ミネソタ州の水道施設30か所超が同時にサイバー攻撃-OTシステムを標的にした協調攻撃|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月31日更新日時: 2026年07月31日

2026年7月26日（日曜日）と27日（月曜日）にかけて、米国ミネソタ州の30か所を超えるコミュニティ水道システムが協調サイバー攻撃を受け、浄水場・廃水処理施設のOT（運用技術）システムが停止し、職員が手動運用に切り替えを余儀なくされました。ミネソタ州のIT機関「Minnesota IT Services（MNIT）」は州全体のサイバーセキュリティインシデント対応機能を即時発動し、CISA・FBI・EPAを含む連邦機関と連携して調査を進めています。現時点で水道水の安全性に問題はなく、居住者に水の使用制限を求めた都市はないとMNITは確認していますが、攻撃主体の公式帰属は明らかにされていません。CISAは7月22日付けでイラン系ハッカーグループによるインターネット接続OT機器への攻撃に関する緊急アドバイザリを更新しており、今回の攻撃との関連が指摘されています。

ミネソタ州水道OT攻撃事案のサマリー

2026年7月26〜27日、ミネソタ州内30か所超の水道システムのOTシステムを標的にした協調サイバー攻撃が発生
MNIT（ミネソタ州ITサービス機関）が州全体のサイバーセキュリティインシデント対応機能を即時発動
最初に公式に被害を公表した都市はBraham・Plymouth・South St. Paul・Maple Plainの4都市
Plymouthでは水塔2か所と複数のリフトステーションのセルラー通信経由機器が攻撃対象となった
水道水の安全性は確認済みで、居住者への使用制限要請はなし（手動運用に切り替え）
公式な攻撃主体の帰属は未確定。ただしCISAは7月22日付けでイラン系グループによるOT機器攻撃の緊急アドバイザリ（AA26-097A）を更新済み
調査はMNIT・CISA・FBI・EPA・MN Fusion Centerが連携して継続中（2026年7月29日時点）

整理表

項目	内容
攻撃発生日時	2026年7月26日（日）〜27日（月）
被害規模	30か所超のコミュニティ水道システム
攻撃対象	水道・廃水処理施設のOT（運用技術）システム
特定された攻撃経路	セルラー通信経由のインターネット接続OT機器
公式帰属	なし（調査継続中）
水道水の安全性	問題なし。居住者への使用制限要請なし
対応機関	MNIT・CISA・FBI・EPA・MN Fusion Center・州保健省・環境汚染管理局
CISA関連アドバイザリ	AA26-097A（7月22日更新）イラン系グループによるOT機器攻撃への緊急警告

何が起きたか——30か所超の水道OTシステムへの同時攻撃

MNITが2026年7月28日付けで公表した公式声明によると、7月26日と27日の2日間にわたり、ミネソタ州内の30か所を超えるコミュニティ水道システムのOTシステムが協調的なサイバー攻撃を受けました。MNITは声明の中で「協調的なサイバー攻撃」と明確に表現しており、各施設が個別に狙われたのではなく、同一の攻撃者または攻撃グループが複数の施設を同時期に攻撃したと認定しています。

最初に被害を公表した都市は4か所です。ブラハム市（Braham）は7月27日月曜日の早朝に「浄水場が不明な理由でオフラインになった」と市民へ告知しました。職員が復旧作業を進め、約3時間後には浄水場が「通常どおり」の状態に戻ったことを改めて告知しています。プリマス市（Plymouth）は、市のIT部門が「攻撃を止め、機器の再設定中の再標的化を防ぐため、影響を受けた機器をネットワークから切断した」と説明しました。その他、サウスセントポール（South St. Paul）とメープルプレーン（Maple Plain）も被害を開示しています。

攻撃を受けた施設では職員が手動運用に切り替えて対応しましたが、これは自動制御システムが停止した状態でも安全を確保できるOTセキュリティの基本原則が機能した事例といえます。水道水の安全性については、ミネソタ州保健省が被害を受けた水道システムと直接連携して確認を進めており、これまでのところ問題は確認されていません。

特定された攻撃経路——セルラー通信経由のOT機器

今回の攻撃で技術的に最も重要な情報はプリマス市の発表に含まれています。同市によると、被害を受けたのは「市内2か所の水塔と複数のリフトステーションにあるセルラー通信経由で接続されていた機器」に限定されていました。

これは今回の攻撃が、水道施設で広く利用されているセルラーモデム経由でインターネットに接続されたOT機器を標的にしていたことを強く示唆します。水道施設では、ポンプステーション・水塔・リフトステーションといった分散した設備の監視・制御のために、セルラーネットワーク経由のSCADA接続が一般的に利用されています。コスト効率と設置の容易さから広く採用されていますが、適切なセキュリティ対策が施されていない場合、インターネット側から直接アクセスできる攻撃面になります。

ネットワークエンジニアとしての経験から言えば、OT機器をセルラー経由でインターネットに接続することは、通常のITシステムでいえば「VPNなしでサーバーをインターネットに直接公開する」のに近い状況になりえます。PLCやRTUは一般的にIT向けのセキュリティ機能を持たず、認証の仕組みや暗号化が不十分なまま運用されているケースが少なくないためです。

帰属分析——CISAのイラン系グループ警告との接点

MNITのスポークスパーソンは、今回の攻撃について「タイムライン、アクセス手法、標的とされたインフラが、連邦パートナーが観測している他の協調的サイバーインシデントと共通の特徴を持つ」と述べています。公式帰属は行われていませんが、複数の状況証拠がイラン系の攻撃グループを示しています。

CISAは2026年7月22日、アドバイザリAA26-097Aを更新し、イラン系ハッカーグループ「CyberAv3ngers」などが、シーメンス製PLC（プログラマブルロジックコントローラー）を含むインターネット接続型OT機器への攻撃を「緊急に」継続していると警告していました。今回のミネソタ州攻撃はその警告からわずか4〜5日後に発生しています。

地政学的な背景として、米国とイランは2026年2月28日の「Operation Epic Fury」以降、武力衝突状態にあります。7月にはイランのホルムズ海峡近くの水処理施設が米軍の攻撃で破壊され、2万人以上が断水を強いられたと報じられており、翌日には「Hanzala」と名乗るハッカーグループが水道システムへの侵害を主張しています。

Center for Internet SecurityのTJ Sayers上級ディレクターは、今回のミネソタ攻撃は特定のアクターへの帰属が未確定であり、CISAが警告したPLC機器が関与しているかどうかも「不明」と述べています。セキュリティ研究者のJoshua Corman氏は「情報を盗むことや金銭化を目的とせず、自分たちが選んだ時と場所で混乱・破壊を引き起こすことを動機とする攻撃者が少なくとも2グループ存在する」と指摘しています。

MNITが発動した「ホールオブガバメント」対応

MNITのCISO（最高情報セキュリティ責任者）を務めるJohn Israel氏は、「重要インフラへのサイバー攻撃には、政府全体で協調した対応が必要だ。今回のインシデントは、ミネソタ州が強固なサイバーセキュリティ能力とパートナーシップへの投資を続けてきた理由を示している」と述べています。

MNITが発動した対応は次の通りです。技術的対応活動の政府パートナー間での調整、影響を受けた組織への脅威インテリジェンスと侵害指標（IoC）の共有、インシデントの封じ込め・調査・復旧・修復支援、関連する悪意のあるサイバー活動の監視と連邦サイバーセキュリティパートナーとの調整、影響を受けたコミュニティへのサイバーセキュリティ専門知識と技術支援の提供です。

ミネソタ州は2024年から水道・廃水処理システムのサイバーセキュリティ強化を連邦・州機関と連携して進めており、2024年6月には州のアクションプランをホワイトハウスに提出しています。今回の攻撃がそのような準備体制のもとで発生し、水道水の安全性を維持しながら対応が進んでいることは、一定の対応能力が機能していることを示しています。ただし、30か所超という規模での同時攻撃は、個別施設の対応能力を超えた州レベルの協調対応を必要とするものであることも明らかです。

OT担当者・情報システム部門が取るべき対応

今回の事案は水道施設に限った問題ではなく、インターネット接続型OT機器を運用するすべての組織に共通するリスクを示しています。

セルラーモデム経由のOT接続の棚卸しが最優先の確認事項です。水道タワー・ポンプステーション・リフトステーション・変電所・工場設備など、セルラー通信経由でSCADAや制御システムに接続している機器のリストを作成し、各機器のインターネット接触面を確認してください。

ネットワークセグメンテーションの実装が根本的な対策です。今回の事案で示されたように、OT機器がITネットワークやインターネットから直接到達可能な状態にある場合、侵害された経路を通じて制御システムへのアクセスが可能になります。請求システムなどのITシステムとPLCコントローラーが到達可能な状態にあってはなりません。

CISAアドバイザリAA26-097Aへの具体的な対応としては、セルラーモデム接続のログ取得、コントローラーへのアクセスを認可されたシステムに限定すること、稼働中のプロジェクトファイルに無認可の変更がないかの確認、バックアップの復元前の検証、物理的なモードスイッチが存在する場合はプロジェクトファイル検証後にのみRUNモードに設定することが推奨されています。

手動運用手順の整備と訓練も見直すべき課題です。今回の事案では、OTシステムが停止した後に手動運用への切り替えが機能したことで飲料水の安全性が維持されました。自動制御が利用できない状況でも施設を安全に運転するための手順と訓練が整備されているかを確認してください。