米国の水道攻撃、ハッカーが露出した制御装置を狙い、被害は12州に倍増

すべてを変えたのは12という数字だ。5日間で、米国の上下水道システムへの侵入を報告した州の数は7州から少なくとも12州へと急増し、すでに小規模な町を手動運転に追い込んでいた攻撃キャンペーンは、およそ倍の規模になった ^{6 9 2 5}。これは統計上の偶然でも、再集計の結果でもない。飲料水を供給するポンプ、バルブ、薬剤注入設備に外部からアクセスされた場所が、地図上で広がっているのだ。

発端はミネソタ州だった。2026年7月26～27日、協調した攻撃が州内の30を超える自治体の水道システムを襲い、運転員は施設を手動で稼働させることを余儀なくされ、複数の連邦・州機関による対応が始まった ^{7 9}。調査員によると、第三者のインテグレーターが設置した携帯電話モデム経由でアクセス可能になっていたロックウェル・オートメーションのMicroLogixプログラマブル・ロジック・コントローラー（PLC）を通じて侵入され、IPアドレスとパスワードが変更された ⁷。確認できる報道テキストは、少なくとも1台のコントローラー内部でその後何が起きたかを説明し始めたところで途切れている――「少なくとも1件では……」――ため、最も重大な技術的詳細は、提供された資料では確認できない ⁷。

ミネソタ州の30超の施設が侵害された後、7月31日までにFBIと環境保護庁（EPA）は、少なくとも7州の自治体システムが攻撃を受けたとして、全米の水道事業者に警告していた ⁹。NBC Newsは、この警告を規模に関する連邦政府初の認識として報じ、その後の状況を測る基準となった ⁹。7州という数字は、水道部門にとってすでに異例の連邦警報だった。水道部門は、数千に及ぶ地域運営のシステムが広く分散し、人員体制やセキュリティ予算にばらつきがある。

5日後、その基準が覆された。8月4～5日、当局者は少なくとも12州の上下水道システムが侵入を報告したと確認した。FBIが5日前に公表した7州から増加した ^{6 2}。SecurityWeekは8月5日、クレイトン郡がポンプ場の障害を報告したことを受け、ジョージア州が攻撃を受けた州として確認されたと報じた。ABC Newsが集計したところ、少なくとも12州に上ったが、州名が明らかになったのは一握りにとどまったという ⁵。The Recordも、サウスダコタ州とジョージア州が事案を公表し、12州に拡大したと報じた ²。同じ時期、アトランタ都市圏の一部で煮沸勧告が出され、調査が進められていた。ポンプ場の障害でさえ、すぐに水道の蛇口に関わる公衆衛生上の問題になり得ることを示している ⁶。

拡大を受け、全米規模の報道が続いた。8月6日、CNNとCBS Newsは12州に及ぶ攻撃を報じ、CBSはハッカーが「特に脆弱な産業用コンピューター」を悪用していると当局者が警告したと伝えた ^{3 4}。この表現が重要なのは、未知の高度なゼロデイ攻撃ではなく、既知で外部に露出した制御機器を示唆するからだ。4日後、Dark Readingは攻撃が「セキュリティ対策が不十分でインターネットに露出したPLC」を通じて少なくとも12州に達したと報じ、産業用コントローラーへの複雑度の低い攻撃と説明した ¹⁰。簡単に言えば、バルブの開閉やポンプの運転のために作られた機器がインターネットからアクセス可能になっており、侵入者はそこから入り込んだ。

誰がこの侵入を指示したのかは未解明で、報道資料の表現には意図的に留保が付けられている。The Recordは、この攻撃キャンペーンが「イランのハッカーと関連しているとされる」とした ²。Dark Readingは、侵入は「イラン政府と関係している可能性がある」と報じた ¹⁰。Cybersecurity Diveは8月20日、今回の一連の攻撃について「イラン関連の脅威グループによるものと疑われている」と記した ⁸。提供されたソーステキストのいずれにも、イランやその他の国家を犯行主体とする米政府の正式な特定は含まれていない ^{2 10 8}。

疑いと正式な非難の間にあるこの隔たりは、単なる慎重な法務表現の問題ではなく、構造的なものだ。小規模な水道事業者には、数千のシステムにまたがって証拠を保全するために必要なフォレンジックログやネットワーク監視が不足していることが多く、追加の情報なしに高い確度で犯行主体を特定するのは難しい。その結果、被害件数からは協調した攻撃キャンペーンに見える――ミネソタ州での集中発生に続き、各地の州へ広がった――ものの、公開記録上は犯行主体が特定されていない。情報源が単一の表現で一致しないのは、合意できる単一の結論がまだなく、調査がイランとの関連を示唆しているものの証明には至っていないことを、それぞれ異なる言い方で述べているにすぎないからだ ^{2 10 8}。

この曖昧さがもたらす重大な影響をめぐり、8月中旬までに政策論議が進んでいた。The Independentは8月7日、長年にわたる警告を受けた今回の攻撃を「警鐘」と位置づけ、備えができていない州についてアナリストの見解を引用した ¹¹。8月20日までに、Cybersecurity Diveは、攻撃がイラン関連の活動と疑われるという段階にとどまる中、より厳格な監督と資金拠出への支持が広がっていると報じた ⁸。一連の流れが物語るのは、まずミネソタ州での手動運転、次に連邦政府の警告、その後に被害州の倍増、そしておなじみのワシントン流の資金と義務付けをめぐる動きだ ^{7 9 6 8}。

この記事が何を主張していないのかも、読者は理解しておく必要がある。提供された報道テキストでは、初期報道とともに広まった劇的な詳細のいくつかは裏付けられていない。何らかの名称を名乗る集団が犯行声明を出したとの記述も、化学物質の注入量、ポンプの稼働時間、圧力調整を制御するコントローラーのプロジェクトファイルが改変されたというFBIの逐語的な声明も、外国のハッキング対象をどの程度把握しているかを示す統計もない ^{2 3 4 5 6 7 8 9 10 11}。ミネソタ州の資料は、文の途中で途切れる前にコントローラーの改ざんを示唆しているが、主張の全容は確認できない ⁷。あるURLのスラッグにはニュージャージー州への言及があるものの、表示されている抜粋本文では同州の状況は確認できない ⁶。また、途中で途切れたテキストには、引用可能な公式声明も含まれていない ^{2 3 4 5 6 7 8 9 10 11}。