主なポイント：
- 7月下旬、サイバー攻撃により、英国にある小規模な発電施設が4日間稼働を停止せざるを得なくなった。
- 英国の広域送電網には影響は及ばなかったものの、この事件は小規模な施設における脆弱性を浮き彫りにした。小規模な事業者は、大手電力会社と同じ脅威にさらされがちであるにもかかわらず、セキュリティリソースが少なく、規制当局による監督も緩やかで、インシデント対応の支援も限られている。
- 攻撃者がOT の運用を妨害するのに、ゼロデイ脆弱性は必要ありません。インターネットに公開されたコントローラー、デフォルト設定や脆弱な認証情報、正規のエンジニアリングツール、および制限が不十分なリモートアクセスは、運用への影響をもたらす再現可能な経路となり得ます。
- 基本的なセキュリティ対策により、リスクを大幅に低減することができます。運用担当者は、インターネットに公開されている資産を特定し、デフォルトの認証情報を変更し、リモートアクセスを制限し、コントローラー実行モードを使用し、オフラインバックアップを維持し、初期段階の偵察活動を監視する必要があります。
7月下旬、サイバー攻撃により、英国にある小規模な発電施設が4日間稼働を停止した。『テレグラフ』紙が最初に報じたこの事件について、同紙はイランと関連のあるハッカーによるものと伝えている。イラン系グループが英国の発電施設の稼働停止に成功したのは、これが初めてとみられている。 英国政府は当該施設の名称を明らかにしておらず、攻撃の犯行主体についても特定していないが、エネルギー安全保障省はこの事件が「小規模な発電施設に影響を与えた」ことを確認しており、政府筋は当該施設について「送電網の容量に比べれば、四捨五入の誤差にも満たない」と説明している。
このシステム停止は7月に発生した。ちょうどその頃、FBIとEPAは全米12州の水道施設に対する攻撃について警告を発しており、ロンドンが米国に対し、英国の基地からイランに対する防衛作戦を実施する許可を与えた直後のことだった。
その説明は送電網への影響という点では正確かもしれませんが、小規模事業者が置かれている厳しい状況も如実に表しています。 この規模の施設は少人数のチームと限られた予算で運営されており、セキュリティ対策は、発電や水処理といった実際の業務と日々競合する状況にあります。これらの運営事業者は、全国規模の電力会社と同じ脅威に直面しているにもかかわらず、送電網にとって重要な存在となるほどの大規模さゆえに得られる規制当局の注目や人員配置、インシデント対応支援を享受できていません。今回のインシデントは、その格差を改めて浮き彫りにしており、大手電力会社だけでなく、小規模な運営事業者にも注目が集まり始めている兆候が見られます。
電力網のレジリエンスの重要性
この事案から得られる最も重要な教訓の一つは、成功事例である。すなわち、英国のエネルギーシステム全体が危険にさらされることは一度もなかったということだ。 英国の送電システムは「NETS供給の安全性および品質基準」に基づいて設計されており、この基準では、最大単一給電源の突然の喪失に耐えうるようシステムが構築されていることが求められている。この最大単一給電源の容量は、ヒンクリー・ポイントC原子力発電所の稼働に備えて、最近1,320 MWから1,800 MWへと引き上げられた。 周波数応答予備力、バランス調整サービス、そして数十年にわたる厳格な技術管理により、小規模な発電設備が停止しても、システムが毎週発生する通常の設備トリップを吸収するのと同じように吸収される。この回復力は、送電網事業者や規制当局による継続的な投資の成果であり、今回の事象においても設計通りに機能した。
一部の報道ではこの点が明確に伝えられていないが、英国の小規模事業者に対する攻撃によって、送電網の運用が妨げられることはない。とはいえ、個々の施設の責任が免除されるわけではない。今回のケースでは、発電所は依然として4日分の発電機会を失い、その間、職員は発電業務ではなく、サイバー攻撃への対応や復旧作業に追われることになった。
英国のプラント停止は、概念実証だったのか？
もし目的が電力網の混乱を引き起こすことだったとしたら、小規模な事業者1社は適切な標的とは言えない。一部のメディア報道で引用されたアナリストたちは、むしろこれを、イランのイスラム革命防衛隊（IRGC）と連携するグループが英国の発電施設に到達し、その稼働を停止させることが可能であることを示す実証実験と解釈しており、あるアナリストはこれを「概念実証の成功」と評している。
この攻撃の発生時期は、その解釈を裏付けるものである。システム停止は7月に発生したが、これはFBIとEPAが全米12州の水道施設に対する攻撃について警告を発していた時期とほぼ重なり、またロンドンが米国に対し、英国の基地からイランに対する防衛作戦を実施する許可を与えた直後のことだった。これらの出来事が、より大規模な作戦の一環として調整されたものなのか、それとも単に好機を捉えたものなのかはともかく、それらはNozomi Networks Labsが以前から追跡してきたパターンに合致している。 イランに関連するサイバー活動は、実戦的な緊張の高まりと低まりに合わせて増減する。Nozomi の研究者らは、2025年5月から6月にかけての緊張高まりの期間中、既知のイラン系脅威アクターによる攻撃が133％増加したことを記録しており、現在の紛争中にも再び体系的な増加が見られ、初期段階の侵入行動が主流となっている：デフォルトの認証情報の悪用、有効なアカウントの利用、ブルートフォース攻撃、スキャンなどである。この動向は英国当局にも見逃されていない。 NCSCのリチャード・ホーン最高経営責任者（CEO）は、同機関が現在、毎週少なくとも4件の国家的に重大なサイバー攻撃に対応していると述べ、英国がより広範なイラン紛争に直接関与するようになれば、その数は増加する可能性があると警告している。
匿名化されたテレメトリデータによる裏付けとなる証拠
Nozomi Networks 過去6週間のLabsのテレメトリデータによると、境界領域でも同様の傾向が見られます。参加顧客全体において、イラン関連の活動に関連するアラートの大部分は、インターネットに公開されているシステムの悪用（MITRE ATT&CK® T1190）に起因しており、これは深刻な侵入というよりは、初期段階の探査活動と一致しています。
ある事例では、北米のある水処理事業者が2週間にわたり繰り返し注目を集めました。「Nozomi 」プラットフォームは、長年にわたり悪用歴のあるホスティングブロックに由来する、4件のレピュテーションおよび偵察アラートを発しました。テレメトリデータからは、この活動が当該事業者の制御システムにまで到達したことを示す兆候は一切見られませんでした。これらは初期段階のネットワークレベルでの検知ですが、基本的なネットワーク監視体制が整っていれば、小規模な施設であっても、インシデントに発展する前にこうした活動を検知できる可能性が最も高いと考えられます。
これが何を意味し、何を意味しないかを明確にしておくと、すべて的小規模発電所が標的にされているという証拠はない。重要なのは、小規模施設のリスクプロファイルが変化したという点だ。能力実証には重要な標的は必要なく、アクセス可能な標的があれば十分であり、小規模施設はアクセスされやすい傾向にある。なぜなら、それらは規制上の報告基準を下回っており、人員配置の都合上リモートアクセスに依存しており、OT ネットワークを監視している担当者がほとんどいないからだ。 総体的なリスクも決して小さくありません。CloudSEKによる独立した調査では、英国だけでもインターネットに接続されたModbus制御デバイスが約3万台確認されており、これらはすべて、攻撃者が使用するのと同じ公開検索ツールで検出可能です。
IRGC系脅威アクターのためのプレイブック：ゼロデイ攻撃は不要
英国政府も国家サイバーセキュリティセンターも、この事件を特定のグループの仕業であると断定しておらず、そもそも犯行主体の特定は一般的に困難なプロセスである。私たちにできることは、小規模なオペレーショナル・テクノロジー（OT）施設を標的としている、IRGC（イラン革命防衛隊）系のアクターの中で最も詳細な情報が記録されているグループ、すなわち「CyberAv3ngers」と名乗るグループを分析することだ。その経緯を見れば、このような作戦がいかに高度な技術を必要としないかがわかるからである：
- 2023年11月、CISAとそのパートナー機関は、CyberAv3ngersが、ペンシルベニア州のアリキッパ市水道局を含む米国の水道事業者の、インターネットに公開されているUnitronics Vision社製のPLCおよびHMIを侵害したことを確認した。初期アクセスには、デフォルトのパスワード「1111」が使用されていた。攻撃者は、複数のセクターにまたがり、少なくとも75台のデバイスを侵害した。
- 2024年12月、研究者らはこのグループを、OT およびIoT デバイス向けに特別に開発されたマルウェアファミリー「IOCONTROL」（別名「OrpaCrab」）と結びつけた。その後、Nozomi のNetworks Labsは、同グループが当該キャンペーンのインフラを再利用していることを確認した。
- 2024年2月、米国財務省はイラン革命防衛隊（IRGC）サイバー・電子司令部の幹部6名に対して制裁を発動し、国務省は彼らに関する情報提供者に対し1,000万ドルの報奨金を提示した。CISAのアドバイザリAA26-097Aで説明されている攻撃キャンペーンにおいて、IRGC系の攻撃者は、ベンダー自身の正規のエンジニアリングソフトウェアを使用して、インターネットに公開されていたロックウェル・オートメーション社のコントローラにアクセスした。 このアクセスには、エクスプロイトもマルウェアもCVEも一切必要なく、インターネットから到達可能なコントローラに向けられたベンダー自身のソフトウェアだけで十分だった。Nozomi （Networks ）のフィールドCISOであるマルクス・ミューラー氏が最近述べたように、彼らにはゼロデイ攻撃は必要なく、単にマニュアルに従っただけだった。
- 2026年7月に発表された同勧告の更新版において、CISAはさらに踏み込んだ指摘を行った。ある被害事例では、攻撃者がコントローラのプロジェクトファイルを改ざんし、重要なシャットダウンおよびアラームロジックを無効化していたため、オペレーターへの警告なしにシステムが危険な状態に陥る事態が生じていた。同様の活動は、ロックウェル社だけでなく、シュナイダーエレクトリック社やシーメンス社のコントローラに対しても確認されている。
これらの一連の事件に共通する点は、インターネットへの露出、デフォルトまたは脆弱な認証情報、正規のツールやプロトコルの使用、そして重要度ではなくアクセスしやすさを基準に標的が選ばれていることです。英国のその発電所を停止させたのが誰であれ、防御側は、このような手口が自分たちも標的になり得ると想定すべきです。この手口はコストが安く、再現性が高く、まさに4日間も停止を余儀なくされた施設と全く同じ施設を狙ったものです。
ピーク発電所：現代の電力系統の信頼性にとって不可欠
4日間稼働を停止した英国の施設がどこであるかは特定されていないが、公表された説明から、関連する資産のカテゴリーが読み取れる。この資産は、英国が需給バランスを維持する上で、ひっそりと中心的な役割を担うようになってきたため、理解しておく価値がある。 この種の「小規模発電施設」は、ピーク対応発電所の特徴に合致している。ピーク対応発電所とは、24時間稼働させるためではなく、需要が急増したり、風力や太陽光発電の出力が低下したりした際に、迅速に起動して短期間稼働させることを目的として建設された発電設備である。
ピーク対応発電所は、規模ではなく速度を重視しています。英国では、通常、オープンサイクルガスタービンや往復動エンジンが用いられています。ガスピーク発電所は、数分で最大出力に達することができます。個々の発電所はなくても済むものの、その総体としての稼働が電力系統の安定性を維持しています。これは、英国が再生可能エネルギーによる電力系統を支えるために、分散型発電への依存度を高めているためです。
この分散型モデルは新たなリスクを生み出しています。なぜなら、こうした小規模発電所は魅力的な標的となるからです。ピーク対応発電所は、短期間の通知で稼働できるよう設計されています。その多くは、規制対象となる「重要サービス事業者」とみなされる容量基準を下回っているため、報告義務が軽減されており、実際にはセキュリティ予算も少ない場合が少なくありません。さらに、こうした発電所は全国に点在しており、その一つひとつが単独では小さな標的となっています。 各発電所には、それぞれ標的となり得る複数の制御システムが設置されています。これらは、燃料システムからタービン制御、ボイラーシステム、電気保護リレー、計測、環境モニタリングに至るまで、発電所のさまざまな部分を管理しています。これらのシステムが相互に接続されている場合もありますが、多くの場合はそうではありません。
7月の操業停止で影響を受けた部分は、安全性と信頼性に関わるものです。報告によると、攻撃経路には、基本的なベストプラクティスに従って適切に保護されていなかったPLCが含まれていたとのことです。これは、主制御システムではなく、補助システムの一つであった可能性があります。とはいえ、プラントの稼働が重要でないというわけではありません。例えば、そのPLCが井戸や貯水タンクに接続されており、攻撃者によってオフラインにされた場合、それでもプラントは停止することになります。
こうした事態において、攻撃者が意図的にピーク負荷発電所を標的にする必要は一切ない。単に、この種の脅威活動に対して最もさらされやすい資産が、現代の電力系統が柔軟性を維持するためにますます依存しているものになっているということだ。今回、電力系統を守ったレジリエンスは、大規模で目立つ発電所の故障を想定して設計されたものだった。
ピーク対応施設であるか否かにかかわらず、小規模な施設でも簡単な対策で自らを守ることができる
小規模な施設の多くは、セキュリティオペレーションセンター（SOC）やOT のセキュリティエンジニアを擁しておらず、その代わりに、運用を保護するためにオペレーターやIT部門の支援に頼っています。リモートアクセスや最小限の人員配置は、怠慢ではなく、こうした施設が存続するための手段なのです。以下の手順は、こうした現実を踏まえて選ばれたものです。そのほとんどは無料で、専門スタッフを必要とするものはありません。
- インターネットからアクセス可能かどうかを確認してください。Shodanで自社のパブリックIP範囲を検索してください。自社チームが設置した接続だけでなく、携帯電話用モデムやベンダー提供のリモートアクセスも対象に含めてください。
- 制御に関わるあらゆるシステムのデフォルトの認証情報を変更してください。2023年のCyberAv3ngersキャンペーンでは、4桁の工場出荷時のパスワードだけで攻撃が可能でした。
- リモート接続を許可する対象を絞り込みます。サイトの運用にリモートアクセスが必要な場合は、そのアクセスを既知のアドレスに限定してください。携帯電話用モデムでのIPフィルタリングは、多くの場合、簡単な設定変更で実現できます。
- 物理モードスイッチを使用してください。多くのコントローラには、リモートからの変更をブロックするハードウェアの「Run」モードが備わっています。このモードがある場合はそれを使用し、モードの変更は意図的なメンテナンス作業として扱ってください。
- PLCのロジックおよび設定のオフラインバックアップを保管しておいてください。自社のプログラムの正常な動作が確認済みのコピーがない場合、復旧に4日間もかかるのは非常に長い期間となります。
- 助けが必要になる前に、連携を図っておきましょう。英国の事業者は、NCSCの無料の早期警告通知サービスに登録することができ、インシデントが発生する前にその報告方法を把握しておく必要があります。まさにこの目的のために、各セクターの情報共有機関が設置されています。
エネルギー安全保障・ネットゼロ省（DESNZ）はすでにエネルギー業界の経営幹部に対して説明を行い、規制が導入される見通しであることを示唆しています。規制の導入には時間がかかり、まずは規制の対象となる規模の事業者から適用される見込みです。それまでの間、その基準を下回る施設は互いに協力し合う必要があります。つまり、観察された情報を同業他社や業界団体、NCSCと共有してください。
英国の電力系統がこの試験に合格したのは、技術者たちが何十年もの歳月をかけて、いかなる単一の構成要素が失われても耐えられるよう設計してきたからである。小規模な施設においても、その規模に応じた同様の設計理念が求められる。すなわち、何らかの部分が機能不全に陥ることを前提とし、その機能不全があってもシステムが維持できるよう、回復力を構築すべきである。
Nozomi およびNetworks をご利用のお客様へ：確認すべき点
すでにNozomi （Networks ）プラットフォームを利用されている読者の皆様にとって、いくつかのチェック項目は、前述の手法と直接対応しています：
- Threat Intelligence が最新版であることをご確認ください。Labsでは、イラン系アクターに対する検出ルールを継続的に更新しています。検出範囲の詳細については、サポートポータルをご覧ください。
- 資産インベントリを照会して、インターネットからの到達可能性を確認してください。直接、ジャンプホスト経由、または携帯電話モデム経由で到達可能なコントローラーやゲートウェイを探し、デフォルトの認証情報を使用しているものを優先的に対処してください。Vantage IQ をお持ちの場合は、このサービスに、露出している資産の特定と、優先順位付けされた是正措置の手順の提示を依頼するだけで済みます。
- 初期段階の手口に注意してください。Nozomi によると、Networks Labsが現在、イラン関連の活動において確認している主な手口は、既知の認証情報の悪用、有効なアカウントの異常行動、ブルートフォース攻撃、およびスキャンです。これらの手口が群発して見られる場合は、偵察活動とみなしてください。また、Vantage IQ をご利用の場合は、アラートページで追加のコンテキスト情報を確認してください。
- 不審なエンジニアリングセッションを探し出しましょう。 予想外のワークステーションや地域からのセッション、営業時間外に行われるロジックのアップロードやダウンロード、および予想されるゾーン外からポート44818、2222、502、102、22、20256（Unitronics）を経由してコントローラへのトラフィックは、CISAアドバイザリAA26-097Aに記載されているT0883の初期アクセスおよびT1565の影響マッピングと一致する。
- 先に引用した2025年7月8日付のブログ記事（「イラン紛争に関連する脅威アクターの活動」）および2026年3月2日付のブログ記事（「地政学的緊張の高まりにおけるイランのAPT活動」）に記載されている指標リストと、CISA AA26-097A（2026年7月更新）の最新版IPリストを用いて、公開済みのIOCを過去のトラフィックに対して照合してください：
- ミュートされたアラートを再確認しましょう。エスカレーション期間こそ、ミュートされたアラートがまさに重要なものだった可能性が最も高い時期なのです。
Nozomi 皆様のお役に立てるよう尽力いたします
現代社会において、世界規模や地域規模の紛争が発生する際には、常にサイバー脅威の攻撃者による活動の活発化が伴います。年間を通じて基本的な注意義務を果たすことに加え、こうした脅威を日々追跡することは、レジリエンスを維持し、組織が可能な限り最高のサイバーセキュリティ態勢を確立するために不可欠です。
重要なインフラの保護という使命を継続するにあたり、世界中の組織の皆様に、サイバー攻撃との闘いにご協力いただけるよう呼びかけます。皆様からの知見を共有いただくことで、すべての人々のための集団防衛体制を強化することができます。直接的な支援が必要な場合は、今すぐお問い合わせください。
