米国内の飲料水・下水処理施設を標的とした一連の連携型サイバー攻撃について、連邦および州当局が調査を進めています。イランとの関連が疑われる脅威グループが、水道事業者を含む各種産業システムの監視・制御に使われるプログラマブルロジックコントローラー(PLC)の脆弱な機器を標的にしています。
この攻撃の影響を受けたのは、ミネソタ州、ミシガン州、ジョージア州、サウスダコタ州、ニュージャージー州を含む少なくとも12州の水道事業者です。
脅威が最初に公に発覚したのはミネソタ州で、7月26日から27日にかけて「連携型攻撃」により30を超える地域水道システムが標的となりました。ハッカーはPLCに加え、水位や水温を監視するダッシュボードであるヒューマンマシンインターフェース(HMI)も攻撃しました。
サウスセントポール、プリマス、メープルプレーン、ブラハムの各当局は攻撃を受けたことを認めていますが、水の安全性には影響がなかったとしています。
ジョージア州では、クレイトン郡水道局が、7月27日の攻撃によりOTシステムが一時的に中断したと発表しました。当局は煮沸消毒勧告を発令し、検査により水の供給が安全であることを確認したうえで、数時間以内にサービスを復旧させました。
ニュージャージー州当局は7月に確認された2件のサイバーインシデントに対応し、FBIおよびCISAとともに影響を受けた水道事業者と連携して対応にあたっています。両インシデントともインターネットに公開された脆弱な機器が関係しており、これにより運用担当者が一時的に遠隔での監視・管理ができなくなりました。
「いずれのケースでも、担当スタッフは迅速に手動操作に切り替え、サービスが中断することはありませんでした」と、ニュージャージー州国土安全保障・準備局の広報担当者はCybersecurity Diveに語りました。「その間も、顧客は安全な飲料水を途切れることなく利用できていました」
脆弱なPLC機器
今回の攻撃は、CISAとFBIが水道・エネルギー分野における脆弱なPLCへの標的拡大について7月に警告 を発表してから数日後に始まりました。ハッカーは当初、イラン戦争開始直後の数週間にロックウェル・オートメーション製のPLCを標的にしていましたが、ここ数カ月でシュナイダーエレクトリックおよびシーメンス製PLCにも攻撃対象を拡大しています。
ロックウェル・オートメーションは3月、レガシーな認証バイパスの脆弱性に関する更新警告を発表しました。これはStudio 5000 Logix Designerソフトウェアに存在するCVE-2021-22681として追跡されている脆弱性で、悪用されると攻撃者が許可されていないサードパーティ製ツールを使ってLogixコントローラーの設定を改変できるおそれがあります。
これら新たに標的となった機器には、シュナイダーエレクトリックのBMX P34/Modicon M340 PLC、およびシーメンスのS7-1200シリーズPLCが含まれます。米当局は水曜日、水道分野を含む複数の産業分野でインターネットに公開された、あるいはサポート終了となったシーメンスS7シリーズ機器を標的とする、より広範なAIを活用したハッカーによるキャンペーンについて警告を発しました。
ハクティビストによる攻撃
水道システムに対する脅威は、決して新しい現象ではありません。たとえばイランと関係のある攻撃者は、2023年のガザ戦争開始以降、イスラエルと米国の水道システムを標的にし続けています。イスラム革命防衛隊の支援を受けるグループ、CyberAv3ngersは、米国内の複数のサイバー攻撃において脆弱なUnitronics製PLCを標的にしていました。
バイデン政権は、水道事業者のセキュリティ強化を図るべく州・地方当局との連携を進めました。EPA(米環境保護庁)の監察官室が2024年に実施した調査では、全米の数百の水道事業者に脆弱性があることが判明しています。
農村部の水道システムを支援するための複数の取り組みも行われており、その一つが全米農村水道協会(National Rural Water Association)とシカゴ大学の支援を受けたDEF CON Franklinです。
イランに関連する水道・エネルギーシステムへの攻撃は、今年2月に米国とイスラエルによる爆撃作戦が行われた後、さらに勢いを増しました。FBIとCISAは、これらの攻撃が運用の中断や金銭的損失につながったと警告しています。
当局は、7月の攻撃の背後にイランと関係のあるグループがいると見ています。ただし、複数のグループが関与していたのかどうかについては疑問も残っています。ミネソタ州当局は今回の攻撃を「連携型」と呼びつつも、すべての攻撃が同一の攻撃者によるものかどうかは明らかではないと述べています。
Check Point Researchによると、今月初め、APT Iranと名乗るグループがミネソタ州への攻撃について犯行声明を出し、CyberAv3ngersと協力していたと主張しました。このハッカーらはさらに、送電網や通信システムへのアクセス権も持っているとの追加の主張も行っています。
サイバー規制強化を求める声
連邦当局と業界団体は現在、水道事業者への追加の攻撃を防ぐため、より強力な規制監督と追加のリソースを求めて共同で動いています。EPAは7月下旬、水道業界の数百に上る関係者を集めた電話会議を開催し、主要な業界団体は新たな法制化を推進しています。
全米水道会社協会(NAWC)は、EPAに対して統一的なサイバーセキュリティ基準の策定について助言を行う水リスク・レジリエンス組織を新設する超党派法案を、議会が可決するよう求めています。NAWCの関係者は、こうした組織は電力業界の規制を担う北米電力信頼度協議会(NERC)と同様の形で運営されるべきだと述べています。
「私たちはこれまで以上に協力し合う必要があります」と、NAWCの社長兼CEOであるロバート・パウェルソン氏はCybersecurity Diveに語りました。「私たちの誰一人として、コンプライアンス基準の遵守を免除されるべきではありません」
米国水道協会(AWWA)は上下両院の指導部に書簡を送付し、追加の資金提供、サイバーセキュリティ研修の対象拡大、情報共有の改善など、同様の支援を求めています。
私たちの誰一人として、コンプライアンス基準の遵守を免除されるべきではありません。
ロバート・パウェルソン
全米水道会社協会(NAWC) 社長兼CEO
各州は、地域水道システムに対する高まるリスクに対処するため、即座に対応を取っています。今月初め、ニューヨーク州のキャシー・ホークル知事は水道施設の保護強化に向け900万ドルの助成金を発表しました。この助成金は、侵入テストやリスク評価といったティア1の改善策、あるいはファイアウォール、ネットワークセグメンテーション、インシデント対応計画といったティア2の改善策に充当できます。
この助成金プログラムに詳しい関係者によると、ニューヨーク州は今回のサイバー攻撃で影響を受けた州には含まれていないとのことです。
多層防御(Defense in Depth)
連邦当局が調査を続け、業界のリーダーたちが議会に新たな法制化を働きかける一方で、現場の水道システム運用担当者は、目前の脅威からシステムを守るためリアルタイムでの判断を迫られています。
7月の攻撃により、影響を受けた多くの水道事業者で一時的な業務の中断が発生し、場合によっては水圧の低下や浸水も起きました。それでも今のところ、運用担当者はより破滅的な影響を回避できています。
「攻撃者がここで狙っていることの一部は、単に恐怖心をあおることではないかと考えています」と、アクセンチュアでマネジングディレクター兼サイバーインテリジェンス責任者を務めるライアン・ウィーラン氏は述べています。
攻撃者がここで狙っていることの一部は、単に恐怖心をあおることではないかと考えています。
ライアン・ウィーラン
アクセンチュア マネジングディレクター兼サイバーインテリジェンス責任者
連邦当局とPLCベンダーは、水道事業者に対し、多要素認証によって環境を強化すること、機器をオープンなインターネットから切り離すこと、複雑なパスワードに変更すること、サポート終了となったソフトウェアをサポート対象のバージョンに置き換えることを、繰り返し呼びかけています。
CISAとFBIの勧告によれば、ファイアウォールはPLCへのアクセスを制限するように設定すべきであり、機器のスイッチは「run(稼働)」の位置に維持し、ソフトウェアのダウンロードや既存アプリケーションの更新を行う場合に限り「remote(遠隔)」または「program(プログラム)」の位置に切り替えるべきだとしています。
一方でOT分野の専門家は、水道事業者に対し、自社のネットワーク全体を徹底的に点検し、あらゆる侵入経路を保護するよう助言しています。
「それは、攻撃者になったつもりで環境にアプローチするということです」と、OTセキュリティ企業Frenosの最高技術責任者(CTO)兼共同創業者であるハリー・トーマス氏は述べています。「制御システムへのあらゆる侵入経路を洗い出し、どの経路がPLCやその他の重要な運用資産につながっているかを見極め、たった一つの侵害された認証情報、ベンダー接続、あるいはセルラーモデムが複数の防御層を突破してしまうような箇所を見つけ出すことです」
