セキュリティ

ポーランド水処理施設5カ所にハッキング、給水改ざんの恐れ

情報の灯台

2026年5月10日 00:0600

ポーランド内部保安庁(ABW)が、国内5カ所の水処理施設に対するサイバー侵入を確認した。最悪の場合、給水の安全性そのものに手を加えられる恐れがあったという。米国でも同種の脅威が続いている。

「給水を毒に変える」が現実の選択肢になっている

ポーランドの情報機関が、自国の水処理施設に対する深刻な侵入の存在を公にした。ABW(Agencja Bezpieczeństwa Wewnętrznego、ポーランド内部保安庁)が5月6日に公表した活動報告書で、5カ所の水処理プラントが攻撃を受け、攻撃者が施設内の産業機器を制御できる状態にあったと明かしている。

蛇口の向こう側にいるのが地球の裏側のサーバーだったとして、誰がそれに気づけるだろうか。水道は最も気づかれにくいインフラだ。停電なら数秒で誰もが気づくが、水質の異変は飲み下した後に体内で初めて顕在化する。

ABW の報告書は、過去2年間にロシア情報機関が指揮した妨害工作を多数阻止したと記す。攻撃対象は軍事施設、重要インフラ(送電網・水道・交通網)、そして民間施設にまで及ぶ。

「最も深刻な課題は、ポーランドに対する妨害活動である。これはロシア情報機関によって着想され、組織されたものだ。脅威は現実的かつ差し迫っており、全力での動員を要する」

報告書は水処理施設への攻撃者がロシア政府所属のスパイや工作員かどうかを明示していない。だが直近のポーランドが置かれた立場を考えれば、容疑者リストの上位は自ずと絞られる。

12月のブラックアウト未遂、そして水道へ

ポーランドは2025年12月29日と30日、エネルギーインフラへの大規模な攻撃を受けた。攻撃者は2カ所の熱電併給プラントを標的にし、再生可能エネルギー設備と配電事業者の通信回線を遮断しようとした。

セキュリティ企業ESETの分析では、この攻撃には「DynoWiper」と名付けられた未知のワイパーマルウェア(データ消去型マルウェア)が使われていた。ESETは中程度の確度で、ロシア軍参謀本部情報総局(GRU)傘下のサンドワーム(Sandworm)による犯行と帰属している。サンドワームは2015年のウクライナ送電網攻撃で停電を引き起こした、世界で最初に「サイバー攻撃で人々の電気を消した」グループだ。なおポーランドのCERT(政府のコンピュータ緊急対応チーム)は、別系統のロシア連邦保安庁(FSB)に帰属するとの見方を示しており、帰属判断はなお調査の途上にある。

ポーランドのドナルド・トゥスク首相は、攻撃が成功していれば最大 50万人の暖房 が止まる可能性があったと述べている。クシシュトフ・ガフコフスキ副首相兼デジタル化相は「至近距離でブラックアウトを免れた」と語り、近年で最も深刻なサイバー攻撃のひとつと位置づけた。

CERTの続報では、侵入を許した施設の多くがデフォルトのID・パスワードを使い続け、多要素認証も導入していなかったことが明らかになった。さらに侵害は2025年3月にまで遡り、攻撃者は数カ月にわたって施設の内部を静かに調査していたとみられる。

12月の電力攻撃と5月の水道報告は、ひとつの絵の別の角度だ。ロシアにとってポーランドは、ウクライナへの兵站の中継地であり、NATOの東の壁であり、揺さぶる価値のある相手である。揺さぶり方は、もう「ミサイルか」「サイバーか」の二択ではない。

エネルギー・水・通信、市民生活の基盤になっているものはすべて、攻撃面に組み込まれている。

重要インフラを狙ったサイバー攻撃の主要事例

2021年2月

米フロリダ州オールズマー水処理施設

遠隔操作により水酸化ナトリウム濃度を通常の100倍以上へ。操作員が即座に発見し被害は回避。後にFBIが内部的に「侵入なし、従業員の操作ミス」と結論したとの証言も。

水道・給水改ざん未遂

2023年11月

米ペンシルベニア州アリキッパ市営水道公社

イラン革命防衛隊系のCyber Av3ngersがイスラエル製Unitronics PLCを侵害。デフォルトパスワードのままインターネット直結だった機器が標的に。

水道・PLC侵入成功

2025年12月

ポーランド・電力グリッド攻撃未遂

ロシアGRU傘下のサンドワーム(別系統ではFSB系との見方)がDynoWiperで2カ所のCHPと再エネ管理網を攻撃。最大50万人の暖房停止の恐れがあった。

電力・ワイパー攻撃

2026年5月

ポーランド・5カ所の水処理施設侵入を公表

ポーランド内部保安庁(ABW)が公表。攻撃者が施設内の産業機器を制御できる状態にあり、最悪の場合は給水の安全性に手を加えられた可能性。

水道・産業機器制御

※ 出典:ポーランド内部保安庁(ABW)2024-2025活動報告書、CISA勧告、ESET研究報告、Pinellas County Sheriff's Office発表

米国の水道も同じソフトターゲットだ

ポーランドの事例は遠い国の話ではない。米国の水道インフラも、ここ数年でほぼ同じ構図の攻撃に晒されてきた。

象徴的だったのが2021年2月のフロリダ州オールズマーの事件だ。ピネラス郡保安官の発表によれば、攻撃者は水処理施設の制御画面を遠隔操作し、水酸化ナトリウム(俗称・カセイソーダ)の濃度を通常の 100倍以上 に引き上げようとした。水酸化ナトリウムは排水管洗浄剤の主成分でもあり、過剰摂取は気道や食道、胃を焼く。もし操作員が画面の異変に気づかなければ、人口約1万5000人の町の給水が毒に変わるところだった。

もっとも、この事件には後日談がある。事件から2年後、当時のオールズマー市長代理が業界カンファレンスで「侵入は実際には起きなかった可能性が高い」と発言した。FBIは公式に結論を出していないが、内部的には「同じ従業員のオペレーションミスだった」とも語られている。最初に世間を駆け抜けた物語が、後から崩れることはサイバーの世界ではよくある。だがオールズマーの「真相」がどうあれ、画面ひとつで給水を毒に変えうるという事実、つまり設計上のリスクそのものは消えていない。

実際、それからわずか2年後の2023年11月、ペンシルベニア州アリキッパ市の水道公社で、同じ構図の攻撃が今度は本当に成功した。

アリキッパが見せた「無防備な配管」の現実

イラン革命防衛隊(IRGC)に紐づくとされるCyber Av3ngersが、アリキッパ市営水道公社のブースターステーション(加圧ポンプ施設)に侵入した。標的になったのはイスラエル製のUnitronics製PLC(プログラマブルロジックコントローラー、産業機器を制御する小型コンピューター)。

侵入後、施設のディスプレイには次のメッセージが表示された。

You Have Been Hacked. Down With Israel, Every Equipment 'Made In Israel' Is Cyber Av3ngers Legal Target.(あなたはハッキングされた。打倒イスラエル。Made in Israelの機器はすべてCyber Av3ngersの正当な標的だ)

攻撃者がアラームをわざと鳴らしたとの見方もある。「侵入を発見させたかった」のだ。被害自体はブースターステーションのみで、飲料水への影響は確認されていない。だが攻撃成立の理由が衝撃的だった。Unitronicsの当該機器は、 デフォルトパスワード が付いたままインターネットから直接到達可能な状態に置かれていた。CISA(米サイバーセキュリティ・インフラセキュリティ庁)がアラート文書のなかで、当該デフォルトパスワードとポート番号をうっかり公開してしまうという二次的な失態まで起きている。

配管の話だと思っていたものが、実はインターネットに直接ぶら下がった露出ポートの話だった。「攻撃が成功した」のは技術力のせいではない。「攻撃を成功させる扉」が空いていただけだ。

CISAによれば、米国には公共飲料水システムが約15万2000カ所、下水処理システムが1万6000カ所以上あり、人口の80%をカバーする。中小規模の自治体水道は専任のセキュリティ担当者を雇う余裕がなく、PLCをインターネットに直接さらしたまま運用されているケースが珍しくない。この巨大な数字は、強さの裏返しではなくむしろ弱点の総量に近い。

2026年4月、警告のレベルがもう一段上がった

直近の動きとしては、2026年4月7日にFBI、CISA、NSA、EPA、エネルギー省、米サイバー軍によるサイバー国家任務部隊(CNMF)の6機関が共同アドバイザリーを発出している。

アドバイザリー(AA26-097A)が告げているのは、Iran系APTグループが2026年3月以降、米国内のインターネット露出PLCを狙って能動的に攻撃を継続中という事実だ。標的の中心はRockwell Automation/Allen-Bradley製のCompactLogixやMicro850。被害施設では設定ファイルの改ざんや、HMI(Human Machine Interface、運転員が見る画面)に偽の数値を表示する操作が確認された。 6機関 が同時に名を連ねるアドバイザリーは異例で、警戒レベルの上昇を端的に示している。

圧力計が「正常」と表示している間に、配管の内側で何かが起きている。これがOT(Operational Technology、運用技術)攻撃の現代的な形だ。HMIに映る世界と、物理プロセスの世界をズラされる。

この攻撃は、2026年2月末に始まった米国・イスラエル対イランの軍事衝突と地続きで動いている。ミサイルが飛び交っている戦線と、PLCを書き換えている戦線は、必ずしも切り離せるものではない。Cyber Av3ngersも、その後IOControlと呼ばれるカスタムマルウェアを開発し、米国とイスラエルの水・燃料管理システムへの遠隔制御能力を強化したと報じられている。

各事例で確認された脆弱性要素

脆弱性要素	オールズマー	アリキッパ	ポーランド電力	ポーランド水道
ネット直結のOT機器	不明	○	○	不明
デフォルトパスワード残存	不明	○	○	不明
多要素認証なし	不明	○	○	不明
遠隔アクセスソフトの不適切設定	○	—	—	不明
国家関与の攻撃者	—	○	○	○
物理プロセスへの介入	○	○	—	○

※ ○:確認済み、—:該当せず・否定、不明:公表情報からは判定不能。出典:CISA Advisory AA26-097A、CERT Polska報告、Idaho National Labs報告、ABW活動報告書

日本の水道は対岸の火事ではない

ポーランドと米国の事例を眺めるとき、日本の水道は安全圏にいる、と読み解きたくなる。実際、日本では水処理施設のサイバー攻撃で具体的な被害が公表された例は、まだ表立って多くはない。

だが、目立った被害が出ていないことと、攻撃を防いでいることは別物だ。

国土交通省は令和元年(2019年)9月に水道施設の技術的基準を定める省令を改正し、サイバーセキュリティ確保を施設要件として明文化した。さらに令和7年(2025年)2月にも、第4次行動計画を踏まえた追加改正を実施している。NISC(現・国家サイバー統括室)は水道事業者向けの分野横断演習を毎年行っており、参加事業者の拡大を呼びかけている状況だ。

ただし、日本の水道事業の運営主体は地方自治体や水道局が中心で、人員も予算も決して潤沢ではない。専任のOTセキュリティ担当者を置けている水道事業者は、現実にはごく限られているとみられる。

ペンシルベニアでもポーランドでも、攻撃成立の本質は同じだった。インターネットに直接さらされたOT機器、デフォルト認証情報、多要素認証の不在。これは特定の国に固有の問題ではなく、世界中どの水道事業者にも当てはまる「設計の癖」の話だ。