ISSコラム

1. 概要（エグゼクティブサマリー）

2025年末から2026年にかけて、OT（制御技術）環境を直接狙うサイバー攻撃が世界各地で相次いでいます。発電・地域熱供給、上下水道、そしてスーパーマーケット・倉庫・病院で使われる商業用冷蔵の制御機器まで、人々の生活と事業に直結する物理インフラが標的となりました。

これらの攻撃には明確な共通点があります。①インターネットに直接露出した制御機器（PLC等）、②既定パスワードや既知の脆弱性の放置、③IT系とOT系のネットワークが分離されていないこと、を突く点です。さらに、国家が関与する攻撃者（イラン・ロシア系）が、有事に備えた妨害の予行演習として重要インフラを狙う傾向が強まっています。

影響は情報漏えいにとどまらず、供給停止・煮沸勧告・食品や医薬品の劣化といった「物理的な被害」に及びます。米国土安全保障省のCISAは2026年7月30日、水道セクターに対しOT/PLCの保護を求める緊急警告を発しました。

図1：OT環境への攻撃に共通する経路。露出した機器を起点に境界を越え、制御装置を掌握して物理被害に至る。

本レポートの要点

• OTはITと別物。「情報を守る」だけでなく「設備を止めない・誤動作させない」観点の防御が必要。
• 侵入の多くは高度な手口ではなく、露出・既定パスワード・未分離ネットワークという“基本の穴”を突いている。
• 取引先・関連拠点（例：風力発電設備）経由の侵入もあり、自社境界だけでなくサプライチェーンを含む面での対策が要る。
• 対策は特別な製品より、露出遮断→認証強化→ネットワーク分離→制御装置の堅牢化→監視と復旧という多層防御の徹底が費用対効果が高い。

経営への示唆：　OT環境のセキュリティを『工場・設備の運用課題』から『経営リスク』へ格上げし、資産の可視化と多層防御への投資判断を経営層が主導することが、今後1年で最も重要な備えとなります。

2. 詳細

2-1. なぜ今、OT環境が狙われるのか
かつて制御システムは外部ネットワークから隔離されていました。しかし遠隔保守やクラウド連携の普及で、PLC（プログラマブル・ロジック・コントローラ）やHMI（操作画面）がインターネットに接続される例が増え、攻撃者から“見える”状態になっています。加えて、国家の関与する攻撃者にとって、電力・水・食品流通といった重要インフラは、有事における妨害の格好の標的であり、平時からの侵入・地ならしが進んでいます。

2-2. 攻撃に共通する“基本の穴”

• インターネットへの直接露出：PLCやゲートウェイが公開され、探索エンジンで容易に発見される。
• 既定・弱いパスワード／認証の欠如：出荷時のパスワードやMFA未設定のVPN・ファイアウォールが侵入口になる。
• IT/OTの未分離（フラットな網）：一度の侵入で制御系まで到達できる。私設APN/セルラー回線が横移動に悪用された例もある。
• 更新の難しさと安全機能の悪用：稼働停止を嫌いパッチが遅れがち。攻撃者は制御ロジックや安全機能（AOI）を改ざんし、警報を出さずに危険を作り出す。

 

2-3. 攻撃者像（アトリビューション）
水道への一連の攻撃では、イラン革命防衛隊のサイバー電子軍（IRGC-CEC）に紐づく「CyberAv3ngers」が手口・タイミングの面でプロファイルに一致するとされています（別名 Storm-0784／Bauxite／UNC5691）。同グループは小規模な水道事業者を継続的に狙ってきた実績があり、米財務省は2024年2月にIRGC-CEC高官6名を制裁しています。発電・熱供給への攻撃ではロシア系グループの関与が指摘されるなど、国家関与型の脅威が中心です。

2-4. 標的とされた制御機器と主な脆弱性
攻撃は特定ベンダーに限らず、広く普及したPLCへ及んでいます。

ベンダー	標的とされた主な機種	代表的な既知脆弱性
Rockwell / Allen-Bradley	MicroLogix 1100/1400、CompactLogix、Micro850	CVE-2021-22681（CVSS 9.8・認証バイパス）
Rockwell（ControlLogix）	1756 系モジュール	CVE-2023-3595（9.8・遠隔コード実行）
Schneider Electric	Modicon M340 / BMX P34	CVE-2024-6242（8.4・保護スロット回避）
Siemens	S7-1200 / S7-1500 / S7-300（S7プロトコル）	STOP化・設定ロック等の悪用

※ 一部の脆弱性はベンダー修正が提供されず、ネットワーク分離など設計面の対策が必須。既知CVEの棚卸しと、自社が該当機種を使っているかの確認が出発点となる。

図2：2025年末〜2026年の主要インシデントの流れ。発電・冷蔵・水道と標的が広がり、CISAの警告に至った。

 

3. 具体的な事例

事例A：ポーランドの熱電併給（CHP）発電所（2025年12月29日）
約5万人へ地域熱供給と発電を行うCHP発電所が攻撃を受けました。侵入経路は風力発電設備側のFortiGateファイアウォール（MFA未設定）で、そこから私設APNのセルラールータを経由してCHPの産業用制御装置に到達。Siemens S7-300/1200/1500をS7プロトコルでSTOP状態にしてパスワードでロックし、蒸気タービンと水処理系を停止させました。暖房・電力の供給自体は途絶せず、運用者が制御装置をリセットしバックアップ設定を復元して午前7時半頃に復旧しています。ポーランド政府はロシア系の関与を指摘しました。

この事例の示唆：　攻撃は本体設備ではなく“関連設備（風力）”から入り込みました。私設APN経由の横移動は実運用での初の確認例とされ、自社境界だけでなく取引先・関連拠点を含む経路の遮断とMFAの徹底が重要です。
 

事例B：商業用冷蔵の制御機器の脆弱性（スーパー・倉庫・病院）
セキュリティ企業Clarotyの研究チームTeam82は、Copeland製の監視コントローラXWEB300D / XWEB500D PROに23件の脆弱性（うち21件が高深刻度）を発見しました。認証を完全に回避できる CVE-2026-25085、パスワードを推測可能にする CVE-2026-21718 のほか、19件のコマンドインジェクションによりroot権限の奪取が可能です。
最も危険なのは、温度表示を正常に見せかけたまま冷却を密かに停止できる点です。表示上は問題がないため、スーパーの生鮮品、倉庫の在庫、病院の医薬品やワクチンが気づかぬうちに劣化する恐れがあります。Copelandは修正版ファーム（v1.13）を提供済みで、インターネット露出の排除・ネットワーク分離・速やかな更新が推奨されています。

この事例の示唆：　「画面が正常＝安全」とは限りません。監視値そのものが改ざんされ得るため、冷蔵・空調など環境制御は独立した監視や物理アラームの併用が有効です。食品・医薬品の安全（品質・コンプライアンス）にも直結します。

 

事例C：ミネソタ州の水道事業者30社超への組織的攻撃（2026年7月26〜27日）
2日間で30を超えるコミュニティ水道（少なくとも12州にまたがる）が同時多発的に攻撃されました。Braham市では浄水場が約3時間オフラインとなり、複数の自治体で煮沸勧告（boil water notice）や手動運転への切り替えが発生。攻撃者はインターネット露出したPLCを狙い、制御プロジェクトファイルの窃取や、安全機能を無効化するAOI（アドオン命令）の改ざんといった手口を用いました。リークされた政府内メモはこの攻撃をイランに関連付け、前述のCyberAv3ngersがプロファイルに一致するとされています。州のIT機関MNITが州全体のインシデント対応を発動しました。

あわせて：CISAの緊急警告（2026年7月30日）
この攻撃を受け、CISAは水道・下水セクターへ緊急の注意喚起（勧告AA26-097Aの更新を含む）を発出。主な緩和策は次のとおりです。

• PLCをインターネット直結から外し、VPN/セキュアゲートウェイ経由に限定する
• 既定パスワードを変更し、遠隔アクセスにMFAを導入。接続元をIP許可リストで限定する
• PLCの物理モードスイッチを「RUN」に固定する
• IT/OTのネットワーク分離を実施し、セルラー/OT接続を棚卸しする
• 不審なポート（44818・2222・102・502・22）の通信を監視する
• パスワードロックに備え、オフラインの正常なPLCイメージ（バックアップ）を保持する
   

3つの事例比較

事例	標的・時期	手口	影響・攻撃者
A 発電/熱供給	ポーランドCHP／2025年12月	関連設備(風力)のFW→私設APN→Siemens S7をSTOP・ロック	タービン・水処理停止（供給は維持）／ロシア系
B 商業用冷蔵	スーパー・倉庫・病院／2026年公表	Copeland監視機の23脆弱性、温度表示を偽装し冷却停止	生鮮・医薬品の劣化リスク／脆弱性研究で判明
C 水道	ミネソタ30社超／2026年7月	露出PLCを標的、AOI改ざん・設定窃取	煮沸勧告・手動運転／イラン系(CyberAv3ngers)

 

4. お客様が実施すべき対策

対策の基本は、特別な製品の導入よりも「多層防御」の徹底です。外側で露出を断ち、内側で万一の侵入に備えます。以下は上から順に着手するのが効果的です。

図3：OT環境を守る多層防御の全体像。①露出削減から⑤監視・復旧まで、守りを重ねる

① 露出の削減（最優先）

• PLC・HMI・ゲートウェイをインターネット直結から外し、VPN/セキュアゲートウェイ経由に限定する。
• 外部探索サービス等で自社IPの露出状況を点検し、意図しない公開機器をゼロにする。

② 認証の強化

• 出荷時の既定パスワードを全機器で変更。遠隔アクセスにMFAを必須化する。
• 接続元をIP許可リストで限定し、保守用の端末・経路を明確にする。

③ ネットワークの分離

• IT系とOT系を分離・セグメント化し、一度の侵入で制御系へ到達できない構成にする。
• 私設APN・セルラー回線・取引先/関連拠点との接続を棚卸しし、サプライチェーン経由の侵入経路を遮断する。

④ 制御装置の堅牢化

• PLCの物理モードを「RUN」に固定し、遠隔からのプログラム変更を抑止する。
• 利用中の機種（Rockwell／Schneider／Siemens／Copeland等）の既知CVEを棚卸しし、ファーム更新を計画的に適用。安全機能（AOI等）の改ざん監視を行う。

⑤ 監視と復旧

• 不審ポート（44818・2222・102・502・22）や制御通信の異常を監視する。
• パスワードロックに備え、オフラインの正常なPLC設定バックアップを保持。OTを想定したインシデント対応手順と復旧演習を整備する。

⑥ ガバナンス（経営として）

• OTセキュリティを経営リスクと位置づけ、OT資産の可視化（アセットインベントリ）を実施する。「何が・どこに・どう繋がっているか」を把握する。
• 取引先・委託先を含めたサプライチェーンのセキュリティ要件を定め、定期的に点検する。
• 経営層が関与する報告ラインと投資判断の枠組み（重要インフラ相当の扱い）を整備する。

まとめ：着手の優先順位

時間軸	アクション
即時	インターネット露出機器の洗い出しと遮断、既定パスワード変更、MFA導入
短期	IT/OT分離とセグメント化、既知CVEの棚卸しとファーム更新、オフラインバックアップ整備
継続	OT資産の可視化と監視、サプライチェーン点検、OT対応のIR演習、経営報告の定着

 

出典

本レポートは公開情報に基づき2026年8月14日時点で作成。主な参照元は以下のとおりです。

• BleepingComputer「Hackers target over 30 Minnesota water utilities in coordinated OT attack」
• WIRED「A Leaked Memo Ties Cyberattacks on Minnesota Water Utilities to Iran」
• CISA Alert（2026-07-30）「Protect OT Against Activity Targeting PLCs」／勧告 AA26-097A、SecurityWeek・Industrial Cyber・Tenable の関連解説
• CybersecurityNews / Claroty Team82「商業用冷蔵コントローラ（Copeland XWEB）の脆弱性」
• SecurityLab.ru ほか「ポーランドのCHP発電所へのサイバー攻撃」報道

注：攻撃者の特定（アトリビューション）は当局・研究機関の見解であり、確定情報でない場合があります。CVEやCVSS値は各データベースの公表値。