7月30日、CISAが勧告AA26-097Aを発表してからわずか1週間後、FBIとEPAは共同の公共サービス告知を発表し、6月のCal Water事件以来、上下水道業界が警戒を続けてきた事態を確認した。すなわち、おそらくイランと関連のある悪意のあるサイバー攻撃者が、米国の水道システムの周辺にあるITシステムにとどまらず、その運用層にまで侵入しつつあるということである。
7月27日以降、少なくとも7つの州の水道・下水道事業者がFBIに被害を報告している。標的は明確で、インターネットに直接接続されているPLC（プログラマブルロジックコントローラ）だ。攻撃手法は極めて原始的であり、ログインしてIPアドレスを変更し、パスワードを変更した後、オペレーターが自身のデバイスにアクセスできないようにロックしてしまう。被害者の中には、水圧の低下や浸水被害を報告している者もいる。 FBIは、水圧の低下により未処理の地下水が配水管に浸入する恐れがあると指摘している。これは単なる運用上の不便にとどまらず、公衆衛生上の重大なリスクとなる。
一連の最新の事件については現在も調査中ですが、これらは全米の水道・下水道分野において、持続的かつおそらく激化しつつある攻撃の兆候を示しています。ここでは、過去数年間に発生したいくつかの攻撃から読み取れること、そして水道事業者が、ほとんど、あるいは全くコストをかけずにレジリエンスを向上させるために今すぐできることについて解説します。
ほとんど手間をかけずに、ほぼ同一の構成を活用する
6月、イランと関連があるとされる「Handala/VOID MANTICORE」がカリフォルニア・ウォーター・サービス （Cal Water）への侵入に成功したが、 攻撃は請求処理環境にとどまった。これはITレベルでの偵察およびデータ窃取であり、政治的な警告という形をとっていた。Cal Water自身の説明によれば、OT には影響がなかった。
すべてのデバイスについて、デフォルトの認証情報や再利用された認証情報がないか確認してください。なぜなら、工場出荷時のデフォルト認証情報が設定された外部に公開されているPLCは、ほぼ確実に発見されてしまうからです。
FBIが現在説明している事態は、さらに深刻なものです。攻撃者はPLCに直接アクセスし、その設定を変更しています。これは、2023年にCyberAv3ngersがアリキッパ市水道局に対して行ったのと同じ種類のアクセスですが、単一のサイトではなく、わずか数日のうちに7つの州に広がっています。 その広範囲性に加え、複数の被害者で同様のネットワーク構成が見られるという報告も相まって、別の事実が浮き彫りになっている。それは、サードパーティのシステムインテグレーターが多くの公益事業顧客に対してほぼ同一の構成を展開しているため、ある事業者の設定に対して有効だった手法が、別の事業者に対しても通用してしまうということだ。
水道事業者は、他の公益事業分野に比べてセキュリティ対策が不十分な傾向にあり、サードパーティのインテグレーターへの依存度が高く、またコストやインフラの都合から、他の重要インフラ事業者が許容し得ないほど頻繁に、一般のインターネットから制御デバイスにアクセス可能な状態になってしまいがちです。今回の攻撃キャンペーンは、まさにこの状況を悪用しているのです。
複雑さは低いが、連携は高い
「IPアドレスとパスワードを変更した」という行為を、単純な手口だと見なしたくなるかもしれない。しかし、デフォルトの認証情報や脆弱な認証情報で、外部からアクセス可能なPLCに侵入するには、エクスプロイトや脆弱性、あるいは特別なスキルなど必要ない。必要なのはツールと時間だけであり、そのどちらも安価に手に入る。
変化したのは連携の在り方だ。CISAやその他の連邦機関は、4月以降、脆弱性が露呈したPLCを標的としたイラン関連の活動を追跡してきた。今回の事案は、その以前の手口と密接に関連している――ただし、正式な犯行声明は出されておらず、このパターンは、水道システムを標的にしてきた実績が確認されている「サンドワーム」のようなグループによる攻撃の激化を反映している可能性もある。 このキャンペーンが組織的かつ複数の州にまたがる性質を持つことは、機会主義的で無差別な標的選定から、より協調的な作戦に近いものへの転換を示している。以前とは異なり、今や手加減は一切ない。その主な理由は、敵対勢力がこれまで自制していたのは、機会の欠如というよりは、結果に対する恐れによるものだった可能性が高いからである。
水道システムにおける物理的な余裕は時間を稼ぐものであり、安全を保証するものではない
資源が不足しているにもかかわらず、水道事業には他の重要インフラ分野にはない構造的な利点がある。ほとんどのシステムは重力式であり、ポンプや井戸が機能しなくなったとしても、それが健康や供給の安定性に影響を及ぼすまでには通常、数時間から数日かかる。この猶予期間は確かに存在しており、だからこそ、施設を迅速に手動制御に切り替えることが、依然として最も効果的な事故対応策の一つとなっている。
しかし、その余裕は対応のための緩衝材であり、安心できる理由ではない。これは、問題がタップに到達する前に、オペレーターがそれを察知して修正するための時間を確保するためのものだ。オペレーターを監視・制御システムから締め出した攻撃者は、すでにその緩衝材の基盤となる可視性を奪っている。FBI自身が報告している、現在の被害者における圧力低下や水没の事例は、この緩衝材がすでに試されていることを示している。
水道事業者が今すぐレジリエンスを高める方法
FBIおよびEPAの公共サービス広告（PSA）における推奨事項は、アリキッパ事件以来、Nozomi Networks 水道業界の顧客に伝えてNetworks 内容とほぼ一致しています。すなわち、「日常の稼働にインターネット接続を必要としない機器については、今すぐ接続を切断してください」というものです。 ほとんどのPLCは、サポートやメンテナンスの時間帯にのみリモート接続を必要とします。このキャンペーンが進行している間は、その接続を一時停止することができます。リモートプログラミングを有効にする物理キーまたはソフトウェアキースイッチをオフにし、たとえ認証情報が漏洩したとしても、リモートセッションから新しいロジックが書き込まれないようにしてください。また、すべてのデバイスについて、デフォルトの認証情報や再利用された認証情報がないか確認してください。なぜなら、工場出荷時のデフォルト認証情報が設定されたままの、外部に公開されているPLCは、ほぼ確実に発見されてしまうからです。
即座の対応とは別に、優先順位の高い順に、他にもいくつかの重要な手順があります：
1. 他の人にOT 、インターネットに接続されているOT を見つけましょう。
外部IPアドレス範囲をShodanや同等のツールでスキャンしてください。特に水道事業の場合、Modbus TCP（502）およびDNP3（20000）は、SCADAのテレメトリデータが携帯電話回線やインターネットのバックホールを経由して遠隔地のポンプ場や揚水場に送信される際によく見られる脆弱なポイントです。EtherNet/IP（44818）は、ロックウェル／アレン・ブラッドリー製の機器が導入されている場所であればどこでも重要となります。この業界の大部分でこれらの機器が使用されています。 80番および443番ポート上のWebベースのHMIは、業界全体で最も急速に増加している脆弱性クラスです。外部への接続が必要ないものはすべて、DMZ、多要素認証（MFA）、およびIP許可リストの背後に移動させるか、あるいは完全に接続を切断する必要があります。
2. PLC、HMI、モデム、およびあらゆるリモートアクセスインフラにおいて、最近更新していないすべての認証情報を更新してください。
CISAが2024年12月に発表したアリキッパ事件に関する勧告では、変更されていないデフォルトの認証情報が、その攻撃の主な要因として挙げられた。この傾向は変わっていない。
3. デバイスを「実行モード」に固定し、これを標準的な運用態勢とする。
実行モードを、アクティブなインシデント発生時だけに限定してはいけません。プログラム／リモートモードは、更新作業のみを目的とした、意図的かつログに記録される一時的な状態として扱い、その間にプロジェクトファイルを確認・検証してから実行モードに戻してください。実行モードに切り替えると、その時点で読み込まれている内容が確定されてしまうためです。
4.OT ITOT 分離し、特にサードパーティのインテグレーターによるアクセスから隔離する。
FBIは、システムインテグレーターが提供するネットワーク構成に類似点があることが、ある手口が被害者間で繰り返し成功する要因となっている可能性があると指摘した。システムインテグレーターが、共通のアーキテクチャを用いて複数の拠点にわたるリモートアクセスを管理している場合、そのアーキテクチャ自体が共通のリスクとなる。ITとOTの間に「デフォルトで拒否」を原則とするファイアウォールポリシーを設定し、拠点ごとに固有の認証情報とアクセス経路を設けることで、こうした相乗効果を直接的に抑制することができる。
5. 境界だけでなく、OT 通信状況も可視化する。
通常のネットワークトラフィックや資産の挙動を基準値として設定し、脅威や異常を検知できるようにすることは、サイバーレジリエンスの中核をなすものです。水道事業者にとっては、Modbus、DNP3、およびEtherNet/IPのトラフィックをパッシブに監視し、SCADAマスターが通常ポーリングする内容を基準値として設定した上で、その基準値から外れたセッションや機能コードをフラグ付けすることが含まれます。これは、FBIが現在報告しているようなラダーロジックの改ざんといった事態にエスカレートする前に、偵察およびアクセス段階における侵入を検知する層です。
6. 単なる紙上の計画にとどまらず、実際のスケジュールに基づいて手動操作の訓練を行う。
FBIの公共サービス広告（PSA）によると、PLCが侵害された場合、迅速に手動制御に切り替える能力こそが、最も効果的な対策である。とはいえ、これは、オペレーターがプレッシャーのかかる状況下でも自信を持って実行できるよう、十分に最近テストが行われている場合にのみ有効である。
7. 目にしたことを報告してください。
FBIは、PLCの型番、シリアル番号、IPアドレスに加え、接続されたネットワーク上で確認された不審なIPアドレスについても、明確に提供を求めています。こうした情報をFBI、IC3、CISA、およびWaterISACのような業界別の情報共有チャネルに提供することで、ある公益事業におけるインシデントが、この攻撃キャンペーンにおける次のインシデントに対する早期警告へとつながるのです。
水道施設への攻撃がさらに増えることが予想されます。万全の備えをしておきましょう。
FBIのPSAには、この取り組みが終了したことを示唆する内容は一切含まれていない。4日間で7州をカバーするというペースは、あくまで進行状況を示すものであり、結論ではない。この動きに先手を打つ公益事業者は、「インターネットに接続されたPLC」を、来四半期のリスク評価で取り上げるべき課題としてではなく、今日直ちに閉ざすべき「開いた扉」として扱っている企業である。
Nozomi Networks 、重要インフラ環境向けに特別に設計されたパッシブOT 検出および継続的な異常検知機能に加え、水道セクターを標的とした本キャンペーンおよび関連キャンペーンに関連するTTPを追跡IoT threat intelligenceNetworks 。ネットワーク上の資産を把握し、リスクの程度を理解するためのサポートをご希望の場合は、デモをご依頼いただくか、Nozomi Networks 直接お問い合わせください。
