米国の国家安全保障局（NSA）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、エネルギー省（DOE）、環境保護庁（EPA）の5機関が、シーメンス製「S7シリーズ」のプログラマブル・ロジック・コントローラー（PLC）を狙う進行中のサイバー脅威について共同警告を出しました。1

PLCは、工場や浄水場などで機器や工程を監視・制御する産業用コンピューターです。今回の警告が示すのは、すべての対象施設が侵害されたということではありません。攻撃者とされる集団が、米国内のS7設置環境を偵察し、将来の侵入や妨害に使える能力を開発しているという点が核心です。

特に重要なのは、米政府機関がこの活動をイランに帰属させていないことです。また、今回の警告だけで、最近報告された各地の水道システム障害が同じ活動によって引き起こされたとも確認できません。

何が狙われているのか

警告によると、攻撃者はインターネット上のスキャンサービスを使い、外部から直接アクセスできる、あるいはネットワーク分離が不十分なS7 PLCを探しています。古いソフトウェアや、初期設定のままの認証情報、弱いパスワードを使っている機器は、リスクが高まります。1

対象として挙げられた分野は次の通りです。

• 上下水道
• 重要製造業
• エネルギー
• 化学施設
• 食品・農業
• 商業施設
• 潜在的には国防産業基盤 1

現段階の活動は、脆弱なシステムを見つけ、構成を把握し、後の侵入や妨害を支えるツールを準備することに重点があるとみられます。目に見える停電や断水が起きていなくても、偵察によって攻撃者は標的の選定や作戦準備に必要な情報を得られます。

AIはどのように使われたのか

共同警告によれば、攻撃者は公開されている技術情報とAIの支援を組み合わせ、シーメンス製S7システム向けの攻撃スクリプトを生成・改良したとされます。問題は、AIがシーメンス製品に新たな脆弱性を作ったということではありません。公開情報を実際に使える攻撃ツールへ変換するために必要な時間や専門知識を、AIが減らす可能性があるという点です。1

報告されたスクリプトには、公開ライブラリの​snap7が使われ、正規のOT（運用技術）監視ツールに似せた設計が含まれていたとされます。これらのツールは、S7commプロトコルを通じてPLCのメモリー、設定、ラダー・ロジックとやり取りできる可能性があります。1

PLCは、デジタル情報を扱うだけでなく、現実の設備や工程に近い場所で動作しています。読み取り権限があれば施設内の構成を把握し、攻撃準備を進められます。さらに書き込み権限を奪われたりラダー・ロジックを改変されたりすれば、設備の動作、工程制御、警報、安全機能に影響が及ぶ可能性があります。ただし、警告に記された能力が、すべての標的施設で実行されたことを意味するわけではありません。

PLCが侵害された場合に起こり得ること

施設の設計や攻撃者が得た権限によって異なりますが、PLCへの侵入はデータ窃取にとどまらない影響をもたらす可能性があります。

• 生産や公共サービスの停止
• 工程設定や設備の動作順序の変更
• 停止装置、警報、安全インターロックへの干渉
• 設備を想定外の範囲で動作させることによる損傷
• 運用情報の流出
• 接続された制御システムへの波及 1

スキャンやログイン失敗は、施設を完全に制御された状態と同じではありません。しかし、外部に露出したPLCは、一般的な業務システムの侵害よりも、実際の運用環境へ近づく直接的な足掛かりになり得ます。

最近の水道システム攻撃との関係

今回のシーメンスへの警告は、米国の複数州で地方の水道システムに対するサイバー攻撃が報告された時期に出されました。ミネソタ州では、30を超える水道システムが協調的なサイバー攻撃を受けたと報告され、FBIは少なくとも7州で関連する活動が報告され、その一部では水道業務が低下したと説明しています。16

捜査当局やサイバーセキュリティ専門家は、これらの攻撃にイランが関与した可能性を調べていました。ただし、公開報道で示されたのは捜査中の評価であり、最終的な公的帰属ではありません。16ドナルド・トランプ大統領は、根拠を示さないまま、イラン説を退け、ミネソタ州とティム・ウォルツ知事に責任があると発言しました。17

両者の重なりは、現時点では次のような文脈上の関連にとどまります。

1. いずれも重要インフラや産業制御環境に関わる。
2. インターネットに公開された、または十分に保護されていないOT機器への懸念が共通している。
3. 以前の米政府の警告では、イラン系の攻撃者がインターネット接続されたPLCを狙っているとされ、当初はロックウェル・オートメーション／Allen-Bradley製機器が中心だった。
4. その後の更新で、対象メーカーとしてシーメンスやシュナイダーエレクトリックも挙げられた。

この経緯が、イラン関連の水道システム攻撃をめぐる報道の中で、今回のS7警告が注目された理由です。ただし、S7に対する活動の攻撃者が水道システム攻撃の実行者と同一であることや、すべてが一つの作戦だったことを証明するものではありません。

なぜイランへの正式な帰属を避けているのか

サイバー攻撃の帰属には、標的や手口が似ているというだけでは不十分です。通常は、技術的な痕跡、情報機関の情報、攻撃の運用実態などを相互に照合し、十分な裏付けを得る必要があります。今回のシーメンスに関する勧告では、関係機関は実行者を身元不明の脅威アクターと表現し、イランの名を挙げていません。1

水道システム攻撃をめぐる公開情報にも不確実性が残っています。連邦・州当局はイランとの関連を調査している一方、その評価を疑問視する発言も出ています。1617より強い裏付けが公表されるか、捜査当局が最終的な評価に到達するまでは、「水道システムが攻撃を受け、イランとの関連が疑われ、S7への脅威は進行中だが、両者が同じ作戦だとは確定していない」というのが、公開情報から導ける最も慎重な結論です。

事業者が今すぐ確認すべきこと

今回の警告は、産業セキュリティの基本対策を直ちに見直すよう促しています。事業者は次の対応を検討すべきです。1

• 保有するシーメンス製S7 PLCを台帳化し、インターネットへの露出状況を確認する
• PLCなどのOT機器を公衆インターネットから直接アクセスできない状態にする
• 制御ネットワークを業務ネットワークや外部ネットワークから分離する
• 運用上安全な範囲で、コントローラーのソフトウェアを更新・修正する
• 初期設定の認証情報や弱いパスワードを廃止し、強固な認証を導入する
• 不審な接続、設定変更、ラダー・ロジックの改変を監視する
• プロジェクトファイル、コントローラー設定、再利用可能なコードモジュールを保護する
• 遠隔アクセスツールや監視ソフトが偽装・悪用される可能性を点検する

今回のメッセージは、シーメンス製PLCが一律に侵害されたということではありません。インターネットへの露出、弱いアクセス制御、監視不足が重なると、広く導入された制御装置が、偵察や将来の妨害の出発点になり得るという警告です。

米国の国家安全保障局（NSA）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、エネルギー省（DOE）、環境保護庁（EPA）の5機関が、シーメンス製「S7シリーズ」のプログラマブル・ロジック・コントローラー（PLC）を狙う進行中のサイバー脅威について共同警告を出しました。1

PLCは、工場や浄水場などで機器や工程を監視・制御する産業用コンピューターです。今回の警告が示すのは、すべての対象施設が侵害されたということではありません。攻撃者とされる集団が、米国内のS7設置環境を偵察し、将来の侵入や妨害に使える能力を開発しているという点が核心です。

特に重要なのは、米政府機関がこの活動をイランに帰属させていないことです。また、今回の警告だけで、最近報告された各地の水道システム障害が同じ活動によって引き起こされたとも確認できません。

何が狙われているのか

警告によると、攻撃者はインターネット上のスキャンサービスを使い、外部から直接アクセスできる、あるいはネットワーク分離が不十分なS7 PLCを探しています。古いソフトウェアや、初期設定のままの認証情報、弱いパスワードを使っている機器は、リスクが高まります。1

対象として挙げられた分野は次の通りです。

• 上下水道
• 重要製造業
• エネルギー
• 化学施設
• 食品・農業
• 商業施設
• 潜在的には国防産業基盤 1

現段階の活動は、脆弱なシステムを見つけ、構成を把握し、後の侵入や妨害を支えるツールを準備することに重点があるとみられます。目に見える停電や断水が起きていなくても、偵察によって攻撃者は標的の選定や作戦準備に必要な情報を得られます。

AIはどのように使われたのか

共同警告によれば、攻撃者は公開されている技術情報とAIの支援を組み合わせ、シーメンス製S7システム向けの攻撃スクリプトを生成・改良したとされます。問題は、AIがシーメンス製品に新たな脆弱性を作ったということではありません。公開情報を実際に使える攻撃ツールへ変換するために必要な時間や専門知識を、AIが減らす可能性があるという点です。1

報告されたスクリプトには、公開ライブラリの​snap7が使われ、正規のOT（運用技術）監視ツールに似せた設計が含まれていたとされます。これらのツールは、S7commプロトコルを通じてPLCのメモリー、設定、ラダー・ロジックとやり取りできる可能性があります。1

PLCは、デジタル情報を扱うだけでなく、現実の設備や工程に近い場所で動作しています。読み取り権限があれば施設内の構成を把握し、攻撃準備を進められます。さらに書き込み権限を奪われたりラダー・ロジックを改変されたりすれば、設備の動作、工程制御、警報、安全機能に影響が及ぶ可能性があります。ただし、警告に記された能力が、すべての標的施設で実行されたことを意味するわけではありません。

PLCが侵害された場合に起こり得ること

施設の設計や攻撃者が得た権限によって異なりますが、PLCへの侵入はデータ窃取にとどまらない影響をもたらす可能性があります。

• 生産や公共サービスの停止
• 工程設定や設備の動作順序の変更
• 停止装置、警報、安全インターロックへの干渉
• 設備を想定外の範囲で動作させることによる損傷
• 運用情報の流出
• 接続された制御システムへの波及 1

スキャンやログイン失敗は、施設を完全に制御された状態と同じではありません。しかし、外部に露出したPLCは、一般的な業務システムの侵害よりも、実際の運用環境へ近づく直接的な足掛かりになり得ます。

最近の水道システム攻撃との関係

今回のシーメンスへの警告は、米国の複数州で地方の水道システムに対するサイバー攻撃が報告された時期に出されました。ミネソタ州では、30を超える水道システムが協調的なサイバー攻撃を受けたと報告され、FBIは少なくとも7州で関連する活動が報告され、その一部では水道業務が低下したと説明しています。16

捜査当局やサイバーセキュリティ専門家は、これらの攻撃にイランが関与した可能性を調べていました。ただし、公開報道で示されたのは捜査中の評価であり、最終的な公的帰属ではありません。16ドナルド・トランプ大統領は、根拠を示さないまま、イラン説を退け、ミネソタ州とティム・ウォルツ知事に責任があると発言しました。17

両者の重なりは、現時点では次のような文脈上の関連にとどまります。

1. いずれも重要インフラや産業制御環境に関わる。
2. インターネットに公開された、または十分に保護されていないOT機器への懸念が共通している。
3. 以前の米政府の警告では、イラン系の攻撃者がインターネット接続されたPLCを狙っているとされ、当初はロックウェル・オートメーション／Allen-Bradley製機器が中心だった。
4. その後の更新で、対象メーカーとしてシーメンスやシュナイダーエレクトリックも挙げられた。

この経緯が、イラン関連の水道システム攻撃をめぐる報道の中で、今回のS7警告が注目された理由です。ただし、S7に対する活動の攻撃者が水道システム攻撃の実行者と同一であることや、すべてが一つの作戦だったことを証明するものではありません。

なぜイランへの正式な帰属を避けているのか

サイバー攻撃の帰属には、標的や手口が似ているというだけでは不十分です。通常は、技術的な痕跡、情報機関の情報、攻撃の運用実態などを相互に照合し、十分な裏付けを得る必要があります。今回のシーメンスに関する勧告では、関係機関は実行者を身元不明の脅威アクターと表現し、イランの名を挙げていません。1

水道システム攻撃をめぐる公開情報にも不確実性が残っています。連邦・州当局はイランとの関連を調査している一方、その評価を疑問視する発言も出ています。1617より強い裏付けが公表されるか、捜査当局が最終的な評価に到達するまでは、「水道システムが攻撃を受け、イランとの関連が疑われ、S7への脅威は進行中だが、両者が同じ作戦だとは確定していない」というのが、公開情報から導ける最も慎重な結論です。

事業者が今すぐ確認すべきこと

今回の警告は、産業セキュリティの基本対策を直ちに見直すよう促しています。事業者は次の対応を検討すべきです。1

• 保有するシーメンス製S7 PLCを台帳化し、インターネットへの露出状況を確認する
• PLCなどのOT機器を公衆インターネットから直接アクセスできない状態にする
• 制御ネットワークを業務ネットワークや外部ネットワークから分離する
• 運用上安全な範囲で、コントローラーのソフトウェアを更新・修正する
• 初期設定の認証情報や弱いパスワードを廃止し、強固な認証を導入する
• 不審な接続、設定変更、ラダー・ロジックの改変を監視する
• プロジェクトファイル、コントローラー設定、再利用可能なコードモジュールを保護する
• 遠隔アクセスツールや監視ソフトが偽装・悪用される可能性を点検する

今回のメッセージは、シーメンス製PLCが一律に侵害されたということではありません。インターネットへの露出、弱いアクセス制御、監視不足が重なると、広く導入された制御装置が、偵察や将来の妨害の出発点になり得るという警告です。