英国の小規模発電施設への攻撃と米国の水道システムへの攻撃は、戦時下におけるサイバー戦術の拡大傾向を示しています。防御に必要な資金や人員を持たない小規模施設のインターネット接続型産業機器が標的になっているのです。
英国の小規模な発電事業者を4日間にわたりオフラインに追い込んだサイバー攻撃は、停電を引き起こすこともなければ、国家送電網のいかなる部分をも脅かすこともありませんでした。しかも、当初非難の対象となったイラン系ハッカーによる犯行でさえなかった可能性があります。
しかし、この事件は西側諸国の重要インフラに存在する重大な弱点を浮き彫りにしています。数千に及ぶ小規模の発電施設や水道システムなどの産業施設は、老朽化した運用技術（OT） — 露出したプログラマブルロジックコントローラー（PLC）、セルラーモデム、リモート管理システムなど — を、大規模施設が備えるようなセキュリティ対策なしにインターネットへ接続しており、地政学的対立が続く現在、格好の標的となっています。
英国の各紙は、7月に発生した身元不明の発電施設への攻撃について、イラン系ハッカーによる攻撃だったと報じました。英国政府は事件の発生自体は認めているものの、施設の特定や攻撃者の手口の開示、イランへの帰属認定は行っていません。
マイケル・シャンクスエネルギー大臣は、一部の過熱した報道を鎮めようと、当該施設は「ごく小規模」なものだと述べ、多くの人が「発電所」と聞いて想像するような規模とはかけ離れていると説明しました。それでも英国政府は、エネルギー業界幹部への説明会を実施し、規制当局や国家サイバーセキュリティセンター（NCSC）と連携して脅威の評価と防御策の強化に着手しました。
公開されている情報が限られているため、今回の事件がイランによる作戦なのか、別の攻撃者による便乗的な侵入なのか、あるいは全く別の何かなのかを断定することはできません。「APT Iran」を名乗るオンライン上の人物は、この攻撃への関与を否定しています。
「実際に何が起きたのかを示すフォレンジック証拠は何も得られていません」と、Team Cymruで検知・S2脅威分析担当バイスプレジデントを務めるジョシュ・ピコレ氏はCSOに語ります。「証拠がない以上、オフラインにせざるを得ないほど深刻な事態だったと考えるしかありません」
Dragosのフィールド最高技術責任者（CTO）を務めるフィル・トンキン氏はCSOに対し、現時点で得られている情報からは、今回の事件が運用機器に関わるものであり、米国の水道施設のプログラマブルロジックコントローラー（PLC）を標的とした攻撃と類似していることがうかがえると述べています。
ただしトンキン氏は、この事件に関する公開情報が報道機関を経るごとに次第に劇的な内容へと変化していったと注意を促します。小規模なエネルギー施設での事案が、公式な裏付けとなる情報がないにもかかわらず、発電所やガス火力ピーク発電施設への攻撃として報じられるまでにエスカレートしていったというのです。
「これまで報じられてきた内容は、複数の仮説が積み重なり、規模が誇張されて伝わっていったもののように見えます」と同氏は述べています。
米国の水道システムから英国の発電施設へ
英国で実際に何が起きたにせよ、それは米国でより具体的に確認されているパターンに合致しています。
連邦捜査局（FBI）と環境保護庁（EPA）は7月30日、少なくとも7つの州の水道・下水道事業者が、インターネットに露出したロックウェル・オートメーション製MicroLogix 1100および1400のPLCへの攻撃を報告したと発表しました。攻撃者はIPアドレスとパスワードを変更し、事業者は接続機器の監視・制御を失う事態に陥りました。
CISA(米国サイバーセキュリティ・インフラセキュリティ庁)はその後、この攻撃キャンペーンの規模はさらに大きいとの見方を示し、7月にはインターネットに露出した水道分野のシステム100件以上を標的とした悪意ある活動を確認したと述べています。Clarotyのフィールド最高技術責任者（CTO）を務めるショーン・タフツ氏はCSOに対し、同社では同じキャンペーンにおいておよそ40〜50社の顧客で侵害の痕跡（IoC）を確認しており、そのうち数件は正式なインシデント対応を要する状況だと語りました。「攻撃側は実際に成功を収めています」と同氏は述べています。
両機関によると、一部の攻撃では水圧の低下や浸水被害が発生しました。少なくとも1件の被害施設では、改ざんされたPLCのプロジェクトファイルや、機器を制御するラダーロジックの不整合が確認されています。運用面での影響は、コントローラーが管理していた対象や、施設が手動運転に切り替えられるかどうかによって異なりました。
政府はこれらの事件のすべてをイランによるものだと公式に断定しているわけではありません。しかし、以前発表された複数機関合同の勧告では、イラン関連の攻撃者が露出したPLCを悪用し、設定用ソフトウェアを使って悪意ある変更を加えていたことが説明されていました。
被害を受けた州の数についても、報道内容に食い違いが生じています。APT Iranは、一部メディアが報じたよりも少ない数の州での攻撃しか認めておらず、その一方で英国への侵入は否定しています。一部の作戦は認めつつ他は否定するという、奇妙な組み合わせです。
「APT IranやCyberAv3ngersのようなグループが自ら攻撃を主張しているのを見ても、それがイラン政府によるものだとは限りません」とトンキン氏は語ります。「防御側にとっては、実際のところそれはあまり重要ではありません。防御側が知る必要があるのは、何が脆弱で、それらの資産をどう守ればよいかということです。なぜなら、こうした手法は誰にでも模倣できるからです」
この曖昧さ自体がイランにとって有利に働いている可能性もあります。比較的高度とは言えない攻撃であっても、見出しを飾り、不確実性と政治的圧力を生み出す一方で、政府による強硬な対応を促すほどの明確なフォレンジック証拠は残さずに済むからです。
米国とその同盟国に通常戦力で対抗できない攻撃者にとって、サイバー作戦は敵対国の本土に紛争を持ち込む比較的安価な手段でもあります。
「もし意味のある形で実行に移せれば、壊滅的な被害をもたらしかねません」とピコレ氏は語ります。同氏の推測では、その狙いは、たとえ戦いがサイバー空間にとどまるものであっても、国内に戦火を持ち込むことで「敵対国に損害を与える、あるいはその意志をくじく」ことにあるのかもしれません。
現時点では、こうした作戦は破壊的というより、あくまで混乱を引き起こす程度にとどまっています。侵害された産業システムのスクリーンショットを公開することで不安をあおり、注目を集める点にこそ、当面の狙いがあるのかもしれません。
重要インフラの「ロングテール」問題
英国と米国の事件に共通する、より重要な点は、必ずしも攻撃者の正体ではありません。標的そのものにあります。
両国とも、大手電力会社や石油・ガス企業、大手製造業者は概して規制の下で運用されており、産業機器を公衆インターネットに直接接続しないよう設計された正式なリスク管理プログラムやセキュリティアーキテクチャを備えています。
一方、小規模な自治体運営の水道システムや農村部の協同組合、地域所有の施設には、こうした強みがほとんど備わっていません。
デジタル化は確かに実質的な恩恵をもたらしました。技術者が遠隔地にあるポンプ場や発電施設の状態を確認するために、わざわざ現地まで足を運ぶ必要がなくなったのです。セルラーモデムとリモート管理インターフェースがあれば、何マイルも離れた場所から機器を監視・調整できます。
しかし、その同じ接続が、数十年前に設計され、メーカーがインターネット経由の攻撃者に晒されることなど想定していなかった機器を、危険にさらすことにもなっています。
「効率化をもたらしたものが、そのまま資産の露出につながってしまっています」とトンキン氏は語ります。「小規模な組織では、技術者がそうした接続を行うのを止めるガバナンスが存在しません。非常に脆弱な機器が何千、何万台とインターネットに直接つながっているのです」
こうした小規模システムは、個々に見れば国家送電網や水道供給全体に及ぼす影響はわずかかもしれません。しかし、集合的に見れば、特に攻撃者が多数の拠点にまたがって作戦を調整したり、電力・水道・製造・輸送・通信の各事業者間の依存関係を突いたりすれば、広範囲にわたる混乱を引き起こす機会を生み出すことになります。
タフツ氏は、こうした構図の前例としてコロニアル・パイプラインの事例を挙げます。1本のパイプラインを運営する一企業に対するランサムウェア攻撃が、自社の顧客をはるかに超える範囲にまで燃料不足の波及効果を及ぼしました。「大手石油メジャーの操業にまで支障を及ぼしていました」と同氏は語ります。
PLCを公衆インターネットから切り離し、手動運転への備えを
最も急を要する防御策は、いずれも目新しいものでも技術的に複雑なものでもありません。
FBIとEPAは、PLCを直接インターネットに露出させないようにし、リモートアクセスは監視下に置かれたゲートウェイの背後に配置するよう推奨しています。事業者は、セルラーモデムのセキュリティを確保し、デフォルトや脆弱なパスワードを置き換え、ファイアウォールやアクセス制御リストで通信を制限し、物理またはソフトウェアのキースイッチを「稼働」位置に固定して不正な変更を防ぐべきだとしています。
施設側はまた、PLCプログラムの正常な状態のコピーを保管しておき、稼働中のロジックに改ざんがないか点検し、機器を手動で操作できる体制をテストしておく必要があります。
インターネットに露出させる必要のない機器は、切断するか、管理されたインターフェースの背後に配置すべきだとピコレ氏は述べます。切断できない機器については、事業者は検証済みの代替手段を用意しておく必要があると同氏は付け加えます。
「『電源を切ることはできない』と言うのであれば、何か事が起きた際に手動モードへ切り替えるか、機能を無効化するかの計画を用意しておくべきです」とピコレ氏は語ります。事業者は、攻撃者に先んじて露出したシステムを特定し、従業員が安全な手動状態への切り替えを実際に訓練しておくことを徹底すべきだとしています。
ただし、従業員数が少なく、技術的な専門知識も限られ、予算も地元の料金負担者によって賄われている小規模事業者にとって、これは容易なことではありません。大手電力会社とは異なり、地域所有の施設には、正式なリスク管理プロセスも、従来型のOTセキュリティプログラムを構築するために必要な規模の経済も、いずれも欠けている場合があります。
米ホワイトハウスは現在、水道事業者が露出した機器を特定し是正するのを支援するため、民間のサイバーセキュリティ企業を動員するプログラムを準備中です。
大規模インフラ事業者にも果たすべき役割があります。各社の最高情報セキュリティ責任者（CISO）が、農村部の水道施設や独立系の発電事業者のセキュリティを直接管理しているわけではありませんが、自社の組織がそうした施設に依存していたり、物理的あるいはデジタル的に接続されていたりする場合があるからです。
「CISOや大規模組織は、自社が実際にエネルギー供給網の中で何に依存しているのかを見極め、そうしたパートナーをどう巻き込んでいくかについて、できることが数多くあります」とトンキン氏は語ります。
同氏は、必要とされるアプローチを、大規模な暴風被害の後に電力会社が用いる相互支援協定になぞらえました。全国各地から作業班が駆けつけて被災地域の復旧を支援する仕組みであり、各事業者が単独で対応に当たるわけではありません。
「こうした小規模事業者を支援するのは非常に難しく、だからこそサイバー空間においてコミュニティ全体として、こうした課題への取り組みをもっと強化していく必要があると考えています」とトンキン氏は語ります。「彼らには予算もなければ、リソースもないのです」
同時に、こうした事業者は、脅威の主体が誰であるかにかかわらず、自らが直接制御できないリスクから自身を守らなければなりません。
「サイバー防御の観点から言えば、相手が火星人だろうがイラン人だろうがアメリカ人だろうが、そんなことはどうでもいいのです」とタフツ氏は語ります。「私たちはもっと備えを強化する必要があります。誰かがそうした能力を持っていることを証明して見せているのなら、その警告を真剣に受け止めるべきです」
