数千台の水道システム制御装置が依然としてオンライン上で可視化

新たな調査により、4,000台を超えるロックウェル・オートメーションの産業用コントローラーがインターネットに直接接続されていることが確認され、その多くが米国の水道事業者に関連している。露出した機器のうち、22台は、すでに水道インフラを標的としたサイバー攻撃を経験した都市に所在していた。この調査結果は、水道セクターにとって耳の痛い疑問を投げかける。連邦政府による長年の警告にもかかわらず、なぜこれほど多くの重要システムが、インターネットをスキャンすれば誰でも見つけられる状態のままなのか、と。

露出していた機器にはプログラマブルロジックコントローラー（PLC）が含まれる。これは水圧や薬品注入、ポンプ動作といった物理的なプロセスを管理する小型の産業用コンピューターだ。これらは家庭用ルーターの背後にあるコンシューマーデバイスではない。本来は保護された内部ネットワーク上に隔離され、許可されたオペレーターだけがアクセスできるべきものだ。PLCがオープンなインターネットから到達可能になると、日和見的なスキャナーから国家の支援を受ける脅威アクターまで、適切なツールと動機を持つ者にとっての侵入口となりうる。

露出した産業用コントローラーがプライバシーと安全上の問題となる理由

これを「産業用サイバーセキュリティ」の問題として片付けたくなるかもしれないが、露出した産業用コントローラーはIT部門の枠をはるかに超えた影響をもたらす。水道事業者は、運用データ、顧客アカウント情報、インフラの詳細を保持しており、これらが露出したり操作されたりすれば、地域社会全体に影響が及ぶ。侵害されたコントローラーは単なるデータプライバシーのリスクにとどまらず、公共の安全に対するリスクでもある。理論上、PLCにアクセスした攻撃者は水処理プロセスを改変したり、サービスを停止させたりできるからだ。

これは、より広い意味でのプライバシーの問題でもある。水道の利用者は、自分たちに水を届けるインフラが安全かどうかを知る術がなく、安全でない場合にそれを拒否する意味のある手段もない。漏洩した小売業者やソーシャルメディアプラットフォームと違い、自治体の水道システムが露出した機器を稼働させている場合、プロバイダーを変更することはできない。プライバシーと安全の負担は完全に事業者にのしかかっており、今回の調査によれば、事業者はこれらのシステムをオフラインにするか、公共インターネットから適切に分離するという連邦政府のガイダンスに一貫して従っていないのだ。

ギャップを埋められないまま繰り返される警告

連邦機関は、水道事業者やその他の重要インフラ事業者に対し、インターネットに面した産業用制御システムを撤去し、強力な認証を実施し、運用技術ネットワークを企業ITネットワークからセグメント化するよう繰り返し促してきた。そのようなガイダンスにもかかわらず、今回の調査の基になったスキャンでは、特別なアクセスや高度な知識を必要としない基本的なインターネットスキャニングツールで何千台ものコントローラーが依然として発見され、問題が大規模に持続していることが示されている。

露出した機器のうち22台が、すでに水道システムを狙った攻撃の標的となった都市に設置されているという事実は特に注目に値する。これは、ある出来事が特定の事業者や地域に注目を集めた後でさえ、根本的な露出が必ずしも是正されていないことを示唆している。予算の制約、人員不足、もともとインターネット接続を想定して設計されていないインフラにセキュリティを後付けすることの複雑さゆえに、認識が行動に結びついていないのだ。

これは、サイバー脅威の負荷にさらされている他のセクターで見られる、より広範なパターンを反映している。たとえば医療分野では、事業者が歴史的にインシデントの開示に消極的で、集団的な防御努力が遅れていたため、当局はランサムウェアの脅威データを共有するよう組織に積極的に促す必要に迫られてきた。水道事業者も、発出されたガイダンスと実際に順守されることとの間に同様のギャップを抱えているように見え、いずれの場合も、その結果として脆弱性が必要以上に長く残存している。

これがあなたにとって意味すること

読者のほとんどは水道システムの運用者ではないが、この調査は、ほぼすべての人にあたる、自治体のインフラに依存する人々にとって依然として重要だ。露出した産業用コントローラーは、個人消費者がVPNや強力なパスワードといった個人的なセキュリティ習慣で直接修正できないシステム的なリスクを表している。とはいえ、認識自体に価値はある。重要インフラのセキュリティギャップが存在することを理解すれば、地元の公務員や水道事業委員会、インフラ投資に関する決定が行われるパブリックコメント期間にどのように関わるかの参考になる。

もしあなたが自治体の水道事業、水処理、あるいは運用技術環境の周辺で働いているのであれば、この調査は直接的な行動の呼びかけだ。露出したPLCや制御システムに関する連邦政府の警告は仮説ではない。それらは、攻撃者が実際に悪用可能な、文書化された継続的な露出を記述しているのだ。

読者と事業者への要点

水道事業者とOTチームにとって、直ちに優先すべきことは明確だ。どの機器が公共インターネットから到達可能かを監査し、不必要な露出を取り除き、制御システムと他のすべてとの間にネットワークセグメンテーションを実装することだ。一般の読者にとって最善のステップは市民としての行動だ。地元の水道当局にサイバーセキュリティ体制について質問し、インフラセキュリティのアップグレードのための資金を支援し、このような調査がさらに表面化する中で情報を入手し続けることだ。何千もの産業用コントローラーの露出は自然に解決するものではなく、解決には規制当局と、これらのシステムが支えるコミュニティの双方からの持続的なプレッシャーが必要とされる。