ミネソタ州の地域水道システムの制御系への不正アクセス
- タグ
- 国外
ミネソタ州のIT部門Minnesota IT Services（MNIT）の発表によると、協調的なサイバー攻撃が2026年7月26日〜27日、州内の30を超える地域水道システムの制御技術（OT）を標的にした［1］。MNITは7月30日の続報で、調査で各事例の時期や関わる技術の種類に類似が見つかったが、活動を特定の行為者に帰属させていないとした［2］。
経緯
MNITの続報によると、確認された事例の多くは、水道事業者が設備を遠隔で監視・制御するのに使う技術だった［2］。その中には、PLC（プログラマブルロジックコントローラー）と、運転員がPLCを操作する画面（HMI）が含まれる［2］。
MPR Newsの7月27日の記事では、ブラハム市は浄水場の停止を告知した数時間後の更新で、停止は未知の行為者によるコンピューター化された運転システムへの悪意のあるサイバー攻撃の結果だとした［12］。市は、少なくとも4つの他の地域が同じ種類の攻撃を受けたと伝えられたとも説明した［12］。
ブラハム市長は翌日のMPR Newsの記事で、攻撃者が井戸の制御系に侵入し、井戸を止めたと説明した［13］。
連邦機関が示した手口
FBIとEPAは注意喚起で、悪意のある行為者がRockwell Automation/Allen-Bradley製のPLC、特にMicroLogix 1100・1400シリーズなどのOT機器を狙っているとした［6］。FBIがこの挙動を観測したのは挙げたRockwell製のPLCだけだが、他社のPLCでも同様の考慮が要る［6］。行為者はインターネットに面した機器に遠隔でアクセスした後、IPアドレスとパスワードを変え、監視と制御の機能が失われた［6］。少なくとも1組織は、複数の拠点でラダーロジックの食い違いに気づいた後、PLCのプロジェクトファイルの改変を報告している［6］。
The Recordの記事によると、CISAは、侵入者がパスワードを変えて運転員を締め出し、IPアドレスを変えてPLCを切り離したと説明した［21］。CISAは、この活動が煮沸勧告と手動運転の継続に至ったとも述べた［21］。標的には、運用者・ベンダー・インテグレーターが設置し、台帳や定期の攻撃面の走査に入っていないおそれのある携帯回線モデムも含まれる［21］。
FBIとEPAは、第三者が提供したネットワーク構成の類似が、行為者に成功を増やす機会を与えるおそれがあるとも書いた［6］。
製造元のRockwell Automationは、勧告SD1790を公開した［27］。Forescoutの分析では、この勧告は、攻撃者にパスワードを変えられたMicroLogixのコントローラーへのアクセスを回復するよう顧客に指示するものだった［28］。
Forescoutの8月3日のShodanの照会では、ポート44818を公開する機器は4,407台だった［28］。そのうち65%が米国にあり、半数を超える機器は大手の携帯通信事業者のネットワークにあった［28］。このうち22のホストが攻撃の標的になった都市にあり、ファームウェアの版から見て約86%（22のうち19）がCVE-2017-16740の影響を受けうる［28］。今回の攻撃で悪用されたCVEは確認されていない［28］。
帰属をめぐる説明
州のCISOは続報で、影響を評価してアクセスの方法を特定し、関連する情報を連邦政府に提供したと述べた［2］。活動を特定の脅威行為者に帰属させられるかの判断は、連邦政府が主導している［2］。州は、すべての事例が同じ行為者によるとは判断していない［2］。
MPR Newsの7月31日の記事によると、大統領は閣議でミネソタ州が背後にいると根拠を示さずに述べた［14］。州知事は、大統領は攻撃の責任が誰にあるかを正確に知っており、ほかの州も被害を受けたと分かっていると反論した［14］。州と連邦の当局者はニューヨーク・タイムズなどの報道機関に、イランが背後にいる可能性が高いが、調査で決定的な証拠は見つかっていないと話した［14］。
SecurityWeekの8月3日の記事では、Wiredの報道として、WaterISACの報告にミネソタのフュージョン・センターが攻撃は米国がイランに結び付けた過去の活動と「一致」する証拠を見つけたと書かれていた［22］。
Tenableは8月10日の更新で、運用のパターンはCyberAv3ngersの脅威のエコシステムと一致するが、連邦と州の当局は特定の行為者に帰属させていないとした［10］。CSISは分析で、米政府は攻撃を公に帰属させていないものの、イラン革命防衛隊（IRGC）に連なるCyberAv3ngersが犯行を主張したと書いた［11］。
Threat Beatの8月12日の記事では、CyberAv3ngersの最初のTelegramの声明はミネソタを名指ししていなかった［24］。その後、CyberAv3ngersと近いAPT IRANがTelegramで、ミネソタの攻撃はCyberAv3ngersと自分たちによるものだとして直接の責任を主張した［24］。APT IRANは、攻撃の意図は警告だけだったとした［24］。
先行する当局の勧告
FBI・CISA・NSA・EPA・DOE・USCYBERCOM CNMFの共同勧告AA26-097Aの初版は、インターネットに面したRockwell Automation/Allen-Bradley製のPLCなどの悪用を扱う［9］。作成機関は、イラン系のAPT行為者のグループが米国内で混乱を起こすためにこの活動を行っていると評価している［9］。被害組織との関わりを通じて、遅くとも3月からPLCの機能を妨げたイラン系のAPTグループを特定したと書いた［9］。2023年11月からの同様の活動では、IRGC-CECに連なるCyberAv3ngersが米国のPLCとHMIを狙い、少なくとも75台のUnitronics製の機器を侵害した［9］。
CISAは、この勧告のウェブ版を公開した［8］。
Tenableの説明では、勧告の更新で、観測されたPLCの悪用の対象がRockwell AutomationのほかSchneider ElectricとSiemensの機器に広がった［10］。更新は、プロジェクトファイルの持ち出しを初めて記録した［10］。PLCのプログラムに組み込む再利用可能なコードモジュールの改変を検知する指針も加わった［10］。Tenableは、AA26-097Aが特定のCVEを挙げていないと書いた［10］。
Forescoutは、CISAの勧告と今回の水道への攻撃の手口や機器には似た点があるものの、両者の確かなつながりは無いとした［28］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | FBI・CISA・NSA・EPA・DOE・USCYBERCOM CNMF | イラン系の行為者によるPLCの悪用についての共同勧告AA26-097Aを出した | ［9］ |
| 2026年 | CISA | AA26-097Aを更新した | ［10］ |
| 2026年 | - | プリマス市の水道の1施設がSCADA（監視制御システム）と通信できなくなった | ［19］ |
| 2026年 | - | プリマス市の別の施設がSCADAと通信できなくなった | ［19］ |
| 2026年 | ブラハム市 | 浄水場が原因不明で停止し、対応していると告知した | ［12］ |
| 2026年 | メープルプレーン市 | 地域非常事態を宣言した | ［18］ |
| 2026年 | サウスセントポール市 | 早朝に水道の技術に関わるサイバーセキュリティのインシデントを特定した | ［25］ |
| 2026年 | MNIT | 州のサイバーセキュリティのインシデント対応を直ちに発動したと発表した | ［1］ |
| 2026年 | プリマス市 | 午後までに施設の通信を復旧した | ［19］ |
| 2026年 | MNIT | 調査の状況を伝える続報を出した | ［2］ |
| 2026年 | FBI・EPA | 注意喚起I-073026-PSAを出した | ［6］ |
| 2026年 | CISA | 水道分野にPLCを狙う活動への備えを求める注意喚起を公表した | ［7］ |
| 2026年 | CyberAv3ngers | Telegramの声明で米国のインフラを攻撃したと主張した | ［24］ |
| 2026年 | 民主党の上院議員2人 | 上下水道のサイバーセキュリティの法案Water Cyber Shield Actを提出した | ［29］ |
| 2026年 | APT IRAN | Telegramでミネソタの攻撃の責任を主張した | ［24］ |
影響範囲
Tenableは、攻撃を公表したのはブラハム、プリマス、サウスセントポール、メープルプレーンの4市だとした［10］。ブラハム市、メープルプレーン市、プリマス市は、それぞれ市のサイトに告知を掲載した［4、5、26］。
| 市 | 説明した影響と運転 | 資料 |
|---|---|---|
| ブラハム市 | 攻撃者が運転の制御を止め、井戸と浄水場が停止した。浄水場の設備と水質・安全には影響しなかった。住民に節水を求めた後、同じ日に復旧〔注1〕した | ［12］ |
| プリマス市 | 影響は携帯電話回線で接続した設備に限られ、手動の手順で運転を続けた | ［12］ |
| プリマス市 | 給水塔2基とリフトステーション14か所が通信できなくなった。光回線などで接続する拠点は影響を受けなかった | ［19］ |
| サウスセントポール市 | 一部の自動制御に影響したが、緊急時の手順を直ちに実施し、通常の上下水道の運転を維持した。飲料水は安全で、住民の対応は要らない | ［25］ |
| サウスセントポール市 | 技術の協力先と作業し、州と連邦の機関と調整している。通常の自動運転に戻す手順を進めている | ［25］ |
| メープルプレーン市 | 水道の一部を支える技術に関わるサイバーセキュリティのインシデントで、一部の自動制御機能に影響した。運転は中断なく維持した | ［12］ |
SecurityWeekの記事によると、Suzu LabsのCTOは、給水塔やリフトステーションなどの遠隔の資産は携帯回線モデムでSCADAにつながることが多く、その経路は見落とされやすいと述べた［17］。
MNITの続報では、「影響を受けた」は調査員がシステムの技術に関わる悪意のある活動を確認したという意味で、影響を受けたすべての地域で給水が止まったという意味ではない［2］。州は、設備の不具合や運転の中断が悪意のある活動の直接の結果かを評価しており、設備の停止や節水の要請は各地の水道の運用者が決める［2］。MNITはThe Hacker Newsに、影響の性質と程度はシステムごとに異なったと述べた［18］。
州は続報で、住民に飲料水の使用の変更を求める自治体からの要請は出ていないとした［2］。Tenableは、確認されたミネソタの全事例で州当局は飲料水の水質に影響は無いとし、州内で煮沸勧告は出ていないと書いた［10］。
ほかの州での事例
FBIとEPAは注意喚起で、7月27日以降、少なくとも7州〔注2〕の上下水道事業者がFBIに事例を報告し、一部の活動は水道の運転を劣化させたとした［6］。FBIに報告された運転への影響には圧力の低下と浸水があり、圧力が下がると未処理の地下水が管に入りうる［6］。影響の程度は、PLCを監視と制御のどちらに設定したか、機種が1100か1400か、支える機能、手動運転に切り替えられるかで異なった［6］。
| 州 | 内容 | 資料 |
|---|---|---|
| ミシガン州 | 環境・五大湖・エネルギー局（EGLE）が8月1日、9つの市営水道システムが連邦の警告に合う活動を報告したと確認した | ［10］ |
| サウスダコタ州 | ラピッドシティのリフトステーションの1つでサイバーインシデントがあった | ［22］ |
| ジョージア州 | クレイトン郡水道局が運用システムと給水の一部の一時的な中断を確認し、予防の煮沸勧告を出した（後に解除） | ［23］ |
CSISの分析では、ニューヨーク・タイムズが米国の少なくとも100施設が標的になったと報じたとし、CSISは公開情報から55施設の場所を特定した［11］。
対応と現状
MNITは脅威情報を共有し、影響を受けた水道事業者の封じ込め・調査・修復を支援している［1］。州公安局・州犯罪捜査局（BCA）のMinnesota Fusion Center・州保健局・州公害管理局・CISA・EPA・FBI・地元の水道事業者と連携している［1］。調査は続いており、対応者は影響を受けたシステムの評価を続けている［1］。
MNITの続報では、州は水道事業者に、インターネットから到達できるOTを特定して守ることを推奨し、その対策を挙げた［2］。
- PLC・HMIなどのOTからの不要なインターネット接続の除去［2］
- 初期の認証情報の変更と、強く固有のパスワードの使用［2］
- 遠隔アクセスでの多要素認証［2］
- ログの確認［2］
- OTと業務のネットワークの分離［2］
- 資産の台帳［2］
- オフラインのバックアップ［2］
- 不審な活動の報告［2］
FBIとEPAも注意喚起で、水道事業者に向けた対策を挙げた［6］。
- PLCの公開インターネットからの切り離しと、携帯回線モデムの強い認証と更新［6］
- 複雑なパスワード［6］
- アクセス制御リスト（ACL）［6］
- 物理とソフトウェアのキースイッチのRUN位置への設定［6］
- 手動運転の訓練［6］
- プロジェクトファイルの確認［6］
- サポート終了機器の更新の計画［6］
Cybersecurity Diveの7月28日の記事では、CISAの長官代行が、地域の水道に影響する複数の事例の可能性を把握し、EPAなどの政府や業界の協力先と調整していると述べた［16］。FBIの広報は、事例を把握し、解決に向けて被害者と連絡を取っていると答えた［16］。
SecurityWeekは、CISAが水道分野でPLCを狙う脅威行為者の大幅な増加を観測していると報じた［20］。CISAは重要インフラの所有者・運用者・インテグレーターに、公開されたPLCなどのOTをできるだけ早くインターネットから外すよう求めた［20］。
The Recordの報道によると、民主党の上院議員2人が、上下水道分野のサイバーセキュリティの改善に毎年3億ドルを充てる法案を出した［29］。法案はEPAにサイバーセキュリティの評価を行う権限を与え、脆弱性が見つかれば是正を求める［29］。ミネソタ州選出のクロブシャー上院議員は、ミネソタへの最近のサイバー攻撃で、水道システムと重要インフラの安全を高める差し迫った必要が浮き彫りになったと述べた［29］。
MPR Newsの8月4日の記事では、ブラハム市長が、さらなる攻撃を防ぐため、人口約1,700の市の浄水場をインターネットから切り離したと説明した［15］。市の少ない職員は、浄水場を遠隔ではなく手動で運転している［15］。
MNITは10月12日の投稿で、SecurityWeekが水道の攻撃へのミネソタ州の対応に2026 Critical Impact Award（Best ICS Incident Response）を贈ったと発表した［3］。対応にはMNITのCyber NavigatorsとSOC・州保健局・州公害管理局・BCAとMinnesota Fusion Center・州兵のC3チーム・地元の水道事業者・ミネソタ市町村連盟が加わり、FBIとCISAも協力した［3］。
未公表の事項
注
出典
当事者
- ［1］Minnesota IT Services『MNIT activates statewide cybersecurity response to support affected communities and protect critical infrastructure』（2026年7月28日公開）
- ［2］Minnesota IT Services『Minnesota continues response to cyber activity affecting community water systems』（2026年7月30日公開）
- ［3］Minnesota IT Services『Minnesota earns Critical Impact Award for water systems response』（2026年10月12日公開）
- ［4］City of Maple Plain『Press Release- Cyber Security Incident』（2026年7月27日公開、保存記録のみ） 保存記録
- ［5］City of Braham『Water_Use_limited_statement_.jpg』（2026年7月27日公開、保存記録のみ） 保存記録
- ［25］City of South St. Paul『Water Utility Cybersecurity Incident Update』（2026年7月27日公開）
- ［26］City of Plymouth『Communications restored at Plymouth water facilities』（公開日不明、保存記録のみ） 保存記録
公的機関
- ［6］Federal Bureau of Investigation・U.S. Environmental Protection Agency『Malicious Cyber Actors Targeting Water and Wastewater Sector Internet-Facing Programmable Logic Controllers, Causing Operational Disruptions』（2026年7月30日公開、PDF）
- ［7］Cybersecurity and Infrastructure Security Agency『CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs』（2026年7月30日公開、保存記録のみ） 保存記録
- ［8］Cybersecurity and Infrastructure Security Agency『Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure』（2026年4月7日公開、保存記録のみ） 保存記録
- ［9］FBI・CISA・NSA・EPA・DOE・USCYBERCOM CNMF『Iranian-Affiliated Cyber Actors Exploit Programmable Logic Controllers Across US Critical Infrastructure』（2026年4月7日公開、PDF）
調査・観測
- ［10］Tenable, Inc.『Coordinated "cyberattack" on U.S. water utilities: What you need to know』（2026年7月28日公開、2026年8月10日更新）
- ［11］Center for Strategic and International Studies『Mapping Iranian Cyberattacks on U.S. Water Systems』（2026年8月18日公開）
- ［28］Forescout Technologies, Inc.『OT Security Analysis: Exposed Devices Attacked in US Water Systems』（2026年8月5日公開）
報道機関
- ［12］Minnesota Public Radio『Braham officials say cyberattack knocked water system offline』（2026年7月27日公開）
- ［13］Minnesota Public Radio『More than 30 Minnesota municipal water systems targeted in cyberattack』（2026年7月28日公開）
- ［14］Minnesota Public Radio『Walz rejects Trump’s unfounded claims Minnesota behind water system cyberattacks』（2026年7月31日公開）
- ［15］Minnesota Public Radio『Water system cyberattacks in Minnesota expose U.S. vulnerability』（2026年8月4日公開）
- ［16］Informa TechTarget『Authorities investigating a coordinated cyberattack against Minnesota water systems』（2026年7月28日公開、2026年7月29日更新）
- ［17］Wired Business Media『Dozens of Minnesota Water Utilities Targeted in Coordinated OT Attacks』（2026年7月29日公開）
- ［18］The Hacker News『Coordinated Cyberattack Targets 30+ Minnesota Water Systems as One Plant Goes Offline』（2026年7月29日公開）
- ［19］e.Republic LLC『Troubled Waters: Minnesota Cities Weather Cyber Attack』（2026年7月30日公開）
- ［20］Wired Business Media『CISA Urges Water Sector to Protect OT After Coordinated Attacks on PLCs』（2026年7月30日公開）
- ［21］Recorded Future News『CISA warns of spike in attacks on water systems as Minnesota incidents probed』（2026年7月31日公開）
- ［22］Wired Business Media『US Water Cyberattacks Extend Beyond Minnesota to at Least 6 Other States』（2026年8月3日公開）
- ［23］Recorded Future News『Cyberattacks on water systems expand to 12 states as South Dakota, Georgia announce incidents』（2026年8月7日公開）
- ［24］McCrary Institute『Minnesota water attacks were ‘only to warn,’ Iran hackers claim while taking ‘direct responsibility’』（2026年8月12日公開）
- ［29］Recorded Future News『Senate Democrats introduce bill to distribute $300 million annually to shore up water system cybersecurity』（2026年8月10日公開）
更新記録
- 2026年8月13日：公開した。
- 2026年8月18日：CSISの8月18日の分析（出典11）を加え、経緯の節と影響範囲の節と注を改めた。
- 2026年10月12日：MNITの10月12日の投稿（出典3）を加え、対応と現状の節を改めた。