2026年7月26〜27日、ハッカーはミネソタ州の少なくとも30の自治体水道システムへの侵入を試みた。その後、事情を熟知した関係者によると、ミシガン州、ニュージャージー州など複数の州でも類似のサイバー攻撃が報告されている。

攻撃者は公共事業事務所で使用される管理用コンピュータへの侵入は試みなかった。代わりに、数百万人に飲料水を供給するポンプやバルブなどの設備を制御する小型組み込みコンピュータ、すなわちプログラマブルロジックコントローラ（PLC）の制御権の掌握を狙った。

公共事業事業者は制御コンピュータをシャットダウンし、人員を現場に派遣して設備を手動で操作することで攻撃に対処した。当局者は、インシデントの全期間を通じて飲料水は安全な状態を維持していたと述べている。

これらの攻撃で用いられた手法は、サイバーセキュリティ研究者によれば、国際的なサイバー作戦で典型的に見られるパターンと一致している。Wiredの報道によれば、イランと結びついているとされるハッカーに対して当初の疑いが向けられているが、米国政府はまだ攻撃を特定の主体または国家に正式に帰属させていない。

上下水道システムは連邦政府が指定する16の重要インフラセクターの1つであり、これらの攻撃は米国の産業インフラに対する国家関与の探査がより広範にエスカレートする中で発生している。2021年2月には、攻撃者がフロリダ州オルズマーの浄水場に遠隔アクセスし、操作員が介入する前に水酸化ナトリウムの濃度を危険なレベルまで引き上げようとした。2023年後半には、イラン関連のハッカーがペンシルベニア州アリキッパの自治体水道局のPLCの制御を掌握した。2026年のインシデントは、単一の施設ではなく、複数の州にわたる数十の公共事業事業者が組織的に標的にされた点で特筆すべきである。

水道システム制御の仕組み

連邦政府のデータによると、米国には約152,000の公共飲料水システムがある。その大部分は3,300人未満の顧客にサービスを提供し、わずかな人数のスタッフで運営されており、この構造的現実がセクター全体のサイバーセキュリティ構想を長年にわたり複雑化させてきた。自治体の水は通常、湖、貯水池、河川、または地下帯水層から取水される。ポンプがパイプを通じて水を浄水場に送り、そこでろ過と消毒が行われる。追加のポンプが処理済みの水を貯水タンクに押し込み、その後配水管を通じて家庭や事業所に送水される。これらのシステムは何平方マイルにもわたって広がることがある。

ハッカーが標的にしたPLCは、幅広い産業用設備を操作する小型コンピュータである。これらのコントローラーは水圧、水質、タンク水位、設備状態などの条件を測定するセンサーのデータを読み取り、ポンプ、バルブ、アラームを自動的に操作する。家庭用サーモスタットが分かりやすい例えとなる。温度を読み取り、暖房・冷房システムに指示を出す仕組みである。

PLCはまた、公共事業の中央コンピュータシステムに運用データを送信する。作業員はダッシュボードを使用して情報を監視し、コントローラーにコマンドを送信する。この双方向通信は有線ネットワーク、無線またはセルラーリンク、あるいはインターネット接続を通じて行われる。

多くの公共事業は少数のスタッフで運営されており、リモート接続が不可欠となっている。リモート接続により、従業員は遠隔地のポンプやタンクを監視し、時間外のアラームを受信し、またベンダーが各現場に出向くことなく設備の診断を行うことができる。

インターネットを使用するコントローラーは、直接接続するか、保護用ファイアウォール、セキュアゲートウェイ、または仮想プライベートネットワーク（VPN）を経由する場合がある。直接アクセスは、コントローラーと潜在的な攻撃者の間に存在する防御障壁が少ないため、より脆弱である。ハッカーはインターネットをスキャンしてコントローラーのインターネットプロトコル（IP）アドレスを特定し、その後、弱いまたは盗まれたパスワードの使用、または既知のセキュリティ欠陥の悪用を試みることができる。

セキュアゲートウェイまたは暗号化サービスで保護されたコントローラーに到達するには、ハッカーはリモートアクセス資格情報を盗むか、ゲートウェイまたはプライベートネットワークを侵害するか、または操作員のワークステーションを乗っ取って足がかりを確立する必要がある。

アクセスの試みは、情報収集、防御のテスト、または将来の作戦に向けた恒久的な侵入経路の確立を目的とした、より長期的な戦略の一部である可能性もある。

攻撃の構造

産業用制御システムに対する攻撃は通常、認識可能なシーケンスに従う。侵入は多くの場合偵察から始まる。攻撃者はインターネットに直接リンクされたシステムを探して、露出したコントローラー、ダッシュボード、サードパーティのリモートアクセスサービスのインターネットアドレスをスキャンする。研究者は、Shodan（インターネット接続デバイス向けの検索エンジン）などのツールを通じて、数千の水道セクターのPLCやヒューマンマシンインターフェースがパブリックインターネット上に露出していることを日常的に発見している。

次に、攻撃者はデフォルトまたは盗まれたパスワード、未修正の脆弱性、または設定ミスのリモートアクセスサービスを探す。高度なマルウェアは必ずしも必要ない。2023年、米国当局はイラン関連のハッカーが水道事業で使用されるインターネット接続型Unitronics PLCを標的にしたと報告した。サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）によると、一部の公共事業は依然としてメーカーのデフォルトパスワードを使用していた。

最終段階で、攻撃者は得たアクセス権を悪用する。これには、パスワードの変更、コマンドの送信、またはコントローラーのソフトウェアの改ざんの試みが含まれる可能性がある。米国国立標準技術研究所（NIST）の研究者は、侵入者が正当な制御命令を悪意のあるコマンドに置き換える可能性があると指摘している。攻撃者はフィッシングを通じてオフィスのコンピュータに潜入し、その後コントローラーネットワークに侵入することも可能である。

数十年にわたり稼働している産業用設備は、最新のセキュリティ機能をサポートしていない可能性があるため特に脆弱である。公共事業は運用の中断を避けるため、アップデートを遅らせることが多い。

報告によれば、ハッカーはインターネット上で直接通信するコントローラーを通じてミネソタ州の水道システムにアクセスした。FBIおよび環境保護庁の7月30日の合同勧告（IC3 PSA）は、攻撃者がインターネットに直接接続されたRockwell Automation MicroLogix PLCにリモートアクセスし、そのIPアドレスとパスワードを変更したと述べている。

防御対策

公共事業が講じることができる最も即効性のある保護策は、コントローラーとヒューマンマシンインターフェースダッシュボードをインターネットからの直接露出から除去することである。ミネソタでの攻撃を受け、CISAは水道事業者に対し、この設備を適切に設定されたファイアウォールやその他の安全策の背後に配置するよう要請した。

リモートアクセスが必要な場合、公共事業は通信をセキュアゲートウェイまたはVPN経由でルーティングし、多要素認証を要求し、最小特権アクセス制御を実施すべきである。また、デフォルトパスワードの変更、未使用のリモートアクセスサービスの無効化、ベンダー承認済みアップデートのインストールを行うべきである。

CISAはインターネット露出ダッシュボードに関するガイダンスにおいて、運用ネットワークを電子メールやその他の業務システムから分離し、両システム間の横展開をより困難にすることを推奨している。

さらに、公共事業はコントローラープログラムのバックアップ、リモートアクセス活動のログ記録、システムの復元と手動操作の訓練を行うべきである。

連邦の重要インフラフレームワークの下で水道セクターの担当機関として機能するEPAは、セクター全体にサイバーセキュリティ基準を施行するための法定権限を議会に求めてきた。現在のところ、水道事業は、北米電力信頼性公社（NERC-CIP）基準によって規制される送電網に拘束されているものと同等の連邦サイバーセキュリティ義務の対象となっていない。このギャップに対処するために過去の議会会期で提出された法案は進展していない。

リソースの格差

限られた予算と人員で運営される農村部の水道事業は、米国の重要インフラにおける重大な脆弱性を代表している。ボランティアのサイバーセキュリティ専門家のグループが水道事業に指導を提供しているが、そのリーチは限られている。小規模な公共事業は、十分な防御を構築するために政府の資金援助や共有サイバーセキュリティサービスを必要とする可能性がある。Water Information Sharing and Analysis Center（WaterISAC）などのセクター固有の情報共有組織は脅威アラートを提供しているが、小規模システムでの導入は依然として不均衡である。

William Akotoはアメリカン大学国際奉仕大学院のグローバルセキュリティ准教授である。本記事はThe Conversationからクリエイティブ・コモンズ・ライセンスの下で転載されている。