【特集2】制御系を狙うサイバー攻撃 エネインフラに甚大被害の脅威

近年、エネルギー施設などの重要インフラを狙ったサイバー攻撃が激増している。ランサムウェアやエモテットを利用した攻撃は、甚大な被害を及ぼす可能性がある。

今年2月に始まったロシア軍によるウクライナ侵攻によって、サイバー攻撃の脅威が世界的に高まっている。戦時下にあるウクライナでは国防省や国営銀行がDDoS（大量アクセス）攻撃を受けて、ウェブサイトやサービスが停止した。欧州では通信衛星がサイバー攻撃によって停止し、約1100万kW分の風力発電の遠隔監視制御が不能になる事態となった。国内でも、トヨタ自動車のサプライチェーンで部品供給が停止となった。ウクライナ侵攻との直接的な関係は不明だが、さまざまなサイバー攻撃の被害が顕在化している。

この状況を受けて、政府は2月23日から3回にわたって「産業界へのメッセージ」としてサイバー攻撃への注意喚起を行い、警戒を呼び掛けている。

ランサムウェアで身代金要求 猛威を振るエモテット

近年、サイバー攻撃で猛威を振るっているのが、ランサムウェア攻撃とマルウェア「エモテット（Emotet）」だ。ランサムウェアは身代金という意味の「ランサム」と「ソフトウェア」を組み合わせた造語で、企業のシステムに侵入し、暗号化などによってファイルを利用不可能な状態にする。攻撃者はそのファイルを元に戻すことと引き換えに身代金を要求する。

昨年5月には、米国最大の石油パイプライン会社コロニアル・パイプラインがランサムウェアの被害を受けた。情報ネットワークが不正アクセスされランサムウェアが侵入、脅威を封じ込めるため課金用ITシステムなどを停止した。これにより、全てのパイプラインが停止する事態となり、最終的に身代金440万ドル（約5億5000万円）を支払うことになった。

エモテットは、昨年11月頃から出回り始めたマルウェアだ。主に、マクロ付きのエクセルやワードファイル、パスワード付きジップファイルとしてメールに添付する形式で配信されてくる。ファイルを開封すると、マクロを有効化する操作によって感染し、メールアカウントとパスワード、アドレス帳などの情報が抜き取られる。攻撃者はエモテットによって入手した情報をもとに他のユーザーへ感染メールを送信し、取引先や顧客を巻き込んでいく。

狙われるOTシステム 防ぐゼロトラストの概念

エネルギー事業者が使用するシステムは、顧客管理などを行うIT（情報系）システムと、発電所や送配電網、LNG基地の運用などに利用するOT（制御系）システムの大きく二つで構成されている。ITは一般企業と同様に顧客情報管理やサービスを行うため、適宜新しいシステムに入れ替えて利用するケースが大半だ。一方、OTは外部ネットワークへの接続点が限定された閉じられたシステムで、以前はサイバー攻撃が心配されていなかった。OTは10~20年という長期間にわたり使用され、システムによってはいったん稼働したら停止が困難なものもある。このため、古いOSのままで使われていたり、セキュリティーのアップデートをしていないものがあったりする。そうした対策を全く実施していないOTをネットワークにつなげると、セキュリティーが脆弱でサイバー攻撃のリスクに晒されることになる。

15年12月、ウクライナの送配電事業者のOTがフィッシングメールによってマルウェア「ブラックエナジー」に感染、情報を盗み取られた。この情報をもとにエネルギー供給事業者3社の変電所を遠隔制御して停止させたほか、無停電電源装置やモデムなども止めた。さらに、ハードディスクなどの情報を完全に削除するツールでサーバーやワークステーション上の情報を破壊。このほか、コールセンターがつながらないように大量の電話をかけて、サービス拒否状態にするなど、徹底的な攻撃が仕掛けられた。

昨年2月に、米国フロリダ州の水処理施設にあるパソコンに不正アクセスがあった。OTシステムは古いOSが稼働し、ファイアウォールもなく、共通パスワードのリモートアクセスシステムのままだった。これにより、産業用制御システムが外部から不正な操作を受け、水酸化ナトリウムが通常の100倍に増やして投入された。このように、OTは一度サイバー攻撃を受けると、甚大な被害になる危険がある。

近年はOTにおいても、IoT機器の導入が進められ、ITとネットワークで接続しコスト削減や稼働効率の向上などにつなげようという動きが出てきている。そうなると、以前にも増してサイバー攻撃には注意を払わなければならない。そこで注目されているのが、「ゼロトラストネットワーク」という概念のソリューションだ。文字通り、全てのトラフィックが信用できないことを前提に、あらゆる端末や通信のログを取得して検査する性悪説のアプローチを採用する。

セキュリティーベンダー大手である米国パロアルトネットワークスの「セグメンテーションゲートウェイ」では、IoTデバイスから顧客情報までが部門ごとにレベルで区分けされ、各部門から通信するには、中央の監視を通過しないと通信できない仕組みになっている。「レベル分けされたそれぞれの部門にあるIoTデバイスやパソコン、サーバーなどの設備を1カ所で監視します。こうすることで信頼性が高まるほか、コスト削減につながります」。林薫日本担当最高セキュリティー責任者はこう説明する。

国内のエネルギー事業者は従来、ITとOTの間にセキュリティー機器を設置したり、ITとOTを接続しないことで、サイバー攻撃による甚大な被害を起こさせずに運用してきた。しかし今後は、IoTデバイスやデジタルツインなどの導入による効率的な運用が重要施設でも行われていく。そうしたとき、ゼロトラストネットワークのような新たな仕組みが必要になってくるとみられる。