ポーランドのサイバーセキュリティ当局は、昨冬の厳しい寒波の最中に熱電併給プラントのシステムを混乱させ、数万人を凍える寒さにさらす恐れがあった、これまで知られていなかったサイバー攻撃の存在を明らかにしました。
この事件は、30カ所を超える再生可能エネルギー施設とより大規模な熱供給プラントを標的にした一連の協調的サイバー攻撃と同じ日に発生していました。ポーランドは1月にこの攻撃を公表しており、当時、ある閣僚幹部は約50万人に対する「停電」の発生に「極めて近い」状況だったと述べていました。
これらの攻撃は、この10年余りで最も厳しいヨーロッパの冬の一つの最中に発生しました。7月には、ポーランドの国別コンピュータ緊急対応チームであるCERT Polskaは補足報告書の中で今回追加された攻撃についての帰属を示さなかったものの、これらの攻撃自体はロシア連邦保安庁(FSB)の犯行であると正式に認定されています。補足報告書
その報告書はむしろ、約5万人の住民に熱を供給しているより小規模な熱電併給プラントへの攻撃に焦点を当てています。CERT Polskaのトップを務めるマルチン・ドゥデク氏によると、この攻撃は当時サイバー攻撃として認識されていませんでした。
ドゥデク氏は土曜日、ラスベガスで開催されたサイバーセキュリティカンファレンス「DEF CON」での講演で、この攻撃はクリスマス期間中の定期メンテナンス中に発生したと述べました。プラントの運営担当者は当初、蒸気タービンと水処理システムの停止について、悪意あるハッカーではなく請負業者のミスが原因だと考えていました。
この障害は迅速に検知されたため、顧客向けの暖房供給が途絶えることはなく、情報提供目的のみで報告されていました。しかし他の攻撃と時期が重なっていたことから、CERT Polskaはこの優先度の低い報告についても全面的な調査に乗り出しました。
3カ月以上を要したこの分析により、産業用制御システムへの侵入経路としてプライベートセルラーデータネットワークが悪用された、これまでに知られている初めての事例であることが明らかになりました。
「今回の事例は、確認済みのインシデントだけでなく、原因不明の障害や運用上の混乱についても報告することの重要性を示している」と報告書は述べており、これは欧州連合(EU)のNIS2指令が定めるより限定的な報告義務とは著しく対照的です。
風力発電所などの分散型エネルギー拠点は、プライベートセルラーネットワークを通じて系統運用者と通信しています。これは業界がセキュアで隔離されたインフラとして扱ってきた専用のモバイルデータ接続です。
今回新たに公表されたインシデントでは、攻撃者はすでに侵害していた風力発電所の変電所のファイアウォールから、これらプライベートネットワークの一つに接続されたセルラールーターへと移動しました。そして、このルーターを踏み台にして、工場出荷時のデフォルトログイン認証情報のままだった熱供給プラントのコントローラーへと横展開しました。
そこからハッカーはプラントの産業用制御システムへとトンネリングで侵入しました。風力発電所からセルラーネットワーク、そして熱供給プラントへと至るこの一連の攻撃経路において、ハッカーが移動した各施設同士には、同一のプライベートネットワークに存在していたという以外に直接的な関係はありませんでした。
侵入後、攻撃者は攻撃を仕掛けるまでの11日間を偵察活動に費やしました。産業用機器を調査し、プラントのファイアウォールに対して認証情報を試行し、クリスマス当日にはコントローラーに接続して標的をマッピングしました。
12月29日未明、攻撃者は蒸気タービンと水処理システムを制御するSiemens製コントローラーを無効化し、新しいパスワードを設定して運営担当者をコントローラーから締め出しました。
その後ハッカーは自動化スクリプトを用いてネットワーク機器の設定を消去し、デバイスのアドレスを到達不能な値に設定して復旧を遅らせました。プラントの職員は約2時間後、攻撃者がまだ活動している最中にシステムの復旧を開始し、混乱を短時間の停止にとどめることに成功しました。
攻撃者はその後、経路全体にわたって痕跡の消去を進め、プラントへの侵入経路として使用していたデバイスを修復不能なまでに徹底的に破壊し、その背後にあったファイアウォールとルーターもリセットしました。
調査員が攻撃の全容を再構築できたのは、あるルーターが古いソフトウェアを実行しており、工場出荷時設定へのリセット後もイベントログが保持されていたためでした。
CERT Polskaは、今回の攻撃を可能にした設定ミス、つまりプライベートセルラーネットワーク上のどのデバイスも他の任意のデバイスと自由に通信できてしまう状態が、当時ポーランド全土で一般的であり、国際的にも広く見られると考えられると警告しています。
同機関はエネルギー事業者に対し、プライベートセルラーネットワークを信頼できるインフラとして扱うのをやめ、インターネットに接続するあらゆる接続に対して用いるのと同様の管理策を適用するよう求めています。また、ネットワーク設定の即時監査、接続機器からのデフォルトパスワードの排除、そしてこれらのネットワークをセキュリティテストプログラムに組み込むことを求めています。
翻訳元: https://therecord.media/poland-uncovers-critical-infrastructure-attack-hidden
