米国の水道システム、1カ月で100カ所以上がハッカーの標的に 連邦機関が確認

2026年7月、米国の水道事業者は集中的なサイバー攻撃の波に見舞われました。インターネットに露出した産業制御システムが、攻撃者に運用技術(OT)への直接的な侵入経路を与えていたことが分かっています。

サイバーセキュリティ・インフラセキュリティ庁(CISA)によると、2026年7月中に米国の水道・下水道システム(WWS)分野において、インターネットに露出した100カ所以上のシステムが悪意ある攻撃者の標的となりました。複数のケースで、攻撃者はプログラマブルロジックコントローラー(PLC)にリモートアクセスし、デバイスの設定を変更したほか、事業者による設備の監視・制御能力を妨害していました。

CISAによると、攻撃者は露出していたPLCにリモートアクセスし、デバイスのIPアドレスやパスワードを変更していました。一部のケースでは、事業者が監視・制御能力を失う事態にも至りました。運用上の支障につながったインシデントもありましたが、飲料水汚染が広範囲に及んだことを裏付ける確定情報は現時点でありません。

報道によると、この攻撃キャンペーンはミネソタ州、ミシガン州、ジョージア州、サウスダコタ州、ニュージャージー州など、少なくとも12州の水道事業者に影響を及ぼしました。ミネソタ州単独でも、30カ所を超えるコミュニティ水道システムで悪意ある活動が確認されています。

弱点はリモートアクセス

CISAの警告は、見過ごされがちなある問題に重点を置いています。それは、利便性のために追加されたものの、そのまま露出状態で放置されていたリモートアクセスです。

「セルラーモデムを介してPLCを直接インターネットに接続することは、重大なセキュリティリスクを生む可能性があります」とCISAはガイダンスの中で述べています。

同庁は、不要なリモートアクセスを排除し、正当な接続についてはPLCやヒューマンマシンインターフェース(HMI)、リモートターミナルユニット(RTU)に直接接続するのではなく、セキュアなゲートウェイやファイアウォール、VPN、あるいは一元管理されたソリューションを経由させるよう推奨しています。

水道事業者はまた、デフォルトパスワードの変更、セキュリティパッチの適用、サポート終了機器の交換、可能な限りの多要素認証の導入も行うべきだとしています。このガイダンスでは、ベンダーや契約業者との接続を確認することも推奨されています。これが重要なのは、サードパーティが事業者自身の資産管理台帳には現れないインターネット接続機器を持ち込んでしまう可能性があるためです。

攻撃者の特定は依然として不明

米政府は、7月のこの攻撃キャンペーンを特定の脅威アクターによるものと公式には断定していません。

CISAが示した件数は標的となったシステムの数を示すものであり、必ずしも侵害が成功したケースや侵害を受けた個別の事業者数を意味するものではありません。また、すべてのインシデントが同一の攻撃者によるものだと確定しているわけでもありません。

今回の7月の攻撃キャンペーンは、中小規模の水道事業者が直面する厳しい現実も浮き彫りにしています。サイバーセキュリティ対策は、日々の運用上の要求や限られたリソースと競合せざるを得ない状況にあるのです。

水道事業者にとって当面の教訓は、リモートアクセスを一切なくすことよりも、何が外部に露出しているかを正確に把握することにあります。

CISAは、事業者に対しインターネットに接続された機器の棚卸しを行い、不要な直接接続を排除し、ベンダーや契約業者が設置・保守しているシステムを検証するよう推奨しています。ShodanやCensys、Shadowserverといった露出発見サービスも、一般のインターネットからアクセス可能なシステムを事業者が特定する際の助けとなります。

サイバーセキュリティ担当の人員が限られる中小規模の事業者にとっては、こうした可視化こそが最も重要な最初の一歩と言えるでしょう。自らのPLCが外部に露出していることを把握していなければ、そもそも防御のしようがないからです。

その他のニュース: 医療機器メーカーのBoston Scientificがサイバー攻撃を受け、世界規模で事業運営が混乱し、顧客からの注文処理・出荷能力にも支障が生じました。完全復旧の見通しは今のところ立っていません。