ほぼ1年にわたり毎月およそ4,800件の米国インターネットアドレスが、燃料タンク計が使用するプロトコルの問い合わせに応答していました。ところが6月にはその数が2,354件まで減少しました。件数は4月、5月、6月と続けて下がり続け、この3カ月はいずれも前年の最低水準を下回っています。しかも、この減少傾向はアドレスの入れ替わりやポート変更による誤差を考慮しても揺らぎません。露出件数がこのように動くことはめったになく、ここまで急速な変化はほぼ前例がありません。
米国のATGプロトコルのインターネット露出状況、2026年5月（左）と2026年6月（右）の比較 – 提供: BitSight
これらのアドレスの先にあるのは、自動タンク計（automatic tank gauge）と呼ばれる、ガソリンスタンドの地下に設置されたコンピューターです。燃料の残量、温度、水分、漏れを監視するほか、警報装置や排煙装置の制御も担っています。同種の機器は空港、病院、発電所、データセンター、軍事基地など、非常用発電機のために現地で燃料を保管している場所であればどこにでも設置されています。これらの機器にアクセスできる攻撃者は、計測値を改ざんしたり、警報を無効化したり、ハードウェアを損傷させたりすることが可能です。Bitsightは2024年に5社・6機種の燃料計から10件のゼロデイ脆弱性を発見し、2025年にはさらに5件を発見しました。同社は実験室内で、接続されたリレーを稼働限界を超えて動作させ続け、実際に焼き切れるまで検証を行っています。
Energy Marketers of America(EMA)は4月14日、緊急の勧告を発表しました。攻撃者はテネシー州をはじめ全米各地でタンク計を狙っており、無防備なコンソールが主な標的となっていること、そして多くの専門家がイランの関与を疑っていることが明らかにされました。EMAとテネシー州燃料・コンビニエンスストア協会は、この時点ですでにCISAおよびエネルギー省のCESER部門と連携を進めていました。CNNは5月15日、イラン関連とみられる侵入事案を報じましたが、これは業界チャンネルを通じて警告が発せられてから数週間後のことでした。
減少は4月から始まった
2025年6月から2026年3月までの間、米国内の件数は月あたりおよそ4,300件から5,300件の範囲で推移し、2025年の平均は4,815件でした。ところが4月には27.6パーセント減の3,850件まで落ち込みます。5月にはさらに31.8パーセント減少して2,624件となりました。そして6月には2,354件で着地し、これは3月のピーク時から56パーセントの減少に相当します。
ここで集計されているのは、月内にタンク計プロトコルの有効な応答を返したユニークなIPv4アドレスの数であり、機器の台数そのものとは異なります。ブロードバンド回線上の燃料計は、プロバイダーから新しいアドレスが割り当てられるたびに変化するため、単に移設された機器であっても、データ上は電源を切られた機器と見分けがつきません。
米国以外に目を向けると、同期間の減少幅はより緩やかで、約26パーセントにとどまりました。米国内の56パーセントという減少幅と比べると対照的です。つまり、最も急激な減少が起きたのは、まさに勧告で「攻撃を受けている」とされた国そのものだったのです。
もう一つのポートが示す「スキャナーのノイズではない」根拠
アドレスの入れ替わりだけでもこうしたパターンは生じ得ますし、スキャナーが1月より6月に調査対象を絞り込んだだけという可能性も考えられます。しかし、このデータセットには両方の疑念に答える対照群が含まれています。
ポート10001は、Bitsightが観測するデータの約84パーセントを占めています。一方、ポート8001は同種のネットワーク上の、より小規模な母集団をカバーしており、同じ月に同じスキャナーで調査されています。ポート10001上の米国内アドレスは、1月の4,214件から6月には1,466件へと、65パーセント減少しました。これに対しポート8001は885件から849件へと、わずか4パーセントの減少にとどまっています。アドレスの入れ替わりやスキャン範囲の縮小が原因であれば、両方のポートで同様の傾向が見られるはずです。しかし、実際に空になったのは一方だけでした。
ポート8001のデータは、アドレスの入れ替わり率そのものも示しています。この6カ月間、総数はほとんど変化していませんが、1月時点のアドレスのうち約5分の1は6月までに姿を消していました。この比率をポート10001にも当てはめると、減少分のうち約870件は入れ替わりによるものと見積もられ、残る約2,260件、全体の4分の3近くが実質的な「撤去」とみられます。ただしこの数値は、両方の母集団が同程度の入れ替わり率を持つという前提に基づく概算であると、報告書自体も断っています。1月時点で存在し6月には消えていた3,127件のアドレスは、4,214件から1,466件への純減数を上回っており、そのうち13件は別のタンク計用ポートで再び確認されています。
ポート10001は工場出荷時のデフォルト設定です。こうしたコンソールをネットワークに接続する際には、旧来のVeeder-Rootシリアル回線をTCPに橋渡しする必要があり、多くの場合はLantronix製アダプターが用いられます。このアダプターは初期設定でポート10001を待ち受けます。つまり、安全性が極めて重要な設備がインターネットから到達可能になっている背景には、一つのハードウェアベンダーが選んだポート番号があるのです。
減少傾向は持続している
単月のデータだけでは何も証明できません。勧告が出るとコンソールが1台か2台オフラインになり、注目が薄れればまた件数が戻る、というのはよくあることだからです。しかし今回の減少は、前年の最低水準を3カ月連続で下回り続けており、しかも今なお下降を続けています。4月に生じた変化は、勧告が相次いだ時期であり、一般向け報道が本格化する前のタイミングで起きています。これは、それまでの10カ月間ほぼ横ばいだった基準線と照らし合わせると、緩やかな漂動ではなく、明確な段階的変化として読み取れます。
Bitsightは、これを確たる証拠と呼ぶまでには至っていません。このパターンは、事業者が勧告を受けて対策を講じたことと矛盾しない、という位置づけです。功績は特定の一者に集約されるものではなく、CISA、米国の法執行機関、業界団体、システムインテグレーター、そして事業者自身に広く分散しています。同社は、リスク低減率や是正率を各機関が日常的に測定すべきだと主張しています。そうすれば、今回の成果をもたらした通知や関係者を特定し、同じ手法を繰り返し適用できるからです。これほど短期間でこれほど大きな減少が起きること自体が異例だといえます。
今回の対策が見落としたもの
今回のデータから一つだけ教訓を得るとすれば、それはポート8001に注目することです。プロトコル上の露出という観点で見ると、今回の働きかけは一方のポートには届いたものの、もう一方のポートには手が及ばなかったことになります。データを見る限り、このポートへの対応が進んでいる形跡はありません。別のポートでコンソールを運用している事業者は、自分たちは安全だと思い込んでいるかもしれませんが、それは誤りです。
「スキャンに応答すること」と「脆弱であること」は、まったく別の指標です。VPN、NAT(ネットワークアドレス変換)ゲートウェイ、あるいはキャリアのファイアウォールの背後にある燃料計は、応答を返さなくなります。これは推奨される対策そのものですが、それでも電源は入ったままで、対象機種であれば依然として脆弱な状態にあります。攻撃者が産業制御システムに到達する主な経路は、ネットワーク内部に侵入した後の横移動によるものであり、この経路には今回の対策の影響が及んでいません。
新しい世代の燃料計は、コンソールをWebサーバー上で稼働させており、デフォルトの認証情報がそのまま使われているケースが少なくありません。Bitsightは、自社の過去の調査で発見した脆弱性が実際に存在するホストのみを対象として保持しました。つまり、このデータセットに含まれるアドレスは、単に「見えている」だけでなく「脆弱性が確認されている」ものです。ただし、これはインターネットに公開されたWeb対応燃料計全体のうちの一部にすぎません。米国内の件数は10カ月にわたり月あたりおよそ448件で推移していましたが、4月には259件、5月には235件まで落ち込んだ後、6月には320件まで戻りました。それでも前年の最低水準は下回っています。この320件のうち12件は新規に確認されたもので、残りの大半は一度観測範囲から消えて再び戻ってきた機器です。この系列には比較対象となる横ばいの基準線が存在せず、アドレスの入れ替わりも激しいため、解釈には注意が必要です。
CISAと他の連邦機関7つは6月2日、こうしたシステムの堅牢化に関する共同ファクトシートを公表しました。この文書では、コンソールに対して使われた攻撃手法、リスク要因、そして緩和策がまとめられています。中心となる指示は「強固なパスワードを設定し、機器をインターネットから切り離すこと」であり、Bitsightもこの文書を参照するよう読者に促しています。ただし注目すべきは、このファクトシートが公表された時点で、減少の大部分はすでに起きていたという事実です。
Bitsightは、ATG(自動タンク計)がポートやプロトコルを問わず、そもそもオープンなインターネットに応答すべきではないという立場を取っています。ポート8001は6月時点で849件のアドレスを抱えており、これは1月時点とほぼ同水準です。これに対し、ポート10001では1月から6月の間に、推定で2,260件のアドレスが完全に姿を消したとみられます。注目に値するのはこちらの数字です。適切な相手に適切な情報が伝わったことで、根深い問題がわずか四半期のうちにその大部分を解消したことを示しているからです。
翻訳元: https://www.helpnetsecurity.com/2026/08/07/automatic-fuel-tank-gauge-exposure/
