Micro-Commで何が起きたか、そしてなぜ重要か

連邦法執行機関とサイバーセキュリティ当局は、上下水施設で使用されているプログラマブルロジックコントローラ（PLC）および産業オートメーション技術のメーカーである、カンザス州オレイサに拠点を置くMicro-Commでのランサムウェア攻撃およびデータ窃取事件を調査している。FBIはこの侵害に関する調査を開始しており、攻撃者はシステムを暗号化しただけでなく、企業ネットワークからデータを窃取したとされる。

連邦捜査官の関与は、上下水分野のサプライチェーンに関わるいかなる事件も当局がどれほど深刻に扱っているかを示している。Micro-Comm自体は処理場や配水システムを運営していないが、そのPLCおよびオートメーション製品は、上下水事業者がポンプ、バルブ、処理プロセスを管理するために依存しているOT（運用技術）に組み込まれている。このようなベンダーに対するランサムウェア攻撃は、窃取されたデータ、認証情報、または製品情報が、その機器に依存する事業者を標的にするために利用される可能性があるという疑問を提起する。

これこそが、上下水分野におけるランサムウェア攻撃がサプライヤーに対して行われる場合、公益事業自体への攻撃と同等以上に重要となり得る理由である。侵害された1つのベンダーは、潜在的に数十または数百の下流顧客の上流に位置する。

サードパーティのICS/SCADAベンダーが重要インフラの攻撃ベクトルとなる仕組み

産業制御システム（ICS）およびSCADAベンダーは、重要インフラのエコシステムにおいて特にセンシティブな立場を占めている。これらの企業は、顧客の運用システムに関連するリモートアクセスツール、設定ファイル、ネットワーク図、サポート認証情報を保持していることが多い。ベンダー自身のIT環境が侵害された場合、その情報の宝庫は、攻撃者が顧客ネットワークに横方向に移動するためのロードマップとなり得る。

Micro-Commのケースは、セキュリティ研究者やCISAなどの機関が繰り返し警告してきた広範なパターンに当てはまる。上下水システムは、小規模でリソースが限られた事業者が多く、エンジニアリング、メンテナンス、リモートサポートをサードパーティベンダーに大きく依存している。その依存関係は実用的かつしばしば必要不可欠であるが、それと同時に、事業者のセキュリティ体制はサプライチェーンの中で最も弱いベンダーと同等の強さしかないことを意味する。ランサムウェアグループは、処理場のコントローラを構築または保守している企業を侵害できれば、上下水処理場を直接侵害する必要はない。

ランサムウェアのサプライチェーンパターン：法律事務所から上下水事業者まで

Micro-Commは、攻撃者が分野の最も目立つプレーヤーではなく、その分野を支えるインフラを標的とする孤立した例ではない。ランサムウェアおよび恐喝グループは、他者のために機密データや特権的アクセスを保持する組織にますます焦点を当てている。その理由はまさに、そのような1つの組織を侵害することで、多くの下流の被害者に対して同時にレバレッジを得ることができるからである。例えば法律業界では、2025年および2026年初頭に200件以上のサイレント恐喝攻撃が法律事務所を襲い、これは法律事務所が窃取する価値があり恐喝を通じて収益化しやすい機密のクライアントデータを保持していることが多いという事実によって推進されているトレンドである。

同じ根本的な論理が、重要インフラにサービスを提供する産業用ベンダーにも適用される。クライアント記録を保持する法律事務所であれ、上下水事業者向けのネットワーク設定を保持するPLCメーカーであれ、攻撃者の計算は同じである。侵害によって最大の爆風半径が生み出される組織を見つけることだ。Micro-Comm事件をこのレンズを通して見ると、これは上下水分野に限定された一回限りの出来事ではなく、サプライチェーン標的化の体系的なパターンの一部であることが明確になる。

セキュリティ教訓：産業システム向けのリモートアクセス、VPN、ネットワークセグメンテーション

上下水事業者およびその他の重要インフラ運営者にとって、このような事件はいくつかの基本的なセキュリティ慣行を強化するものである。OT環境へのリモートアクセスは厳重に制御されるべきであり、理想的には、ベンダーが他のクライアントでも使用する可能性のある共有または汎用のリモートアクセスツールではなく、専用の監視された接続を通じて行うべきである。ITとOTシステム間のネットワークセグメンテーションは、侵害を封じ込める最も効果的な方法の1つであり、ビジネスネットワーク上のランサムウェア感染が物理的プロセスを実行するコントローラに容易に到達できないようにする。

事業者はまた、ベンダーリスク管理を一度きりの審査ではなく継続的な責任として扱うべきである。これは、ベンダーが自社のシステムについてどのようなデータを保持しているか、そのベンダーが自社のネットワークをどのように保護しているか、契約にどのようなインシデント通知義務が存在するかを理解することを意味する。VPNと暗号化されたリモートアクセスチャネルはこの文脈で有用なツールであるが、それらはそれを取り巻く認証情報の衛生管理とネットワークセグメンテーションと同程度の強さしかない。

これがあなたにとって意味すること

あなたの組織がMicro-Comm製品に依存しているか、上下水サプライチェーンのベンダーと協力している場合、最優先事項は、あなたの認証情報、ネットワーク詳細、または設定データのいずれかが流出した可能性があるかどうかを判断することである。侵害の範囲の詳細についてはベンダーに直接連絡し、調査の進展に応じて連邦サイバーセキュリティ当局のガイダンスに従ってください。上下水事業者にとってより広く言えば、これはどのサードパーティベンダーがOTシステムへのリモートアクセスを持っているかを監査し、セグメンテーションと監視の制御が実際に実施されているかどうか（紙面上で文書化されているだけでなく）を確認する良い機会である。

上下水分野以外の読者にとっても、Micro-Commの侵害は、上下水分野におけるランサムウェア攻撃が単一企業に封じ込められることはほとんどないということを思い出させるものである。サプライチェーンはベンダー、事業者、そして最終的には信頼できる水道サービスに依存する一般市民を結びつけており、そのためベンダーセキュリティはそれが支えるインフラと同様の精査に値する。

この調査の進展に伴い情報を入手し続け、組織のサードパーティアクセスポリシーを見直し、ベンダーの侵害を他人の問題ではなく自社のネットワークセグメンテーションを再評価するシグナルとして扱ってください。