米国水道サイバー攻撃拡大、イラン関与説とPLC防衛強化の論点

水道インフラ攻撃が地域危機に変わる理由

米国の水道システムを狙うサイバー攻撃は、単なる情報漏えいではありません。標的はポンプ、弁、薬品注入、貯水量、監視画面をつなぐ運用技術です。攻撃が深く入れば、住民が蛇口をひねった瞬間の安全と自治体サービスの継続性に直結します。

今回の焦点は、ミネソタ州で30を超える水道システムが標的となり、ミシガン州でも9システムの影響が確認された点です。連邦当局は個別事件の実行者を全面的に公表していませんが、直前に更新された共同勧告は、イラン系APTによるPLC標的化を警告していました。技術的な痕跡と地政学的なタイミングを分けて読むことが重要です。

この記事では、被害の広がり、イラン関与説の根拠、PLCをめぐる技術的弱点、そして小規模水道が取るべき現実的な防御策を整理します。論点は「誰がやったか」だけではありません。米国の水道インフラが、なぜ少ないコストの攻撃で地域危機へ転化しやすいのかにあります。

ミネソタからミシガンへ広がる被害像

30超の水道システムを狙った同時性

AP通信によると、ミネソタ州では30を超える水道システムの運用技術が標的になりました。州当局は攻撃者を特定していませんが、複数の事案に時期と使われた技術の類似性があると説明しています。影響を受けたという表現は、全地域で断水や水質異常が起きたという意味ではなく、調査で悪意ある活動が確認されたという意味です。

最も具体的な影響として挙げられたのが、人口約1,700人のブラハムです。同市では水処理施設が一時的にオフラインとなり、井戸と処理設備の操作制御が停止したため、数時間にわたって住民へ節水が求められました。水質への影響は報告されていませんが、水塔に残る水だけで地域を支える状況は、OT障害がすぐに生活インフラの制約へ変わることを示しています。

人口約8万人のプリマスでも、水道インフラの通信がサイバー攻撃後に復旧したと公表されました。現場の職員がシステムを運転し続けたため、水位や水質への影響は出なかったとされています。この「安全運転を保てた」という点は重要です。攻撃が成功しても、すべての施設が直ちに危険水を出すわけではありません。一方で、通信や監視の喪失は、異常の早期発見や遠隔運用を難しくします。

ミシガン州では、連邦のサイバー警報を受けた後、州内の水道システム9件で連邦機関が説明した内容と整合する活動が報告されました。州環境当局は、すべてのシステムが安全に稼働し、公衆衛生上の既知の影響はないと説明しています。被害の実態は限定的でも、複数州で同じ分野が同じ時期に狙われた事実は、偶発的なウェブ改ざんとは異なる警戒を要します。

安全運転を保った現場の手動対応

水道施設は、ITシステムだけで動いているわけではありません。ポンプや弁は現場で手動操作できる場合があり、今回も一部自治体では職員の対応によって供給が維持されました。これは、古い設備が常に弱点である一方、完全な遠隔依存ではない運用設計が最後の防波堤になり得ることを示します。

ただし、手動対応に頼る設計は万能ではありません。夜間や休日に小規模職員で運用する自治体では、遠隔監視が失われた時点で状況把握に遅れが出ます。水圧、薬品濃度、貯水量、ポンプ状態をリアルタイムに見られない時間が長引くほど、復旧判断は難しくなります。重要なのは、手動運転の手順を紙の計画として置くだけでなく、実際に訓練し、誰が何分以内に現場へ到着できるかまで確認することです。

今回の被害は、住民への大規模な健康被害としては確認されていません。しかし、攻撃者の目的が「広範な毒物混入」ではなく「運用の信頼を揺らすこと」なら、短時間の節水要請や監視不能だけでも十分な効果があります。水道は電力、病院、学校、消防と相互依存しているため、局所的なOT障害が地域全体の危機管理を圧迫します。

イラン系APT説を支える技術的痕跡

PLCを正規ソフトで操作する手口

連邦当局の共同勧告AA26-097Aは、イラン系APTがインターネット接続されたPLCを狙っていると警告しました。PLCは、ポンプや弁などの機械を制御する小型の産業用コンピューターです。水道分野では、処理場、井戸、貯水設備、遠隔ポンプ場などで使われます。

注目すべき点は、攻撃が高度な未知の脆弱性だけに依存していないことです。勧告は、攻撃者がメーカーの正規プログラミングソフトを使い、設定不備のあるPLCへ接続したと説明しています。Rockwell AutomationのStudio 5000、Schneider ElectricのEcoStruxure Control Expert、SiemensのTIA Portalといった正規ツールが、攻撃者側の操作にも使われ得るということです。

これは、攻撃の難度を下げます。ゼロデイを探す必要がなく、公開インターネット上に露出したPLC、弱い認証、初期パスワード、開いたままの産業用ポートがあれば、攻撃者は正規技術者に似た通信で入り込めます。勧告は、44818、2222、102、502番などOT関連ポートへの不審通信や、モデムの22番ポートを監視するよう求めています。

さらに深刻なのは、表示情報の操作です。HMIやSCADAの画面に出る値が改ざんされると、現場は異常を異常として見られません。共同勧告は、プロジェクトファイルの抽出、制御ロジックの変更や削除、表示データの操作が確認されたとしています。ある被害環境では、安全な運転パラメーターを維持する命令群が上書きされ、異常条件が通知されにくくなったと説明されています。

UnitronicsからRockwellへの標的拡張

イラン関与説の背景には、2023年から続くCyberAv3ngersの活動があります。米政府は、イラン革命防衛隊のサイバー電子司令部に関連する攻撃者が、米国内を含む水道分野のUnitronics製PLCやHMIを侵害したと過去に警告していました。2026年7月更新の勧告では、この流れがRockwell AutomationだけでなくSchneider Electric、Siemens、その他のPLCへ広がる可能性が強調されました。

攻撃者名を一つに固定して理解すると、むしろ見誤ります。WaterISACは、イラン系攻撃者の典型的な動きとして、フィッシング、パスワードスプレー、既知脆弱性の悪用、インターネット露出資産の探索、正規管理ツールの悪用を挙げています。つまり、OTだけを直接叩く単独作戦ではなく、ID、リモートアクセス、委託業者、クラウド管理基盤を経由する広い攻撃面が存在します。

現時点で、ミネソタ州とミシガン州の全事案が同じイラン系グループによるものだと断定する公開証拠はありません。FBIも個別の実行者を公に特定していません。一方で、同時期に連邦勧告がイラン系APTのPLC標的化を警告し、複数州の水道でOTの改変や監視不能に近い事案が出たため、専門家や当局がイラン系活動を有力な仮説として扱う構図です。

帰属判断には、政治的な発言よりも技術的整合性が必要です。ログに残るIP、使われた正規ソフト、PLCの機種、プロジェクトファイルの改変、HMI表示の異常、過去キャンペーンとの手口の一致を突き合わせる必要があります。攻撃者が意図的に他国の手口をまねる可能性もあるため、短い速報段階では「疑い」と「確定」を分ける姿勢が欠かせません。

老朽OTと小規模水道が抱える防衛格差

監査で見えた基本対策の遅れ

米国の水道分野が狙われやすい理由は、施設の重要性だけではありません。EPAの監察総監室は、人口5万人以上にサービスを提供する1,062の飲料水システムを受動的に評価し、97システムで重大または高リスクの脆弱性を確認したと報告しています。対象システムは全米で1億9,300万人超に水を供給しており、97システムだけでも約2,660万人に関わります。

同報告では、さらに211システムが外部から見えるポータルを持ち、中低リスクの問題を抱えていました。重大な数字は、攻撃件数ではなく露出面の大きさです。水道は一つの巨大ネットワークではなく、自治体、郡、地域公社、委託事業者が分散運用する集合体です。大都市の高度なSOCと、少人数で兼務する小規模事業者の間には大きな防衛格差があります。

EPAの執行アラートも、基本対策の遅れを明確に示しています。2023年9月以降にEPAが検査したシステムの70%超が、安全飲料水法1433条に基づくリスク・レジリエンス評価や緊急対応計画の基本要件に違反していたとされます。初期パスワードの未変更、職員共通ログイン、退職者アクセスの未停止といった問題は、高度なAPT以前の入口です。

この現実は、技術予算だけでは説明できません。水道事業者は、鉛管交換、PFAS対応、老朽ポンプ更新、料金抑制、人材確保といった課題を同時に抱えています。サイバー対策が後回しになると、遠隔監視の便利さがそのまま攻撃面になります。センサーやPLCの世代が古い場合、現代的な認証や暗号化を後付けすること自体が難しいこともあります。

ゼロトラスト以前に必要な接続制御

連邦当局とRockwell Automationが繰り返し求めている第一歩は、PLCを公開インターネットから外すことです。これは派手な対策ではありませんが、水道OTにとって最も即効性のある防御です。公開アドレスから直接到達できるPLCは、攻撃者に「正面玄関」を示している状態です。

安全な遠隔運用が必要な場合は、VPNやゼロトラストネットワークアクセス、ジャンプホスト、ファイアウォール、強い認証、ログ監視を組み合わせます。1月に公開されたOT安全接続の共同原則は、接続の事業目的、許容リスク、外部依存、責任者、隔離計画を文書化するよう求めています。接続を増やす前に、その接続を失った時の運転方法を決める発想です。

ゼロトラストも、水道OTではそのままITの方法を持ち込めません。4月の共同文書は、OTが物理プロセスと安全要件を持ち、可用性を最優先する制約を強調しています。すべての通信を急に遮断したり、未検証のエージェントを制御装置に入れたりすれば、かえって運転リスクを高めます。必要なのは、資産可視化、ID管理、ネットワーク分離、変更管理、復旧手順を段階的に整えることです。

ここで重要になるのが、現場の「既知の正常状態」です。PLCのプロジェクトファイル、HMI設定、ネットワーク構成、モデム設定、許可されたリモート接続先を保存し、変更時に比較できるようにします。共同勧告は、バックアップから復旧する場合でも、そのバックアップに悪性ロジックが含まれていないか確認するよう求めています。攻撃後の復旧は、単に古いファイルへ戻す作業ではありません。

自治体と水道事業者が優先すべき復旧設計

今回の攻撃拡大が示した教訓は、米国の水道が軍事的緊張の副産物として狙われる時代に入ったということです。イラン系APTの関与は捜査で精査されるべきですが、PLCを露出させたままにしない、初期パスワードを残さない、遠隔接続を記録する、手動運転を訓練するという対策は、帰属に関係なく必要です。

現場が今週確認すべき優先項目

水道事業者が直ちに確認すべきなのは、公開インターネットから到達できるOT機器の有無です。次に、PLCやHMIの管理者権限、モデムのログ、ベンダー保守アカウント、退職者アカウント、バックアップの完全性を点検します。可能であれば、既知の正常なPLCロジックと稼働中のロジックを比較し、想定外の変更を洗い出します。

自治体の幹部や議会が見るべき指標は、サイバー製品の導入数ではありません。断水時に誰が意思決定するか、住民へ何分で通知できるか、手動運転へ切り替えられるか、委託業者が復旧時に何を担うか、連邦機関へどの情報を報告できるかです。水道サイバー防衛は、技術部門だけの予算項目ではなく、公衆衛生と地域レジリエンスの設計そのものです。

参考資料:

• Cyberattacks on Minnesota water systems investigated as officials warn about Iranian hackers
• FBI investigates as Michigan joins Minnesota in reporting cyberattacks on its water systems
• Wave of Hacks Hits U.S. Water Facilities
• EPA, FBI, CISA, NSA Issue Joint Cybersecurity Advisory to Water System Regarding Iranian-Affiliated Cyber Attacks
• Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure
• Enforcement Alert: Drinking Water Systems to Address Cybersecurity Vulnerabilities
• Management Implication Report: Cybersecurity Concerns Related to Drinking Water Systems
• Baseline Information on Malevolent Acts for Community Water Systems Version 3.0
• SD1771 Security Advisory
• Secure connectivity principles for Operational Technology
• Adapting Zero Trust Principles to Operational Technology
• (TLP:CLEAR) Deep Dive into Iranian Cyber Actor Tactics
• US government says Iran-linked hackers are disrupting American water and energy providers
• US says cyberattacks against water supplies are rising
• Rural Texas towns report cyberattacks that caused one water system to overflow