水道を狙うサイバー攻撃。同じ弱点を突き、複数施設へ広がる脅威

　2026年7月、ミネソタ州政府は、州内30を超える地域水道システムの運用技術（OT）がサイバー攻撃の対象になったと発表した。これとは別に、米連邦捜査局（FBI）と環境保護庁（EPA）は少なくとも7州の水道・下水道事業者からインターネットに接続された産業用コンピューターが攻撃を受けたと公表した。一部施設では、監視・制御機能が喪失したり、水道運用の能力の低下が報告されている。

　だが、水道へのサイバー攻撃は今に始まったことではない。ここでは水道サイバー攻撃の過去の事例を分析し、対応策について考える。

30を超す水道システムが標的に

　ミネソタ州の情報技術部門（MNIT）によると、攻撃は7月26日から27日にかけて発生し、30を超える地域水道システムの運用技術（OT）が対象となった。OTは、浄水場や配水施設でポンプ、弁、水位、圧力などを監視・制御する技術。攻撃を受けた事業者のすべてで断水や水質異常が起きたわけではないが、設備の隔離、現地監視、バックアップからの復旧、手動運転への切り替えを迫られた。

　それだけではない。FBIとEPAは7月30日、同種の攻撃事案が少なくとも7州の水道・下水道事業者から報告されたと発表した。狙われたのは、インターネットに直接接続されたPLC（工場や浄水場などで機械を自動制御する産業用コンピューター）。攻撃者がIPアドレスやパスワードを変更したため、事業者は設備を監視・制御できなくなった。水道施設では水位、圧力、流量などの情報をセンサーで受け取り、あらかじめ設定されたプログラムに従ってポンプを動かし弁を開閉する。外部から不正に操作されると運転に影響が及ぶ可能性があるわけだ。

15事例が示した水道システムの弱点

　水道分野のサイバー攻撃を長期的に見る手掛かりとなるのが、”A Review of Cybersecurity Incidents in the Water Sector”。この論文は、2000年から2019年5月までに公表された15事件を整理したものだ。

　論文によると侵入経路は、内部者や元請負者による不正操作、業務用ITネットワークから制御系への侵入、ランサムウェア、情報流出、遠隔接続の悪用など多様だ。影響も下水流出、設備損傷、処理工程の変更、サービス停止、水の不正使用、暗号資産採掘まで広がる。サイバー攻撃が情報漏えいにとどまらず、水量、水圧、水質、環境汚染に波及し得ることは早い段階から明らかだった。

　この論文では、以下の3つの弱点が指摘されている。
１）退職者や委託先を含むアクセス権限の管理不足。
２）業務用ITと制御系OTの分離不足。
３）監視や保守のために設けた遠隔接続が外部からの侵入口になる。

　事件後にネットワーク分離や監視を強化する例が多く、対策が事後的になりやすい点も共通していた。

同じ弱点を多数施設へ展開

　2019年までと近年の事件を比べると、攻撃手法が全面的に新しくなったとは言いにくい。変化したのは、攻撃の規模、反復性、標的の探し方。以前は、内部者の事情や個別施設の構成に依存する事件が目立ったが、2023年以降は、インターネット上から到達できる特定の製品やシステムを探索し、複数の施設で同じ手口を展開する攻撃が目立つ。

　代表例が、2023年11月のペンシルベニア州アリクイッパ。

　水圧を調整する遠隔ブースターステーションが侵害され、設備が機能しなくなった。警報を受けた職員が手動運転へ切り替えたため、公表範囲では給水や水質への直接的な影響は確認されていない。米政府機関は、イラン革命防衛隊に関連する集団による活動として注意喚起した。CISA（サイバーセキュリティ・インフラセキュリティ庁）は、インターネットへの直接接続と既定パスワードの使用を主な問題として挙げている。（CISA et al., IRGC-Affiliated Cyber Actors Exploit PLCs in Multiple Sectors, Including US Water and Wastewater Systems Facilities）

　2024年1月には、テキサス州の小規模都市が相次いで狙われた。ミュールシューでは貯水タンクが越流したため、設備を停止して手動制御に切り替えた。ヘイルセンターでは4日間に3万7000回のログイン試行があり、システムを切り離して手動運転を行った。これらの事件は、小規模な水道でも攻撃対象になりうることを示す。攻撃者は、都市の規模や知名度より、外部から設備へ到達できるか、既定または弱いパスワードが残っているか、同じ設定を別の施設にも利用できるかをチェックしているようだ。高度なマルウェアがなくても、制御盤や産業用コンピューターを直接操作できれば、ポンプの停止、設定値の変更、警報の無効化、貯水槽の越流を起こせる。

EPAが示した10の方向性

　EPAのWater Sector Cybersecurity Task Forceは2025年7月に、”Securing the Future of Water: Addressing Cyber Threats Today”を公表した。この報告書は、技術対策だけでなく、経営責任、教育、資金、人材、州政府、ベンダーを含む10の提言を示している。

　中心となるのは、経営層の関与、水道事業者が実行できる少数の基礎対策、運転員教育へのサイバーセキュリティの組み込み、技術支援と財源の拡充、最近の攻撃情報やモデル方針の共有、ベンダー・コンサルタントとの契約改善、州と地域の支援能力の強化など。

　基礎対策には、外部に露出したIT・OT資産の把握、不正アクセスの防止、インシデント対応計画が含まれる。

　水道事業者が最初に確認すべきなのは、インターネットから到達できる産業用コンピューター、制御盤、ルーター、携帯モデムなどの有無である。ベンダーが設置した保守回線や、職員が把握していない携帯通信機器も含め、外部から見える接続先と照合する必要がある。不要な公開は停止し、遠隔接続が必要な場合はVPNや認証ゲートウェイの背後へ移す。既定・共有パスワードを廃止し、多要素認証を適用する。

　同時に、侵入されることを前提とした備えも欠かせない。

　異常なログインや設定変更を早期に発見し、侵害された設備を切り離す。正常なPLCプログラムと設定をオフラインで保管し、復元できることを試験する。中央監視や通信が失われても、現地の職員が安全に手動運転へ移行できるようにする。水質確認、規制当局への報告、住民への情報提供も、サイバー対応計画に組み込む必要がある。

　アリクイッパやテキサスの事例では、警報、設備の隔離、手動運転が被害の拡大を抑えた。ミネソタでも、バックアップからの復旧や現地監視が給水継続を支えた。防御は、①侵入を減らす、②早く気付く、③安全な運転を続けて復旧する、という三段構えで考えるべきだ。

水道はサイバーと物理が直結する

　水道のサイバーリスクは、通常の情報システム障害とは性質が異なる。制御機器への侵入が、ポンプ、弁、薬品注入、水位、水圧などの物理的な動作に直結するからだ。配水管の圧力低下は断水だけでなく、条件によっては管外から汚染物質が入り込む危険を高める。下水道では、ポンプ停止や誤操作が越流や浸水につながる可能性がある。
　日本でも、水道・下水道事業者の業務用情報システムや委託先がサイバー攻撃を受けた事例はある。一方、米国の事例のように、PLCやHMIが直接侵害され、水道施設の運転に物理的な影響が生じた国内事例は、公表情報の範囲では確認されていない。

　しかし、被害が確認されていないことを安全の証としてはならない。外部から接続できる制御設備を把握し、不要な接続を遮断するとともに、侵入を受けても給水や下水処理を安全に継続し、速やかに復旧できる体制を整える必要がある。