脅威アクターは、プライベートセルラーアクセスポイント名(APN)ネットワークを利用して、侵害した風力発電所からOT(運用技術)環境へと横展開しました。
標的となったのはポーランドの熱電併給発電所で、攻撃者はシーメンス製プログラマブルロジックコントローラー(PLC)を妨害し、コジェネレーション(熱電併給)運転を一時的に停止させました。
2025年12月29日に発生したこの侵入は、約50,000人の住民にサービスを提供するCHP施設に影響を及ぼし、蒸気タービンとプロセス水処理システムを停止に追い込みました。
運用担当者は、顧客への熱・電力供給に影響が及ぶ前に施設を復旧させました。
攻撃チェーンは風力発電所から始まりました。攻撃者はファイアウォールとVPNコンセントレーターを兼ねるFortiGateアプライアンスへのアクセス権を得ていました。
このインターネット公開VPNは、多要素認証を要求せずにローカルで設定されたアカウントを受け入れており、分散型エネルギー環境における高価値な足がかりとなっていました。
このネットワークから、攻撃者は配電系統事業者(DSO)のプライベートAPNに接続されたTeltonika RUTX50セルラールーターを特定しました。
このAPNはDSOのSCADAインフラとリモート端末装置(RTU)間の通信を担うことを目的としていましたが、その設計により接続機器間でのピアツーピア到達性が可能になっていました。
攻撃者はルーターの管理機能にアクセスし、SSHを使ってAPN内へのトンネルを構築しました。
CERT Polskaの研究者によると、その後の調査で、この事案はプライベートAPNがOTネットワークへの横展開経路として利用された、実世界で確認された初の事例であることが明らかになりました。
今回被害を受けた施設に導入されていたルーターモデルは、デフォルトでLANインターフェース上にWeb管理インターフェースとSSHサービスを公開する仕様でした。
12月18日以降、攻撃者はプライベートネットワーク内でVNC、HTTP、Modbus、シーメンスS7の各サービスをスキャンしました。そして最終的にCHP施設内のWAGO PFC200コントローラーを特定しました。
このコントローラーのWAN側管理インターフェースはAPNからアクセス可能な状態にあり、adminアカウントにはデフォルトの認証情報が設定されたままでした。
シーメンス製PLCネットワーク
このデバイスへの認証を突破した後、攻撃者はSSHを有効化し、今度は発電所の内部OT環境へと通じる別のトンネルを構築したとみられます。
CHPネットワーク内部では、攻撃者は12月18日から12月25日にかけて偵察活動を行いました。
攻撃者はファイアウォールの管理インターフェース、リモートアクセスサービス、そして産業システムを対象にスキャンを行い、シーメンスS7用のTCP/102、Modbus用のTCP/502、CODESYS用のTCP/11740を調べました。
このスキャン手順から、攻撃者がSCADAホストとコントローラーこそがプロセス妨害への最短経路であることを理解していたことがうかがえます。
12月29日の朝、攻撃者はSCADA Webインターフェースにアクセスし、S7経由でシーメンス製S7-300、S7-1200、S7-1500の各PLCに接続しました。
施設の担当者は、これらのコントローラーがSTOPモードに切り替えられ、動作状態や制御ロジックの変更を防ぐパスワードで保護されていることを確認しました。
その結果、単なる管理面にとどまらない運用上の影響が生じました。蒸気タービンが停止し、水処理システムがプロセス水の生成を停止、コジェネレーション運転も中断されました。復旧のため、運用担当者は影響を受けたPLCを工場出荷時設定にリセットし、バックアップからロジックを再読み込みする必要がありました。
この対応によって停止時間は抑えられたものの、同時にコントローラー内に残っていた証拠も消去されてしまいました。シーメンスのProductCERTは、ログが復旧不可能であったことを確認しています。
妨害行為はシーメンス製機器にとどまりませんでした。攻撃者は7台のMoxaシリアルデバイスサーバーと3台のMoxaスイッチの設定を改ざんし、認証情報を変更した上で、127.0.0.1のような到達不能なアドレスを割り当てました。
さらにABB製ドライブのWebインターフェースにもアクセスし、シュナイダーエレクトリック製の可変周波数ドライブへのアクセスも試みましたが、こちらは失敗に終わりました。
撤退前に、攻撃者はWAGOコントローラーのパーティションテーブルを破壊し、工場出荷時リセットを行ってもブート不能な状態にしました。
また、Teltonikaルーターと最初に侵害されたFortiGateデバイスもリセットしており、この行為が復旧作業を妨げるとともに、フォレンジック記録を消去する結果となりました。
今回の事案は、プライベートAPNが自動的に信頼できるOT通信経路になるわけではないことを改めて示しています。
CERT Polskaは、クライアントの分離、APNゲートウェイとOT資産間の厳格な許可リスト設定、集中ログ管理、外部からアクセス可能な管理サービスの排除、認証情報の適切な管理、そしてペネトレーションテストにおけるAPNの明示的な対象化を推奨しています。
今回の事案は、同日にポーランドの再生可能エネルギー施設30カ所以上とその他の組織を標的とした、より広範な破壊的キャンペーンと関連しています。
2026 Agentic SOC Buyer’s Guideを活用すべき理由とは? 8つの主要プラットフォームを徹底比較 – 2026年版バイヤーズガイドをダウンロード
翻訳元: https://gbhackers.com/siemens-plc-network/
