サイバー脅威
米国の重要インフラを狙う継続中のPLC悪用攻撃について連邦機関が警告
TrendAI™ Researchが、継続中のPLC悪用攻撃に関してCISAが更新した共同アドバイザリの変更点、本活動が2023年の類似キャンペーンよりも危険となり得る理由、そして組織が自らを守るために今すぐ実行できる対策を解説します。
- 複数の連邦機関がCISAの共同アドバイザリを更新し、攻撃者がオペレータの画面表示を改ざんし、担当者が画面上の異常を視覚的に検知できない状態にしていたと警告しました。
- 攻撃者はインターネット上に露出したPLCをスキャンし、正規のエンジニアリングソフトウェアを使用して、権限を持つ技術者と同じ方法で接続していました。
- 2026年7月の更新では、対象メーカーの範囲がRockwell Automation / Allen-BradleyからSchneider ElectricおよびSiemensの機器にまで拡大されたほか、共有・再利用されるコードモジュールに隠された不正な変更を検知するためのガイダンスが追加されました。
- 2023年の類似キャンペーンがほぼ実害を伴わなかったのに対し、今回の継続中の活動では、被害組織の一部で業務の中断と金銭的損失が実際に確認されています。
- 標的となった分野には、米国全土の政府施設、水道システム、エネルギーインフラが含まれます。
- TrendAI Vision One™ プラットフォームは、本活動に関連する侵入の痕跡（IoC）を検出・ブロックします。IoCの一覧は本記事の末尾に記載しています。
米国の重要インフラを物理的に動かしている機器を狙った継続中の攻撃について、6つの連邦機関がアドバイザリを更新しました。対象には市政サービス、浄水場、電力施設などが含まれます。このアドバイザリは2026年4月に初めて公開され、7月22日に改訂されたもので、攻撃者がこれらのシステムを現在も積極的に標的としていると警告しています。
この活動では、攻撃者がインターネットに露出した産業制御システム（ICS）をスキャンし、正規のエンジニアリングソフトウェアを使って、権限を持つ技術者と同じ方法で接続します。侵入後は、機器の動作を指示する命令にあたる、コントローラの制御ロジックを書き換えます。場合によっては、オペレータの画面に表示される内容まで変更します。これらの攻撃は、現場の担当者が画面上の異常に気付けないように、意図的に設計されています。
共同アドバイザリ「AA26-097A」（英語）には、連邦捜査局（FBI）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、国家安全保障局（NSA）、環境保護庁（EPA）、エネルギー省、米サイバー軍が連名で署名しています。同アドバイザリは、国家支援型および高度標的型攻撃（APT）の攻撃者が、米国の行政サービス、水道システム、エネルギーインフラ全体にわたり、インターネットに露出したプログラマブルロジックコントローラ（PLC）を積極的に悪用していると警告しています。
PLCとは何か、なぜ「物理的」な問題なのか
PLCとは、物理的な機器を動かす制御ロジックを実行するために作られた、堅牢化された専用の産業用デバイスです。かつてこの役割を担っていた電気機械式リレーの集合体を置き換えたもので、固定配線の代わりに再プログラム可能なロジックを採用しています。バルブを開き、ポンプを起動し、圧力を保ち、ブレーカーを遮断するのは、このPLCです。
PLCは制御ロジックをデバイス自体の上で実行するため、ネットワーク接続の有無にかかわらず物理プロセスを動かせます。今回の活動を可能にしているのは、その多くがネットワーク経由でも到達可能である点です。攻撃者が悪用しているのは、まさにこの到達可能性にほかなりません。
本インシデントに関わる重要な用語として、ほかに次の2つがあります。
- プロジェクトファイル： コントローラの動作方法を定めた設計図です。Rockwell Automation / Allen-Bradleyの機器では、Studio 5000 Logix Designerで作成されるバイナリ形式の「.ACD」ファイルがこれにあたり、ロジック単体にとどまらず、ラダーロジック、タグデータベース、I/Oおよびコントローラの構成、プログラム全体の構造まで格納しています。簡単に言えば、「圧力が上限を超えたらバルブを閉じる」といったルールを保持するものですが、個々のルールだけでなく、運転設定の全体を収めたものです。
- ヒューマンマシンインターフェース（HMI）： 機器の稼働状況を確認し、操作するためにオペレータが監視する画面です。
この3つを組み合わせると、継続中の悪用活動の核心は簡単に説明できます。攻撃者はコントローラに到達し、設計図を複製し、人間の目に映る表示を書き換えるのです。実際の産業環境は、PLCが制御しない機械的プロセスや、依然として人手に依存する工程も含む、はるかに複雑なものですが、攻撃者が操作しているのは、まさにこの限られた領域です。
2023年の攻撃との違い
2023年11月、イラン革命防衛隊サイバー電子司令部（IRGC-CEC）系列のグループであるCyberAv3ngers（Hydro Kitten、Shahid Kaveh Group、Storm-0784の名でも追跡されています）が、米国の水道施設で少なくとも75台のPLCを侵害しました（英語）。これらのデバイスはデフォルトの認証情報のまま稼働していたため、問題は単純で、対策も単純でした。パスワードを変更すればよかったのです。
連邦機関は、同一グループによる犯行と正式に名指しこそしていないものの、継続中の攻撃について、2023年の攻撃と一致する活動内容を報告しています。現在の悪用活動は、次の3つの点でより高度になっています。
- ツールの高度化： デフォルトパスワードに頼る代わりに、攻撃者はRockwell純正のStudio 5000 Logix Designerという正規のエンジニアリングソフトウェアを、有効な認証情報とともに使用しています。ネットワークの視点では、この接続は技術者による正当な作業にしか見えません。
- 対象範囲の拡大： 2026年4月の初版アドバイザリは、Rockwell Automation / Allen-BradleyのCompactLogixおよびMicro850コントローラを中心としていましたが、2026年7月の更新では、Schneider ElectricやSiemensのPLCをはじめとする他ブランドにまで範囲が広がりました。
- 実害の発生： 2023年のキャンペーンはほぼ実害を伴いませんでしたが、継続中の悪用活動では、一部の被害組織で業務の中断と金銭的損失が実際に発生しています。
今回のアドバイザリ更新では、目立ちにくいものの深刻なリスクも指摘されています。再利用可能なコードモジュール、すなわち多数のPLCプログラムに一括して組み込まれる共有ロジックブロックの内部に隠された、不正な変更です。改ざんされたモジュールは、それを再利用するすべてのプロセスに変更を持ち込むため、たった一度の編集が事業全体に波及しかねません。信頼済みの構成標準や仕様が詰まった、運用者自身のエンジニアリングライブラリが、サプライチェーン問題へと変わってしまうのです。今回の更新で追加された検知ガイダンスは、まさにこの事態を捕捉するためのものです。
脆弱性を必要としない攻撃
継続中の活動に関連するトラフィックは、次の5つのポートで確認されました。
- 22（SSH）
- 102（ISO-TSAP。主にSiemens STEP 7およびS7commプロトコルで使用されますが、ICCPなど他のプロトコルもこのポート上で動作します）
- 502（Modbus TCP）
- 2222（EtherNet/IPのimplicitメッセージング。時間制約の厳しいI/O向けにUDP上で動作します）
- 44818（EtherNet/IPのexplicitメッセージング。TCPのみで、設定および診断に使用されます。主にRockwell Automation / Allen-Bradley製品に関連しますが、Wagoなど他のベンダーも使用します）
これらのトラフィックは、いずれもソフトウェアのバグに依存していません。攻撃者はインターネットに露出したPLCをスキャンし、正規のエンジニアと同じ方法で接続します。これはパッチで修正できる問題ではなく、アーキテクチャ上の弱点です。こうしたコントローラが、十分なネットワークセグメンテーション、認証によるアクセス制御、リモートアクセスの堅牢化を施されないまま導入されているためです。Shodanの公開スキャンデータによると、現在も74,000台を超えるICSデバイス（英語）がインターネットから直接到達可能な状態にあります。2017年以降の大半の期間で維持されていた約120,000台（英語）という水準からは減少しているものの、その多くは依然としてデフォルトの認証情報のまま、あるいは認証情報なしで稼働しています。
セキュリティ推奨事項
こうした攻撃への防御は、大部分が設定とアクセス制御の問題です。したがって、新たなハードウェアの導入も長期の調達サイクルも必要とせず、すぐに着手できます。以下の手順は、「今週中に実施すべきこと」「今四半期中に是正すべきこと」、そして「業界自体が運用者と組織に対して果たすべきこと」の順に並べています。
今週中に実施すべきこと
- PLCをインターネットへの直接露出から切り離す。 すべてのリモートアクセスを、多要素認証（MFA）を備えたセキュアゲートウェイまたは踏み台ホスト経由に集約し、現場接続に使用するセルラーモデムについても認証とログ記録を徹底します。
- 物理モードスイッチが利用可能な場合は活用する。 ハードウェアキースイッチをRUNに設定し、PROGRAMまたはREMOTEへの切り替えは、監督下で実施される保守作業の時間帯に限定します。一部のコントローラでは、スイッチ位置がネットワークコマンドで上書きされる場合があるため、インターネット露出の解消やリモートアクセスの制御と組み合わせた多層防御の一層として運用するのが最も効果的です。
- 公開済みのIoCをログから検索する。 ファイアウォール、侵入検知システム、ネットワーク監視のログを対象に、アドバイザリに記載されたIPアドレスをポート22、102、502、2222、44818について検索します。特に、海外のホスティング事業者からのトラフィックに注意してください。
今四半期中に是正すべきこと
- ソフトウェアキースイッチのプログラミング保護を有効化する。 Rockwell製品の運用者は最新のSD1771ガイダンス（英語）に従い、Siemens製品の運用者はTIA Portalで保護を設定（英語）してください。
- PLCのロジックと構成をオフラインでバックアップし、復元テストを実施する。 バックアップは、PLCが接続されているネットワークから分離された、安全な物理メディアに保管します。
- 当面の対応にとどまらない堅牢化を進める。 すべてのOT（運用技術）環境へのリモートアクセスにMFAを強制し、不要なOTポートを境界でブロックし、Telnetやデフォルトのウェブインターフェースといった未使用のサービスを無効化した上で、既知の正常状態（ベースライン）との比較による構成変更の監視を継続的に行います。
ベンダーへの説明責任の要求
このアドバイザリは、すべてを運用者側の責任として片付けてはいません。メーカーに対しても、次の点を直接求めています。管理インターフェースを初期設定でインターネットに公開しない製品を出荷すること、MFA（フィッシング耐性のある方式を含む）をサポートすること、そして製品を安全に稼働させるために必要な基本的セキュリティ機能への追加料金の徴収をやめることです。産業機器を調達する（英語）組織は、これらを購入の必須条件とし、契約書に明記すべきです。
継続的な検証
侵入手法が正規のソフトウェアと有効な認証情報によるものである場合、ある一時点での評価だけでは、翌月もその環境が守られているかどうかはほとんど分かりません。アドバイザリ自体も、これらの対策を一度確認して終わりにするのではなく、継続的に検証することを推奨しています。インターネットからOT環境へ何が到達可能かを把握し、セグメンテーションが機能しているはずだという想定ではなく、実際に機能しているという事実を確認すること。それこそが、アドバイザリを読むだけの組織と、行動に移す組織との分かれ目です。
TrendAI Vision One™ XDR Data Explorer App
TrendAI Vision One™をご利用のお客さまは、XDR Data Explorer Appを使用して、本ブログ記事で取り上げた不正なIoCを自社環境内のデータと照合し、脅威ハンティングに活用できます。
CyberAv3ngersのC&Cインフラへの接続
eventSubId:201 AND dst:("185.82.73.175" OR "141.11.164.153" OR "175.110.121.42" OR "175.110.121.39" OR "175.110.121.107" OR "185.225.17.225" OR "79.133.46.209" OR "88.80.150.199" OR "88.80.150.200" OR "88.80.150.202" OR "185.82.73.162" OR "185.82.73.164" OR "185.82.73.165" OR "185.82.73.167" OR "185.82.73.168" OR "185.82.73.170" OR "185.82.73.171" OR "135.136.1.133")
CyberAv3ngersのC&C DNS名前解決
eventSubId:301 AND hostName:(*tylarion867mino.com* OR *ocferda.com*)
侵入の痕跡（IoC: Indicators Of Compromise）
本記事に関する侵入の痕跡（IoC）はCISAの情報に基づくものであり、TrendAI Vision One™ プラットフォームによって検出・ブロックされます。
IoCの一覧については、こちらのPDFをご参照ください。
参考記事
Federal Agencies Warn of Ongoing PLC Exploitation Against Critical U.S. Infrastructure
By: Jamal Bethea（Product Manager）
翻訳：与那城 務（Platform Marketing, TrendAI Research）