CISA、水道・廃水処理施設のPLCを狙った攻撃の急増を警告-パスワード変更・IP操作で施設を遮断、インターネット公開のOT機器を即時撤去するよう要請|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年08月03日更新日時: 2026年08月03日

米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年7月30日、水道・廃水処理施設（WWS）セクターのインターネット接続型プログラマブルロジックコントローラ（PLC）を標的にしたサイバー攻撃が著しく増加していると緊急アラートを発出しました。攻撃者はPLCのパスワードを変更してオペレーターをロックアウトし、IPアドレスを操作してデバイスをインターネットから切断する手法をとっており、「飲料水の煮沸通知の発令」と「手動運用への長期切り替え」という実被害が確認されています。CISAは重要インフラの所有者・運用者・インテグレーターに対し、インターネットに公開されたPLCなどのOT機器を「できる限り早急に」インターネットから切り離すよう求めています。今回の警告は、2026年7月26〜27日にミネソタ州の30か所超の水道施設のOTシステムが協調攻撃を受けた事案を直接の背景として発出されたものです。

CISAによる水道施設PLC攻撃急増警告のサマリー（2026年7月30日）

2026年7月30日、CISAが水道・廃水処理施設セクターのPLCを標的にした攻撃の急増を警告する緊急アラートを発出
攻撃手法：PLCのパスワードを変更してオペレーターをロックアウト、IPアドレスを変更してデバイスをインターネットから切断
実被害：飲料水の煮沸通知の発令、長期にわたる手動運用への切り替え
成熟したサイバーセキュリティプログラムを持つ組織も含む、あらゆる規模の水道事業者が標的
盲点として警告：ベンダーや作業員が設置した「記録に残っていないセルラーモデム」がインターネット接続面となっているケース
Censys調査：Rockwell/Allen-Bradley製が4,100台超、Siemens製が4,100台超、Schneider Electric製が2,000台超のPLCがインターネットに公開中
露出しているRockwell製デバイスの約半数はVerizon・AT&T・T-Mobile・Comcast・Charter・Starlinkのセルラー・ISPネットワーク経由でアクセス可能
CISAが7月22日に更新したAA26-097AアドバイザリはIRGC（イラン革命防衛隊）系アクターによるPLC攻撃を警告

整理表

項目	内容
発出機関	CISA（米国サイバーセキュリティ・インフラセキュリティ庁）
発出日	2026年7月30日
緊急度	即時対応要請（can’t wait）
攻撃対象	水道・廃水処理施設（WWS）セクターのインターネット接続型PLC
確認された攻撃手法	PLCのパスワード変更（ロックアウト）、IPアドレス変更（ネットワーク切断）
実被害	飲料水の煮沸通知の発令、長期手動運用
攻撃者の規模	あらゆる規模の水道事業者が標的（セキュリティ成熟度は問わない）
特定の注意機器	Rockwell Automation MicroLogix 1400（パスワード変更後の復旧手順あり）
イラン系関連	CISAのAA26-097A（7月22日更新）でIRGC系アクターによるPLC攻撃を警告
直接の背景	ミネソタ州30か所超の水道施設OT協調攻撃（7月26〜27日）

何が起きているか——PLCのパスワード変更と飲料水への実被害

CISAの緊急アラートが示す攻撃の実態は、単なる「設定の改ざん」にとどまらず、施設の物理的な運用に直結しています。

攻撃者は2つの具体的な手法を組み合わせています。まずPLCのパスワードを変更することで、正規のオペレーターを制御画面からロックアウトします。次にPLCのIPアドレスを変更することで、デバイスをネットワークから切り離し、中央の監視・管理システムからの操作を不可能にします。

このわずか2つの操作で、水道施設の通常運用が停止します。CISAのアラートには「boil water notices（飲料水の煮沸通知）の発令」と「sustained manual operations（長期にわたる手動運用）」という実被害が明記されており、地域住民への直接的な影響が発生していることが確認されています。

特に注目すべきは「成熟したサイバーセキュリティプログラムを持つ組織も攻撃されている」という記述です。CISAは「このような標的指定活動には、オペレーター・ベンダー・システムインテグレーターが設置した、文書化されていないセルラーモデムや通常の攻撃面スキャンに含まれていない機器が含まれているため、サイバーセキュリティプロセスが成熟している水道事業者であっても外部接続を検証すべきだ」と明示しています。

Censysが示す露出の規模——1万件超のPLCがインターネット上に

サイバーセキュリティ検索企業のCensysが同日公開したレポートは、問題の規模を定量的に示しています。現時点でインターネットに公開されているPLCの規模は、Rockwell Automation/Allen-Bradley製が4,100台超、Siemens製が4,100台超、Schneider Electric製が2,000台超に上ります。

なお、このデータが示すのは「公開インターネットから到達可能なデバイスの数」であり、これらがすべて攻撃対象になっているまたは侵害されているわけではありません。ただし、これだけの規模の機器がインターネット上に露出しているという事実は、潜在的な攻撃面の広さを示しています。

Censysは特に「セルラーモデム経由の露出」という盲点を強調しています。露出しているRockwell製デバイスのほぼ半数が、Verizon Business・AT&T・T-Mobile・Comcast・Charter・Starlinkといったセルラー通信またはISPネットワークを経由してアクセス可能な状態にあります。また、CISAのアラートで名指しされているMicroLogix 1400については、多くのデバイスがEoS（販売終了）のファームウェアバージョンで動作していることも確認されています。

攻撃者の属性——CISAのAA26-097Aが示すイラン系グループの関与

CISAは7月30日のアラート発出の8日前となる7月22日、アドバイザリ「AA26-097A」を更新していました。このアドバイザリは、IRGC（イラン革命防衛隊）系アクターがRockwell Automation/Allen-Bradley・Schneider Electric・Siemens製など複数メーカーのPLCを標的にし、米国の重要インフラ（水道・廃水処理・エネルギー・政府施設等）を狙った攻撃を行っていることを警告するものです。

今回の更新ではRockwell Automation PLCプログラム内の再利用可能なコードモジュールへの悪意ある変更を検知するための新たなガイダンスが追加され、対象メーカーの範囲がSchneider ElectricとSiemensにまで拡大されました。FBIはIRGC系アクターが設定ソフトウェアを使って標的PLCに悪意あるプロジェクトファイルをダウンロードし、ラダーロジック（PLCの制御プログラム）を上書きするケースを観測しています。

今回の緊急アラートが発出された直接のきっかけはミネソタ州での協調攻撃事案ですが、CISAはアドバイザリAA26-097Aとの関連でイラン系グループの活動が背景にある可能性を示しています。ただし、ミネソタ州の事案への帰属は現時点で公式に確認されていません。

CISAが指示する緊急緩和策

CISAは今回のアラートで具体的な緩和策を提示しており、優先順位は明確です。

最優先：インターネットからの完全切り離し。CISAは「インターネットに公開されたPLCなどのOT機器をできる限り早急にインターネットから切り離す」ことを最優先の対応として要請しています。

即時切り離しができない場合の代替策：VPN接続またはゲートウェイデバイスを通じたセキュアなリモートアクセス経路の確保、デフォルトパスワードの変更、IPアドレスのアローリストによるアクセス制限が推奨されています。

MicroLogix 1400の特別対応：Rockwell Automation MicroLogix 1400 PLCについては、パスワードが変更されてロックアウトされた場合のアクセス復旧手順が「IMPORTANT NOTICE: Restoring Access to a MicroLogix™ 1400 Controller When the Password Is Unknown」としてベンダーから提供されており、CISAはこれを参照するよう案内しています。

バックアップの確保：PLCをインターネットから切り離した後は、パスワードの変更によってロックアウトされた場合に備え、クリーンなPLCイメージのバックアップが手元にあることを確認することが求められています。

情報システム・OT担当者が取るべき対応

今回のCISAアラートが対象としているのは水道事業者ですが、インターネット接続型PLCを使用するあらゆる組織のOT担当者にとって直接関係する警告です。

自組織の環境について今すぐ確認すべき項目は次の3点です。まず、社内や現場に接続されているPLCのうちインターネットに露出しているものがないかを棚卸しすることです。この際、正規のネットワーク図に記載されていない「文書化されていないセルラーモデム」や「ベンダーが設置したリモートアクセス機器」まで含めて確認することが重要です。次に、PLCにデフォルトのパスワードがそのまま使われていないかを確認することです。攻撃者がパスワードを変更してロックアウトを試みている以上、デフォルトパスワードの存在は即座に悪用されるリスクがあります。最後に、インターネットから直接到達可能なOT機器に対してはVPN接続またはゲートウェイデバイスを経由した接続に切り替えることで、直接露出を解消することです。