サイバー脅威
米国の水道事業者を狙う悪意のあるサイバー活動：運用者が知っておくべきこと
少なくとも7つの州で、インターネットに接続されたままの機器を起点とする障害が報告されています。問題の大半は設定とアクセス制御に起因するものであり、本記事では最初に対処すべきポイントを解説します。
- 2026年7月27日以降、少なくとも7つの州の上下水道事業者がFBIにサイバーインシデントを報告しており、その一部では水道業務に支障が生じています。FBIとEPAは、影響を受けた州を公表していません。
- 今回の警告は、7月26日から27日にかけてミネソタ州の少なくとも30の水道施設を狙った組織的な攻撃を受けて発出されたものです。
- CISAによると、この活動により飲用水の煮沸勧告や手動運転の継続を余儀なくされた事例が発生していますが、影響を受けた地域は公表されていません。
- ウィスコンシン州天然資源局は、プログラマブルロジックコントローラ（PLC）を狙う悪意のある活動について州内の事業者に注意喚起を発出し、早急な対応を促しています。
- 今回の攻撃は、インターネットに接続されたPLCに対する国家との関連が疑われる攻撃者の悪用活動を報告した共同勧告「AA26-097A」の発出から3か月後に発生しました。米国政府は両者の関連を認定しておらず、調査は現在も継続中です。
この1週間で、米国の少なくとも7つの州において一連のサイバー攻撃が確認されました。連邦捜査局（FBI）と環境保護庁（EPA）は共同で注意喚起（PSA）を、サイバーセキュリティ・インフラセキュリティ庁（CISA）は別途勧告を発出し、いずれも、インターネットに露出したコントローラを切り離すよう事業者に強く求めています。
これらの勧告は、2026年7月27日以降に確認されたサイバー攻撃を対象としています。攻撃の中心となったのは制御システム（OT：Operational Technology）機器、具体的には、広く利用されているプログラマブルロジックコントローラ（PLC）であるMicroLogix 1100および1400シリーズです。
ミネソタ州IT局（MNIT）は、7月26日から27日にかけて少なくとも30の市町村水道施設が標的になったと報告しました。また、ウィスコンシン州天然資源局も同じ週に州全体への注意喚起を発出しましたが、同州当局によると、確認された侵害はないとのことです。
PLCは、自動制御や機械制御、プロセス制御を必要とするほぼすべての産業で利用されています。信頼性を重視して設計されている一方で、本来外部に公開することを想定していない、セキュアでないプロトコルで稼働している実態が確認されています。過去のハニーポット実験では、こうした露出したシステムが数時間以内に発見され、攻撃を受けることが示されています。露出した制御システムがもたらすリスクについては、TrendAI™の過去の調査研究（英語）で分析しています。
攻撃の手口
手口は単純です。攻撃者は、インターネットに露出し、十分に保護されていないPLCに侵入しています。
PLCへのアクセスを得た攻撃者は、IPアドレスの変更や独自のパスワードの設定を行い、その結果、被害組織は監視機能を失い、場合によっては制御機能まで失っています。少なくとも1件の事例では、攻撃者は設定変更にとどまらず、コントローラのプロジェクトファイルそのものを改ざんしました。FBIとEPAによると、この組織が異変に気づいたのは、複数拠点間でラダーロジックが一致しなくなったときでした。
複数の被害組織では、それぞれのサードパーティ事業者が構築したネットワーク構成に顕著な類似点が見られました。脆弱なネットワーク構成やハードウェア構成が複数の組織にまたがって存在していたことが、攻撃者が複数の標的で侵入に成功した一因になったと考えられます。
水道分野における露出の問題は、長年指摘されてきました。TrendAI™は2018年に、インターネットから到達可能な水道・エネルギー分野の制御システムインターフェースをマッピング（英語）しており、そのすべてが中小規模の組織のものでした。CISAとEPAも2024年12月に、今回と同様の締め出しの手口について注意喚起しています。
業務への影響
FBIによると、最も顕著な影響は水圧の低下と溢水です。FBIは、水圧が低下すると未処理の地下水が配水網に引き込まれるおそれがあると指摘しており、これは重大な問題です。なお、現時点で影響を受けた施設での水質汚染は報告されていません。
アナリストは今回の事案を、近年で最も深刻な米国水道システムへの攻撃の一つと評しており、ミネソタ州で確認された規模と組織性は、この分野では前例がないとされています。CISA、FBI、EPAはこの1週間、影響を受けた組織と連携し、被害の封じ込めと飲用水の安全確認を進めています。
重要インフラへの攻撃を軽減するためのセキュリティ対策
CISAは、今回の攻撃が規模を問わず水道関連組織を狙っていると指摘しています。ここで重要なのは、標的がセルラーモデムにまで及んでいる点です。セルラーモデムは運用担当者やベンダー、システムインテグレーターによって後付けされることが多く、通常のアタックサーフェススキャンが参照する資産台帳に記載されていないケースも少なくありません。したがって、成熟したサイバーセキュリティ対策を講じている組織であっても、外部接続の棚卸しと検証を行うことが推奨されます。
こうした攻撃への防御は、大部分が設定とアクセス制御の問題です。以下の対策は、FBI、EPA、CISAが推奨する内容に、上下水道事業者にとって特に重要なステップを加えてまとめたものです。
露出をなくす
- コントローラをパブリックインターネットから切り離す。 すべてのリモートアクセスは、多要素認証（MFA）を備えたセキュアゲートウェイまたは踏み台（ジャンプホスト）経由に限定します。現場との接続に使用しているセルラーモデムも対象とし、認証とログ記録を徹底します。
- 複雑で一意なデバイスパスワードを設定し、コントローラに到達できる相手を制限する。 パスワードは英字・数字・記号を組み合わせ、デバイス間で使い回さないようにします。ファイアウォールルールまたはアクセス制御リスト（ACL）を使用し、想定される制御システム機器間の通信のみを許可します。
- コントローラはRUNモードに設定し、PROGRAMまたはREMOTEへの切り替えは、監督下で実施する保守作業の時間帯に限定する。 過去の分析記事で取り上げたコントローラでは、ハードウェアキースイッチがRUNの位置にあっても、ネットワークコマンドで上書きされる可能性があります。一方、MicroLogix 1100および1400には上書きの対象となるキースイッチ自体がなく、モードは本体のLCDキーパッドまたはソフトウェアから設定します。いずれの場合も、モード設定は、インターネット露出の排除やリモートアクセスの制限と組み合わせた防御層の一つとして位置づけるのが最も効果的です。
- コントローラのプログラミング保護を有効にする。 Rockwell製品の運用者は、AA26-097Aが直接参照している最新のSD1771ガイダンスに沿って対応してください。Siemens製品の運用者は、TIA Portalで保護を設定してください。
侵害の有無を確認する
- AA26-097Aに記載された侵入の痕跡（IoC：Indicators of Compromise）をログから検索する。 ファイアウォール、侵入検知、ネットワーク監視の各ログを対象に、勧告に記載されたIPアドレスを検索します。特に海外のホスティング事業者のIPアドレスに注意してください。Rockwell製品を運用している環境では、ポート44818および2222（EtherNet/IP）と22（SSH）を優先的に確認します。7月22日の改訂で侵入の痕跡の一覧が更新されているため、4月に取得したリストはすでに古くなっています。
- 稼働中のプロジェクトファイルを、既知の正常なベースラインと比較する。 本キャンペーンでは、被害組織の1つでプロジェクトファイルの改ざんが確認されました。再利用可能なコードモジュールには特に注意が必要です。改ざんされたブロックが1つあるだけで、それを呼び出すすべてのプロセスに影響が波及するためです。
被害を最小限に抑える
- オフラインバックアップを保持し、リストアをテストする。 バックアップは、PLCが接続されているネットワークから分離した、保護された物理メディアに保管します。また、リストアの前には、バックアップがクリーンであることを確認します。
- 手動運転の手順を訓練し、その能力を維持する。 本キャンペーンで影響を受けた水道事業者が稼働を継続できたのは、手動制御に切り替えられたからです。フェイルセーフ機構、単独系統運転（アイランディング）機能、待機系システムは、機能するはずと思い込むのではなく、定期的にテストすべきです。
- サポート終了（EOL）機器の更新を計画する。 メーカーのサポートが終了した機器にはセキュリティパッチが提供されなくなり、サポート切れのハードウェアは日常的に攻撃の標的となります。今後12か月のEOL予測を資産管理者や調達部門とともに定期的に見直し、更新をすぐに行えない場合は、廃止期限を明確に定めたうえで補完的な対策を適用します。
- 米国政府は、これらの攻撃の背後にいる主体を公表しておらず、ミネソタ州以外の影響を受けた州も特定されていません。
- 今回の攻撃に先立ち、一連の勧告が発出されています。共同勧告AA26-097A（FBI、CISA、NSA、EPA、エネルギー省、米サイバー軍が4月7日に発出し、7月22日の改訂で財務省が共同執筆機関に加わったもの）は、国家との関連が疑われる攻撃者が、遅くとも2026年3月以降、米国の行政サービス、水道システム、エネルギーインフラを対象に、インターネットに接続されたPLCを積極的に悪用していると警告しています。7月の改訂では、観測された対象がRockwellに加えてSchneider ElectricおよびSiemens製デバイスにまで拡大されました。その他の変更点については、「米国の重要インフラを狙う継続中のPLC悪用攻撃について連邦機関が警告」をご参照ください。
- ミネソタ州での攻撃は、この改訂の4日後に始まりました。両者に関連があるかどうかは、現時点では分かっていません。
まとめ
重要インフラのサイバーセキュリティは、コンプライアンス対応にとどまらず、継続的な運用レジリエンスの確保にまで踏み込む必要があります。強固なガバナンス、セキュアなアーキテクチャ、AIを活用したセキュリティ運用を組み合わせた組織こそが、脅威をより早期に検知し、運用リスクを低減し、地域社会が依存する重要サービスを守るうえで最も有利な立場に立てます。OTの保護に先手を打つためのコストは、サイバー攻撃を受けた後の復旧に伴う運用面・財務面の損失や、社会的信頼への影響と比べれば、はるかに小さいものです。
CISAの「Secure by Demand」ガイダンスは、メーカーに対して直接、次の点を求めています。管理インターフェースを初期設定でインターネットに公開しない製品を出荷すること、フィッシング耐性のある方式を含むMFAをサポートすること、そして、製品を安全に稼働させるために必要な基本的なセキュリティ機能に追加料金を課すのをやめることです。特に最後の点は、限られた予算と老朽化した設備で運営される小規模な自治体水道事業者が大半を占めるこの分野において、大きな意味を持ちます。産業用機器を調達する組織は、これらを購入時の必須条件とし、契約書に明記すべきです。
一方、運用者の手元に残るのは、終わりのない日々の取り組みです。侵入の手口が「露出した機器とパスワードの書き換え」である以上、ある時点での評価だけでは、翌月もその環境が守られているかどうかはほとんど分かりません。こうした対策は、一度確認して終わりにするのではなく、継続的に検証し続ける必要があります。インターネットからOT環境に到達できる経路を把握し、セグメンテーションが「されているはず」ではなく実際に機能していることを確認すること。それこそが、勧告を読むだけで終わるか、行動に移せるかの分かれ目です。
新たな調査結果が得られた場合には、TrendAI™ Researchが本ブログを更新します。
参考記事
Malicious Cyber Activity Targeting US Water Utilities: What Operators Need To Know
By TrendAI™ Research
翻訳：与那城 務（Platform Marketing, TrendAI Research）