米国の上下水道システムを標的としたサイバー攻撃が、7月だけで100件を超えたことが、米国土安全保障省サイバーセキュリティ・インフラストラクチャーセキュリティ庁（CISA）の公開資料で明らかになった。攻撃は、携帯電話回線に直接接続されたプログラマブルロジックコントローラー（PLC）を介して行われ、遠隔操作や自動管理を妨害する手口だ。
攻撃の概要と影響
CISAの発表によると、攻撃はあらゆる規模の事業者を標的としており、セキュリティ対策を強化している組織も例外ではない。標的となったセルラーモデムは、通信事業者からリースされるなど管理対象に含まれていないケースがあり、侵入経路となった場合、運用・制御技術（OT）システムの改ざんや構成変更、深刻な物理損傷の可能性がある。
なお、発表された攻撃件数は観測数の総計であり、すべてが侵入を許したわけではない。また、攻撃者の情報は公開されておらず、特定の脅威グループによるものかは明らかになっていない。
推奨される対策
CISAは同様の攻撃を回避するため、PLCをインターネットから切り離すよう強く求めている。遠隔操作や自動管理を行う場合は、仮想プライベートネットワーク（VPN）機器やゲートウェイデバイスを経由したネットワーク構成が必要だ。さらに、PLCへのアクセスが妨害された場合に備え、管理者に対してバックアップイメージの作成を推奨している。
OT資産をインターネットに接続する場合は、必要性の検証と最小化、経路上の機器の管理状態の継続監視、外部からの侵入経路の検証、攻撃対象領域の定期的な評価が必要とされる。また、パスワード管理や多要素認証（MFA）の実装などの基本的なセキュリティ対策も求められる。
小規模事業者への示唆
小規模な水道事業者では、限られた人員やリソースの中でサイバーセキュリティ対策を進めることが課題となる。eSecurity Planetは、インターネットに露出した機器を把握する手段として、ShodanやCensys、Shadowserverなどのサービスも活用できるとしている。
