ISSコラム

続報でわかったこと：規模は「30社」ではなかった

当初、ミネソタ州の30を超える水道が同時に狙われたと報じられましたが、続報では、インターネットに露出した100拠点超のシステムが標的になっていたことが明らかになりました。影響はミネソタにとどまらず、ミシガン・ジョージア・サウスダコタ・ニュージャージーなど、少なくとも十数州に及んでいます。

100 拠点超	十数 州	30 社超
標的となったインターネット露出システム	影響が及んだ範囲（複数州にまたがる）	悪用が確認されたミネソタの水道

攻撃者は制御装置（PLC）に遠隔からアクセスし、機器のIPアドレスやパスワードを勝手に書き換えて、監視・制御の機能を妨害しました。幸い、飲料水の広域的な汚染は確認されていませんが、運用の一部に支障が出ています。

「露出した機器が、遠隔から乗っ取られる」――特別な脆弱性がなくても、つながっているだけで狙われます。

 

「誰の仕業か」は、まだ確定していない

報道では、手口やタイミングからイラン革命防衛隊系のグループ（CyberAv3ngers）との関連が指摘されています。ただし、米政府は現時点で、特定の攻撃者を公式には断定していません。攻撃者の特定（アトリビューション）は、当局・研究機関の分析が進む中で更新されていく性質のものです。
重要なのは、「誰がやったか」よりも「どこから入られるか」に目を向けることです。攻撃者が誰であれ、狙われる“入り口”――インターネットに露出した制御機器や初期パスワード――は共通しているからです。

いま、自社で確かめるべきこと

続報で示された対策は、前回のコラムで挙げた多層防御と方向性は同じですが、「まず自社の露出を自分で調べる」という点がより具体的になりました。攻撃者は公開された探索ツールで露出機器を見つけます。ならば、守る側も同じツールで“自社がどう見えているか”を先に確認するべきです。

自社のOT露出を確かめる３つのステップ

まず「見えているか」を調べ、露出を絶ち、認証と機器更新で固める。

図：自社のOT露出を確かめる3ステップ。まず「見えているか」を調べ、露出を断ち、認証と機器更新で固める。

① 調べる ― 自社の“見え方”を点検する

• Shodan・Censys・Shadowserverなどの公開サービスで、自社の制御機器やゲートウェイがインターネットから見えていないかを確認する。
• セルラーモデム経由でPLCが直接ネットにつながっていないか（“気づかぬ露出”）を洗い出す。

② 断つ ― 不要な露出をゼロにする

• 不要な遠隔アクセスを外し、正規の接続はVPN・セキュアゲートウェイ・ファイアウォール経由に限定する。

③ 固める ― 認証と機器を最新に

• 初期パスワードを変更し、遠隔アクセスにMFAを導入する。
• セキュリティ更新を適用し、サポートが切れた機器は交換する。委託先・ベンダーとの接続も棚卸しして検証する。

おわりに

「30社」が「100拠点超」へと膨らんだこの続報は、OT攻撃が一部の特別な事例ではなく、“つながっている限り、誰もが対象になり得る”ことを示しています。まずは自社が外からどう見えているかを確かめる――その一歩が、次の被害者にならないための最も確実な備えです。

インターネットセキュアサービス（ISS）では、OT環境を含む露出状況の点検や対策の優先順位づけをご支援しています。「自社が外からどう見えているか確かめたい」という段階からでも、お気軽にご相談ください。

 

---

参考にした主な情報源

eSecurity Planet「CISA Warns of Cyberattacks on Water Systems’ PLCs」（露出100拠点超・被害州・調査ツール・対策）／CISA Alert 2026-07-30・勧告 AA26-097A／前回コラム「『画面は正常』でも、冷蔵庫は止まっている」。攻撃者の特定は当局・研究機関の見解に基づき、公式には未確定。