米国の水道施設へのサイバー攻撃：イランとの新たな衝突の可能性

米国の重要インフラが標的に

最近、米国全土で複数の水道施設がサイバー攻撃の標的となり、その背後にイランの関与が疑われています。ミネソタ州ブレイハムの事例では、地元の水道オペレーターがポンプの作動停止を発見し、住民に節水を呼びかける事態となりました。幸いにも数時間で手動制御により復旧しましたが、この事件は氷山の一角に過ぎませんでした。

ミネソタ州の情報技術チームとの連携により、ブレイハム当局は、この事件が全国的な産業技術に対する「協調的なサイバー攻撃」の一部であることを知りました。サイバーセキュリティの専門家や連邦政府関係者は、イランが関与している可能性を指摘しています。

長年の脅威と新たな様相

敵対勢力が米国の重要インフラを標的にすることは今に始まったことではありません。長年にわたり、イランを含む国々はデータの盗難やシステム妨害を目的としてきました。これにより、金銭的な利益を得たり、水、電力、交通、銀行口座といった重要な資源へのアクセスや信頼を脅かしたりすることが可能になります。

ブレイハム市長のネイト・ジョージ氏は、「あらゆるものが何らかの形でインターネットに接続されている」と述べ、標的は特定の都市ではなく、「インターネットのアクセスポイントや脆弱な技術」にあると指摘しました。今回の攻撃では水の供給自体は侵害されませんでしたが、人々に不安を与え、見出しを飾ることに成功しました。サイバーセキュリティ企業Dragosの共同創設者兼CEOであるロブ・リー氏は、「これほど多くの標的が一度に運用に影響を与えた事例は記憶にない」と語り、今回の攻撃の規模と影響の大きさに驚きを示しています。

広がる攻撃の範囲

今回の攻撃は、7月26日から28日にかけて、ミネソタ州ブレイハムからメイプルプレインに至る複数の自治体で発生しました。アトランタ郊外のクレイトン郡では、ポンプステーションの故障により一時的な「煮沸勧告」が出され、ニュージャージー州やミシガン州でも同様の事態が報告されています。

水道部門のサイバーセキュリティ情報共有組織であるWaterISACは、400の会員に対し、連邦政府からの情報を共有するための緊急会議を招集しました。環境保護庁（EPA）も、水道部門へのサイバー脅威に関する公開ウェビナーを開催しました。連邦捜査局（FBI）は、少なくとも7つの州で同様の水道および下水施設への攻撃が確認されており、現在も調査が進行中であると発表しました。リー氏が水道部門以外の被害者についても言及していることから、攻撃の範囲はさらに広がる可能性があります。ある州の情報技術関係者は、交通およびエネルギー部門も影響を受けている可能性について懸念を示しています。

シカゴ大学サイバー政策イニシアチブのエグゼクティブディレクターであるジェイク・ブラウン氏は、「この攻撃が全国的なものであると仮定する必要がある」と述べています。

イランとの関連性

米国政府は、今回の水道部門への攻撃の責任者を公式には発表していません。しかし、国家が地政学的理由で重要サービスを妨害した事例は過去にもあります。例えば、2015年にはロシアがウクライナの電力網にサイバー攻撃を仕掛け、侵攻に先立ち住民を停電させました。

イラン関連のハッカー集団も、以前から米国の電力や水道施設を標的にしてきました。2023年には、イラン関連のハクティビストグループがペンシルベニア州アリクイッパの水道施設の産業機械に侵入し、イスラエル製部品を含む機械の画面に反イスラエルメッセージを表示させました。

国土安全保障省のサイバーセキュリティ・インフラセキュリティ庁（CISA）は、イラン関連のハッカーが水道部門のような産業機械の脆弱性を探していることに関する詳細な勧告を公表しており、今回の攻撃の数日前に更新されています。

サイバーセキュリティ企業SonicWallのマイケル・クリーン氏は、最近、脆弱なデバイスを「スキャン」し、悪用可能な弱点を探す悪意あるアクターの「急増」を観測していると述べました。同氏は、イランと関連するハッカーが米国の医療技術企業Strykerを侵害し、データ破壊を引き起こす前の3月にも同様の急増が見られたと指摘しています。クリーン氏は、「これは試運転のようなもので、アメリカ人を怖がらせるために何ができるかを探っている。水は生命の必需品であり、その一つだ」と語りました。

イラン政府も、アリクイッパの水道攻撃に関連するハクティビストグループ「Cyber Av3ngers」も、今回の攻撃について犯行声明を出していません。しかし、匿名を希望したサイバーセキュリティ専門家は、今回の活動がイラン革命防衛隊に関連しているという情報があると述べ、「これは日和見的なものだったが、ほぼ間違いなく戦争の結果である」と語りました。

ブラウン氏は、イランがこれらの攻撃を仕掛ける動機は、単にアメリカ人を怖がらせるだけでなく、以下の3つの目的があると考えています。「第一に、米軍の資産への水の供給を遮断できることを政権に示すこと。次に、主要な経済資産であるデータセンターへの水の供給を遮断できることを示すこと。そして最後に、国が深く分裂している戦争の最中に、米国政府が水のような基本的なサービスすら提供できないと国民の信頼を損なわせることだ」と説明しました。

地方コミュニティの視点と今後の課題

水道業界の一部では、すでにこの問題への対応が進められています。バーモント州キャベンディッシュの水道・下水オペレーターであるクリス・ヒューズ氏は、ハッカーが水圧を変動させてパイプを爆発させるなど、様々な可能性についてサイバーセキュリティ専門家から学びました。産業機械がインターネットに接続されている場合、ハッカーは甚大な被害をもたらす可能性があります。

ミネソタ州下水処理オペレーター協会のブランドン・ヒューストン氏は、「私は28年間この分野にいるが、意図的に下水システムにインターネット接続を導入していない」と述べ、システムの更新とセキュリティ維持にかかる時間、費用、専門知識が多すぎると説明しました。ガイドポイント・セキュリティの運用技術（OT）専門家であるパトリック・ギレスピー氏は、水や電力のような重要インフラは、交換、パッチ適用、セキュリティ対策が容易ではない、老朽化した特殊な技術に依存しているため、セキュリティ確保が独特の課題であると指摘しています。

ワコ市（テキサス州）の元最高情報責任者であり、サイバーセキュリティ企業Elisityのアドバイザーであるマイク・シーライト氏は、「これらのデバイスはオンデマンドで更新できない。メーカーが修正を認定する必要があり、工場を停止する必要がある場合もある。時には修正自体が存在しないこともある」と説明しました。「水はデータではない。請求システムが侵害されれば金銭的損失だが、処理施設が侵害されれば人々は病気になり、未処理の下水が川に流れ込むことになる」とシーライト氏は警鐘を鳴らしました。

今後の対策

今回の水道部門への攻撃では、ハッカーは基本的な脆弱性を狙ったと見られています。例えば、インターネットに公開され、追加の保護が施されていないデバイスや、デフォルトのユーザー名とパスワードが変更されていないデバイスなどが標的となりました。

オペレーターは、デフォルトの認証情報を変更する、産業機械をオフラインにする、ビジネスネットワークから産業機械を切り離す、強力なアクセス制御とファイアウォールを導入するといった基本的な対策を講じることで、これらの攻撃を防ぐことができます。しかし、将来の攻撃は、検知、阻止、復旧がより困難になる可能性があります。

米国の国家安全保障当局は、中国関連のハッキンググループ「Volt Typhoon」による脅威について長年警告しています。このグループは、米国の重要インフラに潜伏し、台湾侵攻などの紛争が発生した場合に混乱を引き起こすためのアクセスを維持しているとされています。ブレイハム市長のジョージ氏も、このような将来の脅威について深く考えています。