イラン系APTが米重要インフラへサイバー攻撃、正規エンジニアリングツールで制御ロジックを改変|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月29日更新日時: 2026年07月29日

米国のFBI、CISA、NSA、環境保護庁、エネルギー省、米サイバー軍、財務省は2026年7月22日、インターネットへ接続されたPLCを狙うイラン系APTの共同アドバイザリを更新しました。攻撃者は専用マルウェアだけに依存せず、Rockwell Automation、Schneider Electric、Siemensが提供する正規のエンジニアリングソフトウェアを使い、PLCのプロジェクトファイルを取得・改変していました。米国では政府施設、上下水道、エネルギー分野で操業への影響や金銭的損失が確認されており、日本の製造業や社会インフラ事業者もインターネットへ直接公開されたOT機器を早急に点検する必要があります。

サマリー

米政府機関は2026年7月22日、イラン系APTによるPLC攻撃の共同アドバイザリを更新しました
少なくとも2026年3月以降、米国の政府施設、上下水道、エネルギー分野でPLCの機能停止や操業への影響が確認されています
攻撃者はStudio 5000 Logix Designer、EcoStruxure Control Expert、TIA Portalなどの正規ツールを利用しました
Rockwell AutomationのCompactLogixとMicro850、Schneider ElectricのBMX P34／Modicon M340、SiemensのS7-1200が具体的な標的として挙げられています
プロジェクトファイルや再利用可能な制御ロジックが改変され、停止機能やアラーム機能が無効化された事例があります
特定のゼロデイ脆弱性を悪用した攻撃とは説明されておらず、インターネットへの直接公開や設定不備が主要な侵入口です
PLCの直接公開を停止し、ゲートウェイ、VPN、アクセス制御、多要素認証を介した接続へ移行する必要があります

項目	内容
アドバイザリ	AA26-097A
初回公表日	2026年4月7日
最終更新日	2026年7月22日
発表機関	FBI、CISA、NSA、EPA、DOE、米サイバー軍CNMF、米財務省
攻撃主体	米政府機関がイラン系APTと評価
攻撃目的	米国内で混乱や機能停止を引き起こすことが目的と評価
主な被害分野	政府サービス・施設、上下水道、エネルギー
確認された対象製品	Rockwell Automation CompactLogix／Micro850、Schneider Electric BMX P34／Modicon M340、Siemens S7-1200
攻撃手法	インターネット公開されたPLCへ接続し、正規設定ツールでプロジェクトファイルを取得・改変
悪用された正規ツール	Studio 5000 Logix Designer、EcoStruxure Control Expert、TIA Portal
監視対象ポート	44818、2222、102、502、モデムのSSHポート22
確認された影響	PLCロジックの変更・削除、HMI／SCADA表示の改変、停止・警報ロジックの無効化
実際の悪用状況	米国の複数の重要インフラで実際の侵害と操業影響を確認
特定CVEとの関係	アドバイザリでは特定のCVEやゼロデイ悪用を攻撃原因としていない
日本での被害	今回の共同アドバイザリでは日本国内の被害は公表されていない

米国の重要インフラでPLCの機能停止を確認

共同アドバイザリによると、イラン系APTは少なくとも2026年3月以降、米国の複数の重要インフラ分野でインターネットへ接続されたPLCを狙っていました。

影響を受けたのは、地方自治体を含む政府サービス・施設、上下水道、エネルギー分野です。PLCは幅広い産業オートメーション工程で使われており、一部の被害組織では操業への影響と金銭的損失が発生しました。

米政府機関は、この活動について、米国内で混乱を引き起こす意図があると評価しています。米国とイスラエル、イランの対立が激化したことに伴い、米重要インフラを標的とするイラン系APTの活動が拡大した可能性があるとの分析も示しました。

今回の更新では、当初のRockwell Automation製品に加え、Schneider ElectricとSiemensのPLCが実際の標的として追加されています。特定メーカーだけの問題ではなく、インターネットへ直接公開されたPLC全般が潜在的な対象とされています。

正規のPLC設定ソフトウェアを攻撃に利用

今回の攻撃で特徴的なのは、攻撃者が各メーカーの正規エンジニアリングソフトウェアを利用した点です。

確認されたツールは、Rockwell AutomationのStudio 5000 Logix Designer、Schneider ElectricのEcoStruxure Control Expert、SiemensのTotally Integrated Automation Portalです。いずれもPLCの設定やプログラム変更に使用される正規製品です。

攻撃者は、借り受けた第三者のホスティング環境上でこれらのツールを動かし、設定不備のあるPLCへ接続してプロジェクトファイルを取得していました。取得後には、制御ロジックの変更や削除、HMIやSCADAに表示されるデータの改変を行っています。

不審なマルウェアをPLCへ直接送り込むだけの攻撃ではないため、未知の実行ファイルやマルウェア通信だけを監視していても検知できないおそれがあります。正規のエンジニアリング通信であっても、接続元、操作時間、使用アカウント、変更内容が通常と異なる場合は調査が必要です。

具体的に狙われたPLCと通信ポート

米政府機関が具体的な対象として挙げたPLCは、Rockwell AutomationのCompactLogixとMicro850、Schneider ElectricのBMX P34／Modicon M340、SiemensのS7-1200シリーズです。

攻撃通信は、OT機器で一般的に使用されるTCPポート44818、2222、102、502で確認されました。モデムについては、SSHで使われるポート22も標的となっています。

一つの事例では、攻撃者が被害組織のモデム上で軽量SSHサーバーのDropbearを利用し、ポート22を通じた遠隔アクセス経路を確保していました。

ポート44818と2222は主にEtherNet/IP、102はSiemens S7系の通信、502はModbus TCPで使われます。これらのポートがインターネットから到達可能な状態であれば、ファイアウォールやルーター、携帯回線用モデムの設定を確認する必要があります。

ただし、ポートが開いているだけで侵害されたと判断することはできません。共同アドバイザリに掲載されたIOCや過去の通信ログと照合し、国外のホスティング事業者からの接続、不審なプロジェクトファイルの送受信、通常とは異なる設定変更がないかを調べることが重要です。

停止機能やアラーム機能を無効化

攻撃者は、PLCからプロジェクトファイルを取得した後、制御ロジックを変更または削除していました。

Rockwell Automation製PLCでは、Add-On Instructionと呼ばれる再利用可能なコードモジュールの改変も確認されています。これは他メーカーのPLCにおけるファンクションブロックやユーザー定義ファンクションブロックに相当します。

米国の被害組織で確認された不正なプロジェクトファイルには、下流工程を動かすための既存ラダーロジックを残しながら、安全な運転条件を維持する命令を上書きするロジックが追加されていました。

別の確認内容では、重要な停止ロジックやアラームロジックが無効化され、システムが異常な状態へ移行しても運転員へ通知されない可能性がありました。HMIやSCADA画面の表示データも操作されており、画面上の値だけでは設備の実状態を正しく把握できないおそれがあります。

OT環境では、情報の窃取だけでなく、物理設備の誤動作、品質低下、環境事故、作業員の安全への影響につながる可能性があります。制御ロジックと監視画面の両方が改変されると、異常の発見が遅れる点が特に重大です。

特定のゼロデイではなく設定不備を突く攻撃

今回の共同アドバイザリは、特定のCVEや未知の脆弱性を攻撃原因として挙げていません。

米政府機関は、攻撃者がインターネットへ直接公開され、ネットワーク制御やハードニングが不十分なPLCへ接続したと説明しています。メーカーの正規ソフトウェアから接続できる状態や、遠隔変更を防ぐ設定が有効になっていない環境が悪用されました。

SiemensもSecurity Bulletin SSB-104599で、S7-1200が標的として挙げられたことを認める一方、SiemensのICS製品に存在する脆弱性が悪用された事実は確認していないと説明しています。

したがって、パッチ適用だけでは十分ではありません。機器が最新バージョンであっても、インターネットへ直接公開され、認証や接続元制限が不十分であれば攻撃対象になります。

Rockwell Automationも2026年3月、コントローラーをインターネットから切り離し、機器のセキュリティ機能を有効化するよう顧客へ緊急に呼びかけていました。

過去のCyberAv3ngersによるPLC攻撃との関係

米政府機関は今回の攻撃主体をイラン系APTと評価していますが、現在の活動をCyberAv3ngersによるものと断定してはいません。

一方、共同アドバイザリは、イラン革命防衛隊のCyber Electronic Commandに関連するCyberAv3ngersによる過去のPLC攻撃を背景情報として挙げています。

CyberAv3ngersは2023年11月以降、イスラエル製のUnitronics VisionシリーズPLC／HMIを使用する米国の上下水道施設などを攻撃しました。2023年11月から2024年1月までに、米国内の少なくとも75台が侵害され、そのうち少なくとも34台は上下水道分野で使われていました。

当時の侵入では、インターネットへ公開され、初期パスワードまたはパスワード未設定のPLCが狙われています。攻撃者は正規のラダーロジックを削除して不正なファイルへ置き換え、機器名やソフトウェアバージョンを変更して復旧を妨害しました。

今回の活動は対象メーカーや操作内容が広がっており、単純な画面改ざんから、設備の安全運転に関係するロジック操作へ踏み込んでいます。イラン革命防衛隊が米IT企業や重要インフラを標的とする動きと合わせて見ると、地政学的な対立が民間のOT環境へ波及するリスクが高まっていると考えられます。

日本の製造業・社会インフラへの影響

今回の共同アドバイザリで、日本国内の被害は公表されていません。

しかし、対象として挙げられたRockwell Automation、Schneider Electric、SiemensのPLCは、日本国内の製造設備、エネルギー設備、ビル設備、水処理設備などでも利用されています。攻撃者が特定の組織だけを狙うのではなく、公開ポートを探索して到達可能な機器を機会的に狙っている点にも注意が必要です。

海外拠点、遠隔地の設備、無人施設、携帯回線で接続された監視設備では、現場の保守を優先してPLCやモデムをインターネットへ直接公開している場合があります。IT部門が把握していない回線や、設備ベンダーが独自に設置したルーターが残っていないかを確認する必要があります。

FA・制御系では、機器の停止だけでなく、制御データの改変が品質や安全へ直結します。三菱電機FA製品のSLMP通信に関する脆弱性で取り上げたように、日本企業もPLC通信と制御ロジックを重要な保護対象として扱う必要があります。

情報システム部門への示唆

情報システム部門とOT担当部門は、PLCをインターネットから直接到達できる状態にしないことを最優先で確認してください。外部保守が必要な場合は、ファイアウォール、VPN、ZTNA、踏み台サーバーなどを介し、接続元と利用者を限定します。

携帯回線用モデムも資産台帳へ含め、初期パスワードの変更、ファームウェア更新、ログの有効化を実施してください。可能であれば、プライベートAPN、閉域構成、拠点間VPNなど、インターネットから直接到達できない接続方式へ移行します。

PLCへのアクセス制御では、想定するエンジニアリング端末やHMIからの通信だけを許可するACLを設定します。外部ネットワークからOT環境へ接続する際は、多要素認証を必須にしてください。

物理モードスイッチを備えるコントローラーでは、更新作業が終わった後にRun位置へ戻し、遠隔からのプログラム変更を防ぎます。ただし、すでに不正なプロジェクトファイルが書き込まれている可能性がある場合は、Run位置へ変更する前に内容を検証する必要があります。

稼働中のプロジェクトファイルは、既知の正常なロジックと比較してください。Rockwell Automation製品ではAdd-On Instruction、他メーカーではファンクションブロックや入出力設定も確認します。バックアップから復元する際も、バックアップ内に不正なロジックが含まれていないことを検証してください。

ログ調査では、PLCだけでなく、モデム、HMI、SCADA、エンジニアリング端末、踏み台サーバーを対象にします。ポート44818、2222、102、502、22への国外ホスティング環境からの通信や、通常とは異なる時間帯のプロジェクトファイル操作を確認してください。

OT環境では可用性への影響を考慮せずに設定変更や遮断を行うと、設備停止を招く場合があります。安全・操業への影響評価を行い、設備メーカー、システムインテグレーター、現場担当者と手順を共有したうえで対策を進めることが重要です。