7州で水道システム30カ所が攻撃、米国はイランを指摘

わずか2日間で30カ所の水道施設。重要なのはこの数字であり、聞けば身がすくむはずだ。ミネソタ州だけで、2026年7月26～27日に少なくとも30の自治体の水道システムが標的となり、州は緊急対応態勢を全面的に発動した。⁸ パスワードの弱い施設が1カ所あったとか、担当者がリンクをクリックしたといった話ではない。全国ニュースになることもほとんどない町々で蛇口から水が出るようにしているポンプや浄水制御装置など、数十の小規模な公共システムが一斉に攻撃を受けたのだ。⁸

ミネソタ州ITサービス局は、この攻撃の波を検知した後、州が「直ちに州のサイバーセキュリティー事故対応を発動した」と述べた。⁸ その後、ミネソタ州の緊急事態は全国への警告へと発展した。少なくとも7州で攻撃が報告され、FBIとEPAは全米の水道事業者に警告した。^{3 8 10} ほどなくミシガン州も水道システムへの攻撃を報告し、中西部だけの事例ではないことが確認された。¹¹

通常のランサムウェアや侵入がぽつぽつ起きるのとは違うのは、その規模だ。7州ということは、異なる運営者、業者、緊急事態管理担当者たちが突然、同じ疑問を抱いたということだ。設計上は外部ネットワークから隔離され、監視され、単調であるはずのシステムに、侵入者はどうやって入り込んだのか。³ 連邦捜査当局はまだ被害を受けた施設の全リストも被害評価も公表していないが、初期の状況からは、米国の重要インフラの中でも最も脆弱な部分の一つを広範かつ無差別に狙った動きがうかがえる。¹⁰

攻撃主体の特定は早く、海の向こうを指し示した。米情報機関は、ミネソタ州の30を超えるシステムに対する協調攻撃の背後にテヘランがいた可能性が高いと評価した。⁴ 米国は、ミネソタ州やミシガン州を含む7州の水道システムへのサイバー攻撃にイランが関与したかどうかを調べている。² 連邦当局者は、より広範な攻撃の波について「現在、イランが犯人である可能性が高いとみていると報じられている」。¹⁰ その評価が正しければ、外国勢力がミサイルではなくコードを使って、米国の民間インフラを大規模に探査、あるいは攻撃したことになる。

しかし、情報機関の見立ては見出しが示唆するほど確かなものではなく、正直にそう伝える必要がある。水道業界宛てのCISAのメモはイランに言及したが、「今回のミネソタ州の事案をイランに帰属させる証拠を直接示してはいない」。⁵ 情報機関の疑いと公に示された証拠の間に隔たりがあるのは、ログやマルウェアのサンプル、攻撃インフラを解きほぐさなければならないサイバー捜査ではよくあることだ。しかし、それは危険でもある。なぜその名前が選ばれたのかを示されないまま、事業者や州知事、一般市民が、名指しされた敵対勢力への防御を求められるからだ。⁵

よりはっきりしているのは、ハッカーがどう侵入したかだ。CBSは、セキュリティー上の欠陥が懸念され、ハッカーが脆弱な産業用コンピューターを悪用したと報じた。⁹ ロイターは、CISAが水道事業者を狙うハッカーの動きが活発化していると警告したと報じた。⁶ CISAは、ミネソタ州でのハッキングを受け、外部からアクセス可能なシステムをオフラインにするよう水道事業者に促した。⁵ つまり、圧力、薬品、流量を管理する制御システムの多くが、今なおインターネットからアクセス可能な状態にある。利便性のために導入され、セキュリティー対策が施されないままのリモートアクセスツールを通じていることも多い。担当者がパートタイムで1人だけの小さな町にとって、システムをオフラインにするのは技術的な解決策ではない。施設まで車で行き、手作業で運転することを意味する。

これが「重要インフラ」という言葉の背後にある、華やかさのない現実だ。米国の水道部門は、十分に守られた大手事業者が数社あるだけではない。およそ150,000の公共水道システムがあり、その多くは数千人に水を供給し、乏しい予算と老朽化した産業用制御装置で運営されている。CBSは、こうした欠陥についての報道で、その危険性を端的に示す言葉を伝えた。「これらのシステムを守る人はいない」。⁹ そうしたシステムが外部にさらされていれば、攻撃者は恐怖を引き起こすのにゼロデイ脆弱性など必要としない。侵入し、改ざんした画面を表示させたり、ポンプを動かしたりするだけで、停止を余儀なくさせ、信頼を損なうには十分だ。

町々にシステムをオフラインにするよう指示しているCISA自体も、重圧にさらされている。CISAは専門職員の給与を削減しており、ニック・アンダーセン長官代行は職員に宛てた書簡で「こうした変更が一部の人々に経済的困難をもたらす可能性があることは、承知しています」と記した。その数週間前には、DHSが議会に対し、同庁にはさらに600人が必要だと伝えていた。⁷ 防衛担当者への報酬が減る一方で仕事は増えるという対照は、情報源に記録されており、サイバー防衛を緊急事態に対応できるよう強化しているとの主張を損なう。⁷ 情報源が十分に裏付けていないのは、DHSとCISAで法律に基づく予算削減が広く行われているという主張だ。情報源が示すのは給与削減と、議会に示された人員不足である。⁷

これまでの政治的反応は、対策ではなく責任転嫁だ。キャンプ・デービッドで開かれたテレビ中継付きの閣議で攻撃について尋ねられたトランプ大統領は、「民主党の州知事を非難した」。⁷ この反応は記録に残っており、ワシントンでこの問題がどのように扱われているかを示している。民間サービスに対する外国からの攻撃が疑われるなか、まず返ってきたのは党派的な論点であり、何が攻撃され、何が依然として危険にさらされ、月曜の朝に町々は何をすべきかという運用上の最新情報ではなかった。⁷

放送をご覧になった方は、この確認された中核事実に、さらに2つの大きな主張が重ねられていたのを耳にしただろう。下院情報特別委員会の委員が、水道事業者への侵入について委員会は説明を受けていないと述べたという主張と、ロシアが最近、英国の民間産業へのサイバー攻撃で数十億の損害をもたらしたという主張だ。この記事のために提供された報道資料からは、これらの主張を検証できない。その資料に含まれるウェブ情報源には、下院情報特別委員会への説明の有無、ラジャ・クリシュナムルティ下院議員の発言、あるいは英国産業へのロシアの攻撃についての記述はない。だからといって、これらの発言が別の場所でなかったという意味ではない。手元の証拠が裏付けるのは水道システムへの攻撃とCISAの警告であり、委員会への説明をめぐる対立や英国との比較については何も証明していないということだ。

この区別が重要なのは、イランの関与が疑われる作戦が起きるたびに、あらゆる警告を戦争と怠慢の物語に結び付けたくなるからだ。分かっている事実だけでも、誇張せずに十分深刻だ。外国の敵対勢力が、州境を越えて米国の飲料水管理システムを探った可能性が高い。対策を命じられた防衛担当者は、給与削減を受ける一方で、600人不足していると告げられている。そして政府トップから公に示された説明は、州知事への非難だった。^{4 7 10} そこに潜む脆弱性を理解するのに、ブリーフィング室のドラマや外国の事例との類比は必要ない。