eSecurity Planetは8月27日(現地時間)、「Hackers Target Over 100 U.S. Water Systems in a Single Month」において、米国内の上下水道システム(WWS: Water and Wastewater Systems)を標的とするサイバー攻撃が7月だけで100件を超えたと報じた。

これは米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁(CISA: Cybersecurity and Infrastructure Security Agency)が公開したインターネット露出削減ガイダンス「Internet Exposure Reduction Guidance | CISA」により明らかになった。攻撃はセルラーモデム(携帯電話回線網)に直接接続されたプログラマブルロジックコントローラー(PLC: Programmable Logic Controllers)を介して行われ、パスワードやIPアドレスを変更することで遠隔および自動管理を妨害するという。

  • 7月だけで米国の水道インフラ100件超がサイバー攻撃の標的となったことがわかった　Photo：PIXTA

    7月だけで米国の水道インフラ100件超がサイバー攻撃の標的となったことがわかった　Photo：PIXTA

インターネットに露出したPLCが標的に

攻撃の概要を伝えるCISAの発表によると、これら攻撃はあらゆる規模の事業者を標的とし、セキュリティ対策を強化している組織も例外ではないとされる。標的となったセルラーモデムは通信事業者からリースされるなど、管理対象に含まれていないケースがあり、侵入経路となった場合は運用・制御技術(OT: Operational Technology)システムの改ざん、構成変更、深刻な物理損傷の可能性がある。

なお、発表された攻撃件数は「観測数」の総計であり、すべてが侵入を許したわけではない。また、攻撃者の情報は公開されておらず、特定の脅威グループによるものかは明らかになっていない。

対策はPLCをインターネットから切り離す

CISAは同様の攻撃を回避するために、PLCをインターネットから切り離すように強く求めている。遠隔操作や自動管理を行う場合は、仮想プライベートネットワーク(VPN: Virtual Private Network)機器やゲートウェイデバイスを経由するネットワークシステムを構成する必要がある。さらにPLCへのアクセスが妨害された場合に備え、管理者に対してバックアップイメージの作成を推奨している。

OT資産をインターネットに接続する場合、必要性の検証と最小化、経路上の機器の管理状態の継続監視、外部からの侵入経路の検証、攻撃対象領域の定期的な評価などが必要とされる。またパスワードの管理、多要素認証(MFA: Multi-Factor Authentication)の実装など、基本的なセキュリティ対策も求められる。

小規模な水道事業者では、限られた人員やリソースの中でサイバーセキュリティ対策を進めることが課題となる。eSecurity Planetは、インターネットに露出した機器を把握する手段として、ShodanやCensys、Shadowserverなどのサービスも活用できるとしている。