の可能性について調査を進めているとされ、水道セクターの情報共有組織であるWaterISACの非公開報告書は、今回の攻撃が過去にイランと関連付けられてきたハッキングキャンペーンと「一致する」証拠を挙げていると報じられています。 

防御側に向けた情報

CISAは、水道セクターに対しOTシステム、特にPLCの保護を強化するよう促しました。

加えて、連邦政府機関はイランによるOTデバイスを狙った攻撃に関する4月の勧告を更新し、Siemens、Schneider Electric、Rockwell Automation製のICSデバイスが標的になっていると警告しています。 

SecurityWeek、産業サイバーセキュリティにおける卓越性を称える「Critical Impact Awards」を新設

Censysは、Rockwell、Siemens、Schneider製のPLCがおよそ1万台インターネットに露出していると報告していますが、そのうち実際に攻撃に対して脆弱な台数がどれだけあるかは不明です。

Infracriticalは、OTセキュリティコミュニティおよび防御側担当者向けに、現時点で判明している技術情報をまとめたレポートを公開しています。