米12州の水道施設に侵入、ミネソタでは30超が同時被害 イラン関連の疑い

12州で発覚した侵入、ミネソタでは30超が同時被害 #

米国各地の浄水場・下水処理施設を狙ったサイバー攻撃が相次いで発覚した。少なくとも12州で侵入の痕跡が確認され、特にミネソタ州では2026年7月26〜27日にかけて連携型の攻撃が発生し、30を超える地域水道システムが同時に侵害された。FBIとCISA(サイバーセキュリティ・社会基盤安全保障庁)が調査に入っており、記事執筆時点で断水や下水処理の広範な停止は報告されていない。

手口は地味だが実害に直結する #

攻撃者は派手なゼロデイではなく、運用の隙を突く堅実な手口を使った。管理者パスワードを変更してアカウントを乗っ取り、異常検知の警報システムを無効化した上で、浄水プロセスを直接動かすPLC(プログラマブルロジックコントローラ)にアクセスした。PLCは薬品注入量や弁の開閉を制御する現場の心臓部であり、ここを握られれば水質そのものに手を出せる。ITシステムの情報窃取と違い、ICS/OT(産業制御システム)への侵入は物理的な被害に直結する点が重い。

デフォルトパスワードを変えない代償 #

水道インフラは予算も人員も乏しい小規模事業者が大半で、セキュリティ投資は後回しにされがちだ。2023年にはデフォルトパスワード「1111」を変更しなかった事業者がイラン系ハッカーに侵入された事例があり、今回もその延長線上にある。FBIは事業者に対し、制御システムをインターネットから物理的に切り離すこと、緊急時専用アカウントを別途用意すること、侵害時に手動制御へ即座に切り替えられる体制を整えることを呼びかけている。ライフラインを狙う攻撃は派手さより「基本を徹底しない組織」を執拗に探し当てる点で、あらゆる業種への警鐘といえる。