米連邦政府機関は、ハッカーが国内の上下水道施設、工場、エネルギー施設など重要インフラで使用されている産業用制御システムを活発に標的にしていると警告している。

国家安全保障局（NSA）、連邦捜査局（FBI）、エネルギー省、環境保護庁（EPA）、サイバーセキュリティ・インフラ安全保障庁（CISA）は水曜日、シーメンスのS7シリーズ・プログラマブルロジックコントローラー（PLC）を狙う「活発な脅威」が存在すると発表した。これらの機器は、製造業、エネルギー、上下水道、化学、食品・農業などの分野において産業設備の監視と制御に使用されている。シーメンスの制御装置は過去にも大規模な産業サイバー事件の中心にあった。2010年に発覚したStuxnetマルウェアはシーメンスS7 PLCを操作してイランのナタンス核関連施設の遠心分離機を物理的に破壊しており、コードが設備を破壊しうることを示した画期的な事例として今なお引用されている。

勧告によると、攻撃が成功すれば重要な業務の中断、施設のオフライン化、設備の損傷、安全上の危険を招くおそれがある。当局はまた、侵害が相互接続されたシステム全体に連鎖的な障害を引き起こす可能性があると警告した。

政府は、ハッカーが人工知能（AI）を活用してこの種の攻撃を容易にするケースが増えており、産業システムを攻撃できるツールの開発に必要な専門知識や時間を大幅に削減していると述べた。勧告によると、攻撃者はインターネット上で露出した、あるいは保護が不十分なシーメンス製コントローラーを走査し、AIが生成したツールを使ってアクセスの獲得を図っている。

連邦政府機関によると、この活動は部分的には、標的となったシステムを研究し、将来の業務を妨害する能力を構築することを狙っているとみられる。こうした攻撃は生産、公共サービス、サプライチェーンに影響を及ぼすほか、設備の損傷や長期のダウンタイムを引き起こす可能性がある。当局はまた、特に外部ベンダーが産業設備にリモートアクセスできる場合など、一部の運用者は自らのシステムが露出していることに気づいていないおそれがあると注意を促した。

この警告は、サイバーセキュリティ専門家がイランとの関連を疑う地方水道システムへのサイバー攻撃の連続発生を受けたものだが、連邦政府当局はこれらの事件を正式にテヘランの仕業とは断定していない。CISAは7月30日、プログラマブルロジックコントローラーを標的とする攻撃が大幅に増加していると警告した。その数日前には、イラン系のハッカーがシーメンス、ロックウェル・オートメーション、シュナイダーエレクトリック製の産業設備を悪用していたと同庁が明らかにしていた。

懸念が強まったのは、ミネソタ州が7月26日と27日、地方水道システムに関わる少なくとも30件のサイバー事件の発生を報告した最初の州となってからだ。連邦政府当局はこれらの攻撃についてイランへの非難には踏み込んでいない。ドナルド・トランプ大統領は7月31日、テヘランが関与したとは考えていないと述べ、事件についてミネソタ州を批判した。水道分野では以前にもリモート侵入を受けており、2021年にはフロリダ州オールズマーで、侵入者が浄水場にリモートアクセスして薬品の設定値を引き上げようとし、操作員が変更を差し戻した事例があった。

今回の警告は、単に企業データを保管するのではなく物理的な設備を制御するシステムである運用技術（OT）の脆弱性を浮き彫りにしている。情報窃取に焦点を当てた従来型のサイバー攻撃とは異なり、産業用制御システムへの攻撃は直接的な物理的・経済的影響をもたらしうる。公益事業の中断、生産の停止、高価な設備の損傷を招く可能性がある。その影響は個々の施設にとどまらず、相互接続された産業システムに依存する企業やサービスにも及ぶおそれがある。

シーメンスは木曜日、自社の産業用制御システム製品について攻撃水準の上昇や従来未知の脆弱性は検出していないと述べた。同社はFOX Businessに対し、この警報を認識しており、CISAと協調していると明らかにした。

「シーメンスはProductCERTチームを通じて、影響を受ける可能性のある顧客に対し本件に関する最新情報を提供していきます。現時点では、シーメンスのICS製品において攻撃水準の上昇や未知の脆弱性は確認していません」と同社の広報担当者は述べた。

施設運用者にとって、外部ベンダーによるリモートアクセスを含めた気づかれない露出に関する当局の注意喚起は、「誰が自社のコントローラーにアクセスできるか」を把握するという差し迫った実務課題を指し示している。シーメンスは後続情報をProductCERTチームを通じて提供すると述べており、CISAもプログラマブルロジックコントローラーを標的とする攻撃について警告を継続的に発出している。これにより、運用者には今後の動向を注視すべき公式の情報源が2つそろったことになる。

本記事の作成にはロイターの協力を得た。