2026年7月、英国の小規模発電施設がサイバーインシデントにより約4日間にわたり操業を停止したとされています。
この活動は報道においてイラン関連のハッカーと結び付けられていますが、英国政府および国家サイバーセキュリティセンター(NCSC)は、このインシデントをイランや特定の脅威グループによるものと正式には認定していません。
Cybersecurityconsulting
この事案は8月22日、The Telegraph紙がイラン関連とみられる攻撃者が英国のエネルギー施設を妨害したと報じたことで公になりました。
その後のFinancial Times、Reutersなど各メディアの報道によれば、今回の停止の影響を受けたのは主要な発電所ではなく、小規模な発電機であったとされています。
エネルギー安全保障・ネットゼロ省は、「小規模なエネルギー発電機」に関わるサイバーインシデントの発生を認めましたが、事業者名や施設、使用されている技術については明らかにしていません。
英国のマイケル・シャンクス・エネルギー相は、影響を受けた設備は一般的な発電所と比べれば「ごく小規模」なものだったと述べました。同氏は、消費者への電力供給に影響はなく、電力網全体にも支障はなかったこと、そして国家のエネルギー安全保障を脅かすものではなかったことを強調しています。
それでも当局は、今回の事案を受けてエネルギー業界の幹部への説明を行い、規制当局やNCSCとの連携を継続しました。
もっとも、電力網全体への影響が限定的であったとしても、物理的な発電施設が複数日にわたって停止したことによる運用面での影響が軽視されるわけではありません。
これまでに公表された情報の中で、技術的に最も注目すべき点は、復旧までに4日間を要したという事実です。
公開されている報道では、今回の停止が運用技術(OT)への直接的な干渉によるものなのか、エンジニアリングシステムやリモート管理システムの侵害によるものなのか、あるいはインシデント封じ込めのための予防的な停止によるものなのかは説明されていません。
産業環境においては、悪意あるアクセスを排除するだけでは復旧は完了しません。機器を稼働に戻す前に、コントローラーのロジック、エンジニアリング用ワークステーション、安全制御機構、ネットワークセグメンテーション、プロセス構成などを検証する必要がある場合があります。
ThreatMonの研究者らによれば、影響を受けた施設は出力約15MWのガス火力ピーク発電所だったとされています。この種の施設は、需要が高まる時間帯に追加の発電を供給する役割を担っています。
イラン関連のサイバー攻撃
重要な点として、今回の侵入経路を裏付ける権威ある技術的な報告はまだ存在していません。フィッシング、認証情報の窃取、脆弱性の悪用、マルウェアの展開、OTネットワークへの侵入拡大(ラテラルムーブメント)のいずれについても、公式な確認は取れていません。
影響を受けた施設の特定や、使用されている産業用制御システムのベンダー、そしてインターネットに接続されたシステムの有無についても、いまだ公表されていません。今回のインシデントに特化した侵害の痕跡(IOC)も公開されていません。
この点が重要なのは、エンジニアリング用ワークステーションの侵害や産業用システムとのやり取りについて、詳細な内容を主張する複数の二次情報が出回っているためです。
事業者、NCSC、政府、あるいはインシデント対応調査担当者による裏付けがない限り、こうした主張を確定的な攻撃経路として扱うべきではありません。
運用面での影響が報告されているという事実だけでは、PLC(プログラマブルロジックコントローラー)への直接的な操作が行われた証拠にはなりません。
今回のインシデントは、米国内でインターネットに露出した産業環境を標的とするイラン関連のとみられる攻撃活動への懸念が高まっている時期と重なっています。
7月22日、CISAおよび関連機関は共同サイバーセキュリティ勧告AA26-097Aを更新し、イラン関連とみられる攻撃者が重要インフラ分野全般にわたってPLCを標的にしていると警告しました。
Cybersecurityconsulting
この更新では、対象とされるベンダーの範囲がRockwell Automation/Allen-Bradley、Schneider Electric、Siemensの各システムにまで拡大されたほか、再利用可能なPLCコードモジュールへの悪意ある改変を検知するためのガイダンスも追加されました。
この勧告は、イラン関連とみられる攻撃者が同時期に、エネルギー分野や水道分野で使用されるシステムを含め、到達可能なOTデバイスを積極的に狙っていたことを示しています。
しかし、これが英国での事案と技術的に結び付くことを示すものではありません。今回の英国での停止と、AA26-097Aで説明されているPLCを標的とした活動との間には、公表されているインフラの重複、マルウェアの相関関係、共通のIOCセット、特定された攻撃者、あるいは確認された戦術・技術・手順(TTP)の一致は、いずれも存在していません。
それでもこの事案は、OTセキュリティが抱える根深い課題を浮き彫りにしています。それは、たとえ喪失が国家全体の電力供給を脅かさない規模の施設であっても、運用面では脆弱になり得るということです。
分散型の発電施設は、リモート管理、産業用エンジニアリングシステム、サードパーティによる接続、デジタル制御されたプロセスに依存していることが多く、資産の可視性、認証、復旧手順が不十分であれば、重大なリスクにつながりかねません。
英国の防御担当者にとって重要な教訓は、15MW分の電力が一時的に失われたこと自体ではありません。サイバーレジリエンスは、最大規模の発電所だけでなく、重要インフラを集合的に支えるより小規模で分散した資産にも及ばなければならないという点にあります。
★ 削減すべきセキュリティツールはどれか?1ページで評価する方法 – 「継承されたセキュリティスタックガイド」をダウンロード
翻訳元: https://gbhackers.com/iran-linked-cyberattack/
