米連邦当局によると、脅威アクターがAIを使って、水道、エネルギー、製造業をはじめとする重要インフラ分野で使用されているシーメンス製S7シリーズプログラマブルロジックコントローラー(PLC)のうち、インターネットに露出しているものを狙うエクスプロイトスクリプトを作成しているといいます。
PLCとは、工場や浄水場、発電所においてバルブの開閉やポンプの稼働、機械の制御を行う小型の産業用コンピューターです。
NSA、CISA、FBI、エネルギー省(DOE)、環境保護庁(EPA)は水曜日に共同勧告を発表し、「これは理論上のリスクではなく、現実に進行中の脅威である」と警告しました。
特に標的とされている分野として、重要製造業、エネルギー、上下水道、化学、食品・農業、商業施設が挙げられています。
攻撃の手口
勧告には次のように記されています。「脅威アクターは、オープンソースの産業オートメーションライブラリ、具体的にはsnap7.dll/python-snap7を、AI支援によるスクリプト作成と組み合わせて利用し、正規のOT監視ソリューションを模倣するカスタムツールを作成しています。これらのツールはS7comm通信プロトコルを介して、シーメンス製S7シリーズPLCのメモリ、設定データ、ラダーロジックプログラムへの読み書きアクセスを可能にします」
さらに次のようにも述べています。「AIによるエクスプロイトスクリプトの生成は脅威アクターの能力進化を象徴するものであり、動作するICSエクスプロイトスクリプトや悪意あるツールの開発に必要な技術的専門知識と時間を大幅に削減します。加えて、AIによって攻撃者は追加の攻撃ベクトルを迅速に活用し、防御策への適応も容易に行えるようになります」
勧告によると、攻撃者はCensysやZoomEyeといったツールを使ってインターネットをスキャンし、露出している、あるいはセグメンテーションが不十分なシーメンス製S7デバイスを探し出したうえで、そうしたデバイスに設定されたデフォルトあるいは脆弱な認証情報を悪用して侵入しているといいます。
影響を受ける製品ラインは、S7-200(全CPUバリアント)、S7-300(314、315、317の各モデルを含む)、S7-400(全バリアント)、S7-1200(CPU 1211CからCPU 1217C)、そして安全コントローラーであるFシリーズを含むS7-1500です。
各当局はこの活動を、持続的な偵察活動および攻撃能力の開発段階にあるものと評価しています。
当局は次のように述べています。「作戦上の影響を及ぼす準備として、攻撃者は読み取りアクセス権を活用して標的環境を把握し、将来的な書き込み操作による妨害やその他の作戦上の影響を引き起こすための準備・態勢構築を進めています」
推奨される対策
各組織に対しては、ネットワーク上のシーメンス製S7デバイスをすべて棚卸しすること、セキュリティパッチを適用すること、PLCをインターネットに接続しない状態に保つこと、アクセス制御を強化すること、不正な活動を監視すること、PLCのサービスやプロトコルを堅牢化すること、そして侵害の兆候がないか調査することが求められています。
システムインテグレーターやサードパーティのサービスプロバイダーに依存している組織は、この勧告をそうした関係者と直接共有することが推奨されます。資産の所有者自身が、自社のPLCがそもそもインターネットから到達可能な状態にあることに気づいていない場合があるためです。
産業システムを狙い続けるイラン関連ハッカー
今回の勧告では、特定の集団や国家への帰属は明示されておらず、一貫して「脅威アクター」とのみ表現されています。とはいえ、そのパターンは以前の警告と類似しています。
4月には、CISAと関連当局が、イランと関係のあるアクターがインターネットに接続されたロックウェル・オートメーション製PLCを悪用していると警告していました。7月に発表された更新情報では、観測された標的の範囲がシュナイダーエレクトリックおよびシーメンス製デバイスにも拡大しています。
その更新情報の発表から数日後の7月26日と27日には、ミネソタ州内30以上の地域水道事業体のOTシステムを狙った協調的なサイバー攻撃が発生しました。セキュリティ研究者は、攻撃の時期や標的の選定パターンから、イランと関係の深いグループ「CyberAv3ngers」が今回の侵入の背後にいるとみています。
翻訳元: https://www.helpnetsecurity.com/2026/08/20/usa-ai-attacks-siemens-s7-plcs-critical-infrastructure/
