元NSA長官「PLCをネットに繋ぐな」。米水道攻撃12州に拡大
ミネソタ州の水道30施設が襲われてから2週間。被害は12州に広がり、ハッカーの祭典で防衛の新組織が立ち上がった。
ミネソタ州の水道30施設が襲われてから2週間。被害は12州に広がり、ハッカーの祭典で防衛の新組織が立ち上がった。
5万の水道、ほぼゼロの防衛
米国には約5万の自治体水道がある。その9割が、人口1万人未満の小規模施設だ。
専任のサイバーセキュリティ担当者を置ける余裕がある施設はごくわずかで、IT担当すらいない施設も珍しくない。水質の監視、ポンプの制御、バルブの開閉を担うPLC（産業用制御装置）が、インターネットから直接到達できる状態のまま放置されている。
現地時間8月7日、DEF CON 34の記者ブリーフィングで、元NSA（国家安全保障局）長官・元サイバー軍司令官のポール・ナカソネ（Paul Nakasone）退役大将がこう述べた。
These PLCs should not be connected to the internet.
（PLCをインターネットに接続すべきではない）
7月26日から27日にかけて、ミネソタ州内の30以上の自治体水道が一斉にサイバー攻撃を受けた。攻撃者はインターネットに露出したPLCに遠隔アクセスし、IPアドレスとパスワードを書き換えて運転員を締め出した。
ブレイハム市では浄水場が停止し、住民に節水が呼びかけられた。プリマス市では給水塔と汚水ポンプ場の遠隔監視が途絶えている。
FBIとEPA（環境保護局）が7月30日に発出した共同警告によれば、7月27日以降、少なくとも7州の水道・下水施設がFBIに被害を報告している。水圧の低下や浸水が確認された施設もある。その後、影響は少なくとも12州にまで広がった。
犯人はイランか
公式な帰属はまだない。FBIもトランプ政権も、特定の国家を名指ししていない。
だが状況証拠は一方向を指している。CISAは攻撃が始まる4日前の7月22日、イラン系攻撃者によるPLC攻撃を警告するアドバイザリーAA26-097Aを更新していた。更新内容にはシュナイダーエレクトリック製やシーメンス製のPLCへの攻撃拡大が追記されている。
ナカソネ氏は帰属について、連邦政府が慎重なアプローチを取っていると述べた上で、こう続けた。
I see an actor here that has certainly shown a history of being able to do this. They certainly have the capability. There's an intent … we're in conflict with Iran.
（この種の攻撃を実行してきた実績を持つアクターがいる。能力も意図もある。我々はイランと紛争状態にある）
Halcyon Ransomware Research Centerのシンシア・カイザー（Cynthia Kaiser）上級副社長もDEF CONで同様の見方を示し、イランの関与にほぼ確信があるとしている。
2023年のペンシルベニア州アリキッパ水道公社への攻撃は、IRGC（イラン革命防衛隊）系のCyberAv3ngersによるものだったとCISAが認定している。今回の攻撃の手口（インターネット露出PLCのパスワード変更と運転員の締め出し）は、CyberAv3ngersの過去のパターンと一致する。
2026年2月28日に始まった米国・イスラエルとイランの軍事衝突は、サイバー空間にも波及している。4月の暫定停戦後もPLC攻撃は止まらず、むしろ標的の州が増え続けている。
ハッカーが「消防団」を作った
5万の施設を、連邦政府だけでは守れない。ナカソネ氏はDEF CONで、防衛には官民の連携が不可欠だと繰り返し強調した。
その言葉を具体化する動きが、同じ日に起きている。
DEF CON Franklinと全米農村部水道協会（NRWA）は現地時間8月7日、Water Watch Center（WWC）の設立を発表した。人口1万人未満の水道施設を対象に、脅威情報の共有とサイバーセキュリティ支援を提供する組織だ。
DEF CON Franklinは2024年に始まった取り組みで、ハッカーカンファレンスの参加者がボランティアで地方の水道施設のセキュリティ強化を手伝う。2年間で約450人のボランティアを集め、アリゾナ、インディアナ、オレゴンなど7州の水道施設で実地支援を行ってきた。
WWCではRapid7、Defendify、Legato Security、L1 Secure、Sentinel Technologiesの5社が、マネージド検知・対応サービスを水道施設に提供する。NRWAがハブとして脅威情報と脆弱性パッチ情報を集約・配布する仕組みだ。
2023年11月 CyberAv3ngers、水道PLCに侵入 ペンシルベニア州アリキッパ水道公社。デフォルトパスワードで到達 2024年2月 メンバー6名に米財務省が制裁 IRGC（イラン革命防衛隊）系と認定 2024年末 DEF CON Franklin始動 ボランティアによる水道施設のセキュリティ支援を開始 2026年4月 6機関共同アドバイザリー発出 イラン系によるPLC攻撃の継続を警告 7月22日 CISAがアドバイザリーを更新 攻撃の4日前。対象PLCメーカーを拡大 7月26〜27日 ミネソタ州30施設に一斉攻撃 浄水場停止、水圧低下、浸水が発生 7月30日 FBI/EPA共同警告、7州に拡大 水道・下水施設への被害を確認 8月7日 12州に拡大、WWC設立 ハッカー450人と水道業界が防衛組織を設立 |
DEF CON創設者のジェフ・モス（Jeff Moss）氏はプレスリリースで、2年間の試行錯誤を経て、ハッカーコミュニティだからこそ生み出せた仕組みだと述べている。
構造は変わっていない
ナカソネ氏はDEF CON Franklinの取り組みに加えて、自身がバンダービルト大学国家安全保障研究所の創設所長として進めるProject Chimeraにも言及した。学術研究者とセキュリティ実務者が連携し、オープンソース技術で重要インフラの防御を強化するプラットフォームだという。
だが、どれほど支援の枠組みが整っても、根本的な構造は変わっていない。
5万の水道施設のうち91%が、人口1万人未満の小さな町にある。そこでは水道の運転員が町のあらゆる仕事を兼任している。
PLCがインターネットに直接露出している理由は、高度な判断の結果ではない。遠隔監視のためにセルラー回線を繋いだまま、誰もセキュリティ設定を見直さなかっただけだ。デフォルトパスワードを変えていない施設さえある。
攻撃者がPLCに到達するのに、ゼロデイ脆弱性は必要ない。既知の認証バイパスとデフォルト設定だけで十分だ。
蛇口から出る水の上流に、インターネットから到達可能なPLCがぶら下がっている。「繋ぐな」という警告は何十年も前から繰り返されてきた。それを元NSA長官がDEF CONの壇上で、12州の被害を背景に改めて口にしなければならなかった。
