CISA、7月に100超の水道システムが標的に — インターネットに露出したPLCを直接狙う攻撃で露出削減ガイダンスを更新

米サイバーセキュリティ・インフラストラクチャ安全保障庁（CISA）は2026年8月21日改訂の「インターネット露出削減ガイダンス（Internet Exposure Reduction Guidance）」で、2026年7月に上下水道（Water and Wastewater Systems: WWS）セクターで100超のインターネットに露出したシステムが悪意あるサイバー活動の標的になったことを明らかにした。CISAは、直接インターネットに接続された制御機器が乗っ取られて運用に影響が出たとして、露出の棚卸しと保護の徹底を呼びかけている。

何が起きたか

CISAによると、2026年7月に同庁が観測した攻撃では、**セルラーモデム（携帯回線用モデム）を通じて直接インターネットに接続されたプログラマブルロジックコントローラ（PLC）**が標的となった。PLCは浄水場やポンプ場などで水の流量や圧力、薬品注入などを制御する小型の産業用コンピュータだ。

攻撃者はインターネット上から到達可能なPLCに侵入し、機器のIPアドレスやパスワードを変更して監視・制御機能を喪失させ、一部では運用障害を引き起こした。CISAは、PLCを直接インターネットに接続することが重大なセキュリティリスクになると指摘している。

CISAは今回のガイダンスで、露出削減は「必要なリモートアクセスまで無効化することではない」と強調している。組織は不要なリモートアクセスは除去し、必要なアクセスは安全に保護するという2段階で対応すべきだと説明している。

CISAが推奨する対策

CISAがガイダンスで示した主な推奨事項は次の通りだ。いずれもCISA自身が公表している内容に基づく。

• 現在の露出を評価する：自組織のどの資産がインターネットから到達可能かを把握する。CISAが提供するサイバーハイジーン脆弱性スキャンサービスや、Shodan、Censys、Shadowserverなどのウェブベースの露出発見ツールで公開IP範囲を定期的にスキャンする。システムインテグレーターやMSSP、ベンダーが保有するVPN認証情報やセルラーモデムなどのリモートアクセス経路も洗い出す。
• 露出の必要性を評価する：運用上インターネットから到達可能である必要がある資産かを判断する。不要であればアクセスを除去または制限する。
• 残存する露出資産を保護する：デフォルトパスワードを変更し、最新のセキュリティパッチを適用し、サポートが終了したソフトウェアや機器を置き換える。直接PLCやHMI（ヒューマンマシンインターフェース）、RTU（遠隔監視制御装置）に接続するのではなく、ジャンプホスト（踏み台サーバー）やファイアウォール、VPNなど集中管理されたゲートウェイを経由させる。入出力トラフィックを監視し、可能な限り多要素認証（MFA）、特にフィッシング耐性のあるMFAを適用する。
• 定期的な評価を確立する：IT環境やOT環境は変化するため、インターネットに公開された資産を継続的に見直して新たな露出を早期に発見する。

CISAは特にOT環境のリモートアクセスについて、すべてのリモートアクセスを安全なゲートウェイ、ファイアウォール、VPNなどで一元管理し、推測されにくい一意のユーザー名、強力なパスワード、フィッシング耐性のあるMFAを必須とするよう求めている。認証は総当たり攻撃などの認証情報悪用に耐える強度が必要だとしている。

露出発見ツールの使い方

CISAは、ShodanやCensys、Thingful、Shadowserverといったウェブベースのツールを例示し、自組織のIPアドレス範囲や、ベンダー・委託先・レガシー基盤の下で不適切に公開されている可能性のある資産も含めて検索するよう推奨している。CISAはこれらのツールの掲載について「米政府による推奨を意味しない」と注記している。

組織は公開IP範囲で開放されているポートとサービスを定期的にスキャンし、想定外の開放があれば運用上の必要性を検証して、必要のないポートは閉鎖または制限すべきだとしている。CISAは少なくとも次のポートを重点的に確認するよう例示している。

• 22/TCP（SSH）、23/TCP（Telnet）、80/TCP（HTTP）、443/TCP（HTTPS）、3389/TCP（RDP）、502〜507/TCP（Modbus）など、リモートアクセスやOT/ICSプロトコルで使われるポート

検索例として、Censysでは host.services.port: 44818 and host.ip: "X.X.X.X/Y"、Shodanでは port:44818 net:X.X.X.X/Y のように、自組織のIP範囲を指定してCommon Industrial Protocol（CIP）機器などの露出を調べる方法を示している。

日本の上下水道・重要インフラへの示唆

CISAの指摘は、米国の上下水道セクターでの事案だが、日本の上下水道や製造業、ビル管理などで使われるPLCや遠隔監視装置にも共通するリスクだ。国内でも、保守用に設置されたセルラーモデムやルーターが、そのままインターネットに直接露出した状態で放置される事例は少なくない。

CISAが観測したように、攻撃者はShodanなどの検索エンジンで露出した機器を容易に発見し、デフォルト認証情報や未パッチの脆弱性を突いて侵入する。日本国内の事業者においても、どの機器がどのIPアドレスでインターネットに露出しているかを自組織で把握し、ベンダーや保守事業者が設定した外部IPやリモートアクセス経路を文書化して定期的に検証することが、今回のガイダンスが求める基本動作となる。

出典

• Cybersecurity and Infrastructure Security Agency (CISA), “Internet Exposure Reduction Guidance” (Revision Date: Aug. 21, 2026) https://www.cisa.gov/resources-tools/resources/exposure-reduction