セキュリティ
「これらはより大規模な攻撃に向けた予行演習だ」
人気記事
米政府は、犯罪者らが7月のサイバー攻撃においてインターネットに露出した水道システムを100件以上標的にしていたことを明らかにしました。連邦当局がこの種の侵入活動について具体的な件数を示したのはこれが初めてですが、イランとの関連が広く疑われているこの攻撃キャンペーンについて、特定の攻撃グループへの帰属特定にはまだ至っていません。
米国のサイバー防衛を統括するCISA(サイバーセキュリティ・インフラセキュリティ庁)は、「2026年7月、CISAは水道・下水道システム(WWS)セクターにおいて、インターネットに露出した100を超えるシステムを標的とした悪意あるサイバー活動を確認した。多くの場合、セルラーモデムに直接接続されたプログラマブルロジックコントローラ(PLC)を経由するものだった」と述べ、PLCを直接インターネットに接続することは「重大なセキュリティリスクを生み出しかねない」と付け加えました。
イラン関連と疑われる攻撃者は7月、少なくとも12の州にまたがる水道・下水道施設を標的にし、その中にはインターネットに露出したPLCも含まれていました。連邦当局も州当局もこの12州すべてを特定したわけではありませんが、これらのサイバー攻撃は主に小規模で地方の水道事業者で発生しており、被害があったのはミネソタ州、ミシガン州、ジョージア州、サウスダコタ州、ニュージャージー州であることが分かっています。
マーリン・グループの最高戦略責任者であり、CISAでサイバー部門の代理責任者を務めた経験を持つマット・ハートマン氏はThe Registerに対し、「これは非常に深刻な事態だ。注目すべきは個々のインシデントではなく、その規模そのものだ」と語りました。
ハートマン氏は「インターネットに露出した資産を持つ100を超える水道システムがわずか1か月の間に被害を受けたという事実は、単発の不運な標的が続いたということではなく、業界全体に及ぶ構造的な脆弱性を示している」と述べています。「このインフラの多くは、閉鎖的で物理的な環境向けに構築された運用技術(OT)の上で稼働している。オープンなインターネットからアクセス可能になることなど、そもそも想定されていなかったのだ」
OTおよびIoTセキュリティを手掛けるViakooの副社長ジョン・ギャラガー氏は本誌に対し、米国内の水道事業者全体から見れば100件という数字はごく一部(約0.5%)に過ぎないものの、「本当の脅威は、これらがより大規模な攻撃に向けた予行演習だという点にある」と語りました。
100件を超える水道関連インシデントは7月に発生したものですが、つい先週には米連邦政府機関5つが、攻撃者がAIで生成したエクスプロイトスクリプトを使い、水道、製造、エネルギーなどの重要インフラ施設でインターネットに露出したシーメンス製S7シリーズPLCへの侵入を試みていると警告を発したばかりです。
ハルシオン・ランサムウェア・リサーチセンターの上級副社長シンシア・カイザー氏は1週間前、The Registerに対し、「これはイランとの関連が疑われるPLCを狙った一連の活動の延長線上にあるとみられる」と語っています。
元FBIサイバー部門副次官補でもあるカイザー氏は、「イラン関連の攻撃者やその他の敵対勢力は、運用技術を幅広く積極的に標的にしている。これらのPLCは社会全体における重要な保健、安全、重要インフラを下支えする存在だからだ」と付け加えました。
サードパーティのアナリストの多くはこの侵入活動の背後にイランがいると見ていますが、米連邦政府はこれまでのところ、攻撃を特定の主体に帰属させていません。
ハートマン氏は「サイバーインシデントにおける攻撃者の特定は本質的に困難であり、多くの場合時間を要する。敵対勢力は自らのインフラを意図的に隠蔽し、ツールや手法を使い回し、侵害済みのシステムを経由して活動を行うため、政府としては公に責任の所在を断定する前に慎重を期す必要がある」と述べました。
同氏はさらに、「今回のケースでは、CISAは最も重要なことを実行した。つまり、水道セクターの運用者が自らのシステムを防御できるよう、迅速に実用的な情報を提供したのだ」「防御側の視点から見れば、当面のところ『誰が』行ったかよりも、攻撃がどのように行われているかを理解し、それを止めるための対策を講じることの方が重要だ」と付け加えています。
CISAは勧告の中で、各組織に対しPLCをインターネットから切り離すこと、そしてリモートアクセスが必要な場合はPLCに直接接続するのではなく、VPNやゲートウェイ機器を経由するよう推奨しています。
同サイバー防衛機関はまた、事業者に対しパスワード保護を有効にすること(本誌としては多要素認証を推奨します)、デフォルトパスワードは必ず変更することも助言しました。さらに、許可IPリストによるリモートアクセスは、既知のエンジニアリング用ノートパソコンやその他の重要なOT資産からのみに限定するようにとも呼びかけています。®
