日曜深夜、正体不明のサイバー犯罪者(またはグループ)が、フランス国内の数百の食料品店に設置された、数千台の遠隔制御式冷凍・冷蔵システムをハッキングしました。庫内温度は急上昇し、食品は傷み、火災も発生しました。現実世界に被害をもたらす物理システムへの攻撃は、今も続く傾向の一例です。
8月には、ランサムウェア攻撃によってカナダの病院のビル管理システムが停止に追い込まれ、ドアのアクセス制御や空調(HVAC)の集中監視、職員用アクセスカードの発行に影響が出ました。
3年前には、ラスベガスのカジノがサイバー攻撃を受けました。スロットマシンは停止し、決済キオスクやATMは現金を出せなくなりました。電子キーも使えなくなり、宿泊客が客室に入れない事態にもなりました。
デジタルへの侵入が、サイバー空間の中だけで完結するとは限りません。攻撃者はファイルを暗号化したりデータを盗んだりしなくても、混乱を引き起こせます。物理システムへの攻撃は、より深刻な影響をもたらすことが多く、経営陣に身代金の支払いを迫る圧力も一段と強まります。
Semperisのシニアインシデントレスポンスコンサルタント、Tim Beasley氏はThe Registerの取材に対し、次のように語りました。「ある案件では、顧客が支払いを拒否していました。すると攻撃者は『お手並み拝見だ、オフィスに入れるものなら入ってみろ』とばかりに、全員を締め出したのです」
Beasley氏は顧客名を明かさず、身元が特定されうる情報も提供しませんでした。ただ、このインシデント対応では、同氏のチームが侵害されたデータを復旧しただけでなく、警察が窓ガラスを割る場面もあったといいます。
「警察が突入するしかなく、文字どおり建物に押し入って窓を何枚か割りました。それで、顧客はようやく中に入れたのです」と同氏は説明しました。顧客が身代金を支払ったのかを尋ねると、Beasley氏は「いや、まさか。払うわけがない」と声を上げました。
ServiceNow傘下のArmis Labsが今月初めに公表したレポートは、ランサムウェア攻撃者が侵入時に物理的な被害を交渉の材料にしている証拠が増えていると指摘しています。レポートは「現在のBASはITとOTの世界の接点で稼働しており、かつてないリスクにさらされている」と述べています。
物理的な被害を伴うランサムウェア
ビルオートメーションシステム(BAS)は、施設の空調、照明、エネルギー使用量、水使用量を制御・監視する重要なシステムです。入退室用のバッジリーダー、ドアロック、監視カメラ、火災報知設備の制御盤といった物理的な安全設備も管理しています。
このためBASは、ランサムウェアの運営者にとって非常に魅力的な標的です。強い圧力をかけて、組織に数百万ドル規模の身代金を支払わせる手段になるからです。破壊的なサイバー攻撃で心理的にも物理的にも最大の打撃を与えたい、政府系の攻撃者やハクティビストにとっても、BASは狙い目です。
Armis Labsの調査では、回答組織の73%が、ランサムウェア攻撃に使われた実績のあるBASを保有していました。同じ73%の組織が、少なくとも1つのビルオートメーションシステムに、悪用が確認済みの脆弱性を抱えています。さらに、BASの91%は安全性の低いプロトコルで通信しています。物理的な被害を狙うサイバー犯罪者にとって、攻撃対象領域はさらに広がっています。
ServiceNowの脅威リサーチ担当シニアディレクター、Michael Freeman氏はThe Registerに次のように話しました。「ビル管理システムや物理システムへの攻撃に共通する最大の特徴は、攻撃者にとって格好の隠れ場所になることです。侵入しやすく、身を隠しやすいのです」
BASやOT(制御技術)全般は、ITシステムに比べてセキュリティ対策が手薄です。多くのシステムは継続的な稼働が求められるため、パッチ適用はもちろん、脆弱性や設定ミスのスキャンさえ難しくなります。停止につながるおそれがあるからです。
Freeman氏は具体例を挙げました。「ある大手金融機関のケースでは、攻撃者はBMS(ビル管理システム)を攻撃して目立たないよう潜み、そこからIT環境へ移動していました」
攻撃者は金融機関のITシステムで繰り返し発見され、排除されていました。そこでBMSにバックドアを仕込み、OTとITの両方のネットワークに居座り続けられるようにしたのです。
「VxWorksや古いUnix系システムのようなマイナーなOSを使うビルオートメーションシステムについて、攻撃者がAIで理解を深めている様子も確認しています」とFreeman氏は述べました。
AIの登場
これまで複数のセキュリティ専門家が取材で語ってきたように、隠蔽によるセキュリティはもはや成り立ちません。AIによって、攻撃者はバグを見つけやすくなりました。きわめてマイナーなものや、数十年前から存在するものも含まれます。それだけでなく、重要なネットワークや施設に破壊的なサイバー攻撃を仕掛けるのに、犯罪者がOTの専門家である必要もなくなりました。AIを使えば、産業用制御システムを長年ブラックボックスにしてきた、マイナーなプロトコルや独自仕様のハードウェア・ソフトウェアについて、一通り学べるからです。
Freeman氏は、攻撃者が航空機の墜落や、それに類する壊滅的なサイバー攻撃を狙う例を挙げ、「制御の中身を理解しやすくなっています」と述べました。
Freeman氏によると、従来は政府系の高度なハッキング部隊でさえ「設定を変えたら何が起きるか分からないため、慎重に息を潜めていました」。同氏はこう続けます。「今ではAIを使って、『航空会社の重量・重心バランスシステムを侵害したら、この数値をあの数値に変えるだけで、機体の右側に重い荷物を積むよう指示できる。均等な配分ではなくなる』と見極められるのです」
Freeman氏は、過去に攻撃者が航空会社のOT機器に侵入したのを確認したことがあるといいます。「ただ、攻撃者は自分たちが何に侵入したのか理解しておらず、手を出さずに放置しました。そうした事例は懸念材料です。過去には、私もその種のシステムから攻撃者を排除する手助けをしたことがあるからです」と同氏は語りました。
狙われる産業組織が増加
OTセキュリティ企業のDragosは、犯罪グループがリークサイトに掲載する産業組織への犯行声明を追跡しています。製造業などの重要分野に影響した、公に開示された侵入事案も追っています。ただし、リークサイト上の主張が常に正確、あるいは真実とは限らず、主張があったからといって、業務や制御システムが実際に攻撃されたことにはなりません。
それでも、2022年以降は「件数が一貫して増え続けている」と、Dragosのシニア脅威アナリスト、Lexie Mooney氏はThe Registerに述べました。
同社は2023年に、産業組織を狙った995件のランサムウェア攻撃を確認しました。2022年から49.5%の増加です。この件数は2024年には87%以上も急増しました。
産業組織を標的とする活動中のランサムウェアグループも、2024年には前年の50グループから80グループに増えました。
Dragosは2025年に、119のランサムウェアグループが3,300以上の産業組織に影響を与えたと追跡しています。インシデントは今年も四半期ごとに着実に増えており、2026年第1四半期は1,020件、第2四半期は1,140件でした。
Dragosのシニア脅威アナリスト、Abdul Alamri氏は次のように話しました。「大半のケースは、機会を狙った攻撃です。物理システムやOTの運用に影響が出たケースもありますが、それはランサムウェアグループが機会主義的に動いた結果にすぎません」
Alamri氏は、OTシステムが複雑であることも一因だと付け加えました。「ランサムウェアグループが望むのは、業務を妨害し、被害者に身代金を支払うよう圧力をかけることです。複雑なシステムを狙うために、時間と労力をかけたいとは考えていません」
金銭目的の犯罪者にとっては、通常はITシステム経由で業務に影響を与えるほうが手早く簡単です。2025年8月に発生したJaguar Land Rover(JLR)の侵害では、恐喝犯がまさにその手口を使い、製造が止まり、数カ月にわたって事業運営が大きく損なわれました。
インターネットに接続されたOT、次の「狙いやすい標的」
一方、この複雑さの裏返しとして、多くの組織自身がいまだに自社のOT環境を十分に把握できていません。
Dragosの推計では、十分なネットワーク監視を導入しているOTネットワークは世界で10%未満です。さらに、同社が2025年に対応したインシデントの30%では、調査のきっかけは検知アラートではありませんでした。現場の誰かが運用上の「何かがおかしい」と気づいたことが発端でした。
Alamri氏は、この可視性の欠如とAIによる脅威が重なることを懸念しています。「これまで人間による脅威を見てきましたが、近い将来にはAIエージェントが、そうしたシステムへの侵入を絶え間なく試みる事態に直面しかねません。適切な対策を講じなければ、かなり暗い未来になります」
General Dynamics Information Technology(GDIT)でサイバー・新興脅威担当VPを務めるMatt Hayden氏によると、組織がITシステムのパッチ適用や防御を強化するにつれ、攻撃者は、侵害が現実世界に影響を及ぼすインターネット接続型のOTシステムに目を向けるとみられます。
Hayden氏はThe Registerに次のように語りました。「ITの狙いやすい標的を減らせるようになるにつれ、OTはずっと厳しく精査され、はるかに注目される攻撃経路になると、私たちは皆予想しています」
Hayden氏はGDITに加わる前、米国土安全保障省(DHS)でサイバー・インフラ・リスク・レジリエンス政策担当の次官補を務めていました。
コンプライアンスとセキュリティ
同氏は次のように述べました。「コンプライアンスを目的としたハードウェアの接続に、大きな注目が集まっています。しかし、コンプライアンスの名のもとに、本来は接続する必要のない機器のバックドアを開けてしまわないよう、確認しなければなりません」。同氏は、コンプライアンス目的で現在インターネットに接続されているシステムの例として、冷凍・冷蔵設備を挙げました。
この発言は、フランスのスーパーマーケットへのハッキングが起きる前のものです。
冷凍・冷蔵設備の監視システムがインターネットに接続されているのは、所有者や運営者が規制当局に対し、規制に沿って設備の稼働と温度が維持されていることを証明できるようにするためです。
「保健当局が検査に来ても、『冷蔵庫は過去72日間ずっと27度でした』と示すだけでチェックが付き、最高評価をもらえます。ところが、その単純な接続が、当該の冷却設備を妨害の標的にされる経路にもなるのです」とHayden氏は述べました。
この取材から約1週間後、犯罪者がまさにそれを実行しました。
Hayden氏はその後のメールで、こう伝えてきました。「最近報告された業務用冷凍・冷蔵設備の悪用は、デジタル上の価値を持たない機器の一例です。機密データも、企業ネットワークへの広範なアクセスもありません。それでも、パッチ未適用のファームウェアのままインターネットに接続されていたために悪用されました」
同氏は、攻撃の帰属先は「国家機関というより、パッチ未適用のシステムで何ができるかを探る、機会を狙った攻撃者の可能性が高い」とみています。
Hayden氏は「結果として生じるのは小規模な食料供給の劣化ですが、より重大な運用機器であれば、はるかに大規模な被害が短期間で起こりうることを示す重要な事例です」と述べています。®
