米、ミネソタ州の30超の水道システムへのサイバー攻撃でイランとの関係を調査

30を超える。今週、ミネソタ州で最も重要な数字だ。連携したサイバー攻撃により、30を超える個別の自治体水道システムが侵害され、町が水を供給するために使う遠隔制御技術にまで被害が及んだ ²¹⁰。暑い夏の日に単一の浄水施設が不具合を起こしたのではない。数十の町で同時に、同種のシステムを通常どおり制御できなくなり、運転担当者は水の使用を抑え、施設を手動で動かし、水道水は引き続き安全だと住民に説明せざるを得なかった ²³。

攻撃は2026年7月27日の週の初め、月曜日から発生していると報じられ、州当局者と連邦当局が7月30日木曜日までに公表した ²¹⁰。ハッカーが狙ったのは運用技術、つまり現場で誰かが一つ一つダイヤルを回さなくても、小規模な水道事業者がポンプ、圧力、バルブ、処理設備を遠隔で管理できるハードウェアとソフトウェアだった ²¹⁰。侵入によって水圧の低下や浸水が起きた事例もあれば、煮沸勧告が出され、手動運転に切り替えられた事例もあった ²³⁴。当局は飲料水の安全は保たれていると強調した。被害の範囲が広がるなかで、これは繰り返し示された重要な説明だった ²。

中心はミネソタ州だったが、話は同州だけにとどまらなかった。FBIは後に、ミネソタ州とミシガン州を含む少なくとも7州の上下水道事業者が、その週にインシデントを報告したと述べた ²³¹⁰。CBS Newsは、連邦捜査当局がイランの主導で攻撃が行われたかどうかを調べていると報じた。一方、ABC Newsは、ミネソタ州のシステムがイランのグループに標的とされた可能性があると米当局者が述べたと報じた ²⁶。CNNは、複数州の水道システムを狙った大規模なサイバー攻撃で米当局者が警戒を強めており、煮沸勧告や手動運転が、遠隔からの侵入がいかに早く地域の緊急事態になるかを浮き彫りにしたと伝えた ⁴。

現場で起きたことは具体的だったが、被害の様相にはばらつきがあった。小規模なシステムが攻撃を受けた際には、いつもそうなる。州当局者によると、攻撃はその週の初め、ミネソタ州プリマスを含む30を超えるシステムの運用技術を標的にした ¹⁰。Fortuneは、ハッカーがミネソタ州のある町の浄水施設を停止させたものの、貯水塔のおかげで危機を免れたと報じた。コンピューターが機能しないとき、米国の水の安全が今なお重力と貯水量にどれほど頼っているかを思い起こさせる事例だ ¹¹。水圧低下、浸水、煮沸勧告、節水命令という全体的なパターンは、攻撃者が誰かに毒を盛ることなく、運用を妨害できることを示した ²³⁴。

当初から、問題は何が壊れたかだけでなく、誰が壊したかだった。The Washington Postは、米情報機関が、州内の30を超える自治体水道システムに対する連携攻撃の背後にはテヘランがいる可能性が高いと評価したと報じた ⁵。WIREDは、水道部門の情報共有グループWaterISACのメモを掲載し、ミネソタ州の水道事業者に対する数十件の攻撃をテヘランと結び付けた ⁸。WIREDによると、攻撃は2月下旬に始まった米国とイランの戦争という文脈のなかで起きた。イランのハッカーはその後、医療用品会社ストライカーに対するものを含む侵入で報復していた ⁸。

この経緯が重要なのは、今回の手口に見覚えがあったからだ。CBS Newsによると、イランのイスラム革命防衛隊と関係するグループが、2023年に水道施設へ侵入する際、同様の手口を使っていた ²。この類似性は、調査担当者に出発点となる仮説を与えた。すなわち、重要インフラへの侵入を実践してきた攻撃主体が、今度は都市が水道を遠隔管理するためのソフトウェアに狙いを定めて、手口を洗練させているという見方だ。しかし、手口が似ていることは証明にはならず、この事案に関する資料は、どこまで断定できるかで一致していない。

Nextgov/FCWは入手した業界メモを検証し、CISAが水道事業者に対し、外部に露出したシステムをオフラインにするよう促していたと報じた。また、メモはイランに言及しているものの、ミネソタ州で最近起きた事案を同国によるものとする証拠を直接提示してはいないという ⁹。CBSは別途、海外での紛争を利用してイランを拠点とする攻撃に見せかけようとした者がいた可能性も、捜査担当者は排除していないと報じた ²。つまり、公的記録には二つのことが同時に記されている。Postが報じたテヘランが関与した可能性が高いとの評価と、水道事業者が実際に受け取った運用メモには直接的な攻撃主体特定の証拠がないという明示的な説明だ ⁵⁹。

連邦政府の対応には、緊急性と不確実性の間の隔たりが表れていた。FBIとEPAは2026年7月30日木曜日、ハッカーが重要な水インフラの妨害を試みているとして、全国の水道事業者に警告を出した ³。CISAも同じ実務的なメッセージ――外部に露出したシステムをインターネットから切り離すこと――を強く訴えたが、攻撃主体は特定しなかった ⁹⁷。運転担当者にとって、攻撃主体の特定は後回しにできても、隔離は待てない。一般市民にとって、この隔たりは受け入れがたい。侵入者を確信を持って名指しできる者がいないとき、恐怖は水圧の低下よりも早く広がるからだ。

資料に何が書かれているかと同じくらい、何が書かれていないかも示唆的だ。提供された資料には、再現可能な当局者の逐語的な引用は含まれておらず、ミネソタ州とミシガン州以外に影響を受けた7州の完全な一覧も、入手可能な資料では確認されていない。最終的な調査結果と攻撃主体の特定についても、これらの資料では結論が出ていない。重要インフラの事案が起きた最初の数日間は、鑑識結果が出る前に警告が発せられるため、これは珍しいことではない。ただし、そのため動機に関する断定的な主張はすべて暫定的なものとして受け止める必要がある。

今週の出来事は、ぎりぎりで機能した警告として受け止めるのが最も安全だ。連携した攻撃は、数十カ所に共通する遠隔アクセスの入口を見つけ、実際に被害をもたらしたものの、その影響は限定的だった。また、古くからある設計――貯水塔、バルブ、人間の運転担当者――が今も可能にしている手動の代替運転を強いた ²³¹¹。次に問われるのは、最前線の水道事業者が重要なシステムをオフラインに保つための支援を受けられるか、そして調査担当者が、初期メモで実際に立証された内容を誇張せずに、攻撃主体の特定をめぐる隔たりを埋められるかだ ⁹⁵²。