水道・下水処理システムを狙ったサイバー攻撃は 報道によれば 少なくとも12州に及んでいます。攻撃者は産業用コントローラーに対して、複雑さの低い手法で攻撃を仕掛けています。今回の一連の侵入は、イラン政府と関連している可能性があり、米国の水道インフラが依然として危険なほど無防備な状態にあることを裏付けています。
ここ数週間、米国内の複数の州に関連する水道・下水処理事業者が、自社システムへのサイバー攻撃を相次いで公表しています。ミネソタ州は 最初に こうした攻撃を確認した州で、先月末、攻撃者が30を超える水道システムの運用技術(OT)システムを標的にしたと発表しました。ほぼ同時期の7月30日には、サイバーセキュリティ・インフラセキュリティ庁(CISA)が以前の勧告を更新し、「水道・下水処理システム(WWS)分野のプログラマブルロジックコントローラー(PLC)を標的とする脅威アクターが著しく増加している」と警告しました。
米国のサイバーセキュリティ当局によると、脅威アクターはPLCのパスワードを変更してオペレーターをシステムから締め出したり、IPアドレスを変更してPLCを切断したりしていたとのことです。CISAは当時、「CISAは重要インフラの所有者、運用者、インテグレーターに対し、公開されているPLCやその他のOTをできるだけ早くインターネットから切り離すよう強く求める」と述べています。
このCISA勧告に先立ち、FBIは7月22日、4月の警告を更新し、イランの脅威アクターがRockwell Automation/Allen Bradley、Schneider Electric、Siemens、さらには他ベンダー製とみられる重要インフラ用PLCを標的にしていると発表しました。
被害はミネソタ州にとどまりません。ジョージア州、ミシガン州、サウスダコタ州の水道当局の関係者も、この広範なキャンペーンと関連しているとみられる攻撃を受けています。さらにここ数日では、アラバマ州とニュージャージー州の自治体も同様に攻撃を確認しています。
水道セクターの混乱を食い止めるための近代化が急務
これまでのところ、水道供給そのものへの支障は確認されておらず、こうしたPLC攻撃は、少なくとも現時点で公になっている範囲では、恒久的な被害や金銭の脅し取りではなく、恐怖心を煽ることを狙ったものとみられます。
とはいえ、実害が全くないわけではありません。ミネソタ州のケースをはじめとするこれまでの攻撃の一部では、現地のオペレーターがPLCから締め出され、可視性や制御機能が損なわれたため、手動での代替対応を強いられました。サウスダコタ州とミシガン州を標的にした攻撃も、これと同様の状況だったとみられます。これまでに判明している中で最も深刻な事案はジョージア州で、クレイトン郡に対するサイバー活動が報道によれば水圧の低下を引き起こし、当局は煮沸消毒勧告を発令せざるを得なくなりました。
OT・IoTセキュリティ企業Viakooの副社長を務めるジョン・ギャラガー氏は、PLCのような産業用コントローラーは歴史的に物理的な隔離と信頼性を重視して設計されてきており、インターネットへの接続を前提としていないと指摘します。そのため、多くの製品には多要素認証(MFA)や通信の暗号化といった、基本的なセキュア・バイ・デザインの機能すら備わっていないといいます。
同氏はDark Readingに対し、次のように語っています。「多くのOTやIoTシステムと同様、これらの機器はインストール時に無効化しない限り、デフォルトでネットワーク機能が有効になっている場合があります。さらに厄介なのは、保守作業がIT部門以外のスタッフによって行われることが多い点です。現場の技術者やサードパーティのインテグレーターは、リモートでのトラブルシューティングを可能にするために、中央のIT/OTチームに知らせることなく、セルラーモデムや衛星回線、あるいはポートの直接転送設定を導入してしまうケースが頻繁にあります」
Nozomi NetworksのフィールドCISOを務めるマーカス・ミュラー氏も同様に、PLCが標的にされやすいのは水道・下水処理業界の実情に起因すると述べています。
同氏は次のように説明します。「上下水道システムはおよそ17万件存在しますが、その大半は小規模かつ分散的な運営で、サードパーティが導入したOTを使用しています。こうした事業者では、サイバーセキュリティに対する意識や対応能力が限られています。機器を接続する運用上の必要性はある一方で、それを安全に保つための資金や義務付け、あるいは意識が不足しているのが実情です。水道業界には、明澄で安定した水を届けようと懸命に働く優れた人材が数多くいますが、彼らはサイバーセキュリティの専門家ではありません。たとえ問題を認識していたとしても、こうしたシステムを適切に整備するための予算やリソースを確保できないことが多いのです」
イランは公益事業へのサイバー攻撃の「蛇口」をひねったのか
今回の攻撃の背後にいる人物について確定的な特定には至っていませんが、可能性のある容疑者の一つとして、親イラン派のハクティビスト集団CyberAv3ngersが挙げられています。同グループは以前にも米国の水道インフラを攻撃した実績があり、2023年および2024年のCISA警告でも言及されています。
研究者らはこれまで、同グループの性質について、比較的低リスクな攻撃を利用して世間の不安を煽り、メディアの注目を集めることを狙った、日和見的かつプロパガンダ的なものだと指摘してきました。今回のような攻撃は、脅威アクターが「我々はお前たちに手が届くのだ」と誇示しているかのような、ハクティビズムに近い性質を帯びています。
とはいえ、複数のサイバーセキュリティ企業や研究者は、今回のPLC標的型キャンペーンと、過去にイラン革命防衛隊(IRGC)やIRGC系のCyberAv3ngersの犯行とされる過去の作戦との類似点を指摘しています。ただし、連邦当局は今回の複数州にまたがる水道セクターへの侵入について、いずれのグループの犯行とも公式には断定していません。
ミュラー氏はDark Readingに対し、攻撃手法の巧妙さに欠けるからといって、攻撃者側がそれ以上の能力を持たないとは必ずしも言い切れないと述べています。
同氏は次のように語ります。「攻撃者は、自らが達成しようとする目的に応じて必要な戦術・技術・手順(TTP)を使い分けます。今回のキャンペーンに求められる規模や連携の度合いを見る限り、背後にいるのは十分に組織化された攻撃者であり、技術的にはさらに高度な攻撃も可能だと考えられます。これを踏まえると、攻撃者の狙いは広範な混乱を引き起こし、オペレーターや対応要員に打撃を与えることに主眼を置いていると、私はある程度の確信を持って評価しています。多くの点で、これはこれまで見てきたハクティビストの典型的な手口と一致していますが、犯行声明や、率直に言えば攻撃者側からの『宣伝』が見られない点は、これまでとは異なる要素です」
翻訳元: https://www.darkreading.com/ics-ot-security/multistate-water-system-attacks-widen-iran-suspected
