「閉域網だから安全」は通用しない、制御システムの攻撃事例に学ぶ“基本”（1/2 ページ）

「モノづくりに携わる人」だからこそ、もはや無関心ではいられない情報セキュリティ対策。今回は、IPAが公開する制御システムのサイバーインシデント事例を基に、工場ネットワークにも通じる攻撃の入り口と、基本的なセキュリティ対策の重要性を考えます。

公開 2026年08月21日 07時15分

著者

宮田健

[TechFactory]

印刷する連載新着通知を受け取る

　情報処理推進機構（IPA）が公開している「制御システムのセキュリティリスク分析ガイド」をご覧になったことはあるでしょうか。2026年4月に第2版が公開され、重要インフラを支える制御システムのセキュリティリスク分析に役立つ内容となっています。

図1　「制御システムのセキュリティリスク分析ガイド第2版」の表紙［クリックで拡大］出所：IPA（https://www.ipa.go.jp/security/controlsystem/riskanalysis.html）

　制御システムといえば、インターネットからは隔離され、一般的なTCP/IPではなく、専用のプロトコルで通信が行われている、というイメージがあるかもしれません。そのため、一般的なマルウェアでは到達しにくく、こういった隔離ネットワークへの攻撃は難しい、と考えられがちです。

　だからといって、対策が不要というわけではありません。監視やメンテナンスをリモートで行えるよう、境界にはVPN（仮想プライベートネットワーク）やルーターなどが設置されているケースもあります。こうしたインターネットとの接点は「アタックサーフェス（攻撃対象となり得る領域）」となり、日々脅威にさらされています。だからこそ、上記のような「セキュリティリスク分析」が欠かせません。

　2026年7月31日、制御システムのセキュリティリスク分析ガイドの補足資料として、「制御システム関連のサイバーインシデント事例」シリーズに新たな事例が追加されました。同事例集では、過去に発生したサイバーインシデントの概要や攻撃の流れが紹介されており、リスク分析やセキュリティ対策の検討に活用できます。制御システムを保有していない企業でも、工場ネットワークを考える上で参考になる部分はあるはずです。実際に起きた攻撃事例を見ることは、意識向上にも必ずプラスになるでしょう。では、事例を追い掛けてみましょう。

「制御システム関連のサイバーインシデント事例」シリーズは宝の山！

　この制御システム関連のサイバーインシデント事例シリーズは、日本のみならず世界で発生した制御システム侵害事例がまとめられているもので、これまで13の事例が取り上げられています。その中に、新たに「【事例12】2023年デンマークの複数のエネルギー関連企業へのサイバー攻撃」および「【事例13】2025年ポーランドの市民プールへの攻撃」が加わりました。

制御システムそのものに影響がなかったとしても

　まずは、【事例12】2023年デンマークの複数のエネルギー関連企業へのサイバー攻撃です。2023年5月、デンマークのエネルギー関連企業22社が、ほぼ同時に大規模なサイバー攻撃を受けました。

　IPAの資料では、事例理解のための仮想システム構成図が示されています。

図2　「【事例12】2023年デンマークの複数のエネルギー関連企業へのサイバー攻撃」の事例理解のための仮想システム構成図（実際のシステム構成とは異なる）［クリックで拡大］出所：IPA

　この事例では、サイバー攻撃が大きく2回に分けて行われたとあります。どちらの攻撃も、狙われたのはインターネットとの境界にあるファイアウォールです。このファイアウォールには、2023年4月にNVD（National Vulnerability Database：米国の脆弱性情報データベース）に登録された、CVSS v3（共通脆弱性評価システム：Common Vulnerability Scoring System ver.3）で9.8の「緊急」と評価された、極めて深刻な脆弱性がありました。そして、2023年5月には、まさにその脆弱性を狙った最初の攻撃が行われます。これにより、ファイアウォール上で管理コマンドが実行され、現在のユーザー名と設定情報が取得されました。

　そもそも、なぜ攻撃者はこれらの企業を狙ったのでしょうか。事例集によると、このファイアウォールはVPN利用時を想定して、インターネット側にポートを開いている仕様でした。実際にVPNを使わない場合でも開いた状態だったため、攻撃者は該当のポートを調べることで、攻撃対象となり得る企業を容易に絞ることができたとされています。

　加えて、第2の攻撃の波がやってきます。最初の攻撃からわずか11日後、今度はファイアウォールのゼロデイ脆弱性が攻撃に使われました。これにより、ファイアウォールは乗っ取られ、マルウェア「Mirai」ボットネットの一部として動作するようになります。つまり、外部への攻撃に加担するようになったのです。実際に米国、香港の企業に対しDDoS（分散型サービス拒否）攻撃を行っていたことも把握されました。

　この事例から、工場のような閉域網のシステムであったとしても、その境界にあるネットワーク機器がインターネットにつながっていれば、内部への侵入を許さなかったとしても、意図せず外部への攻撃に加担する側になり得る、ということが分かると思います。

　問題は、既知の脆弱性がNVDに登録されてから1カ月に満たない期間で悪用されているというスピード感です。現場によっては、脆弱性が発見され、対処を決めたとしても「四半期に一度のメンテナンスタイミングに当てればいい」と考えるケースもあるのではないでしょうか。制御システムだからといって、次の定期メンテナンスまで一律にパッチ適用を待つのは難しいでしょう。

　一方で、制御システムではすぐにパッチを適用できない場合もあります。もしパッチ適用までの期間が空いている場合、その間をどうやって守るか？　という点を考えなければなりません。不要なポートやサービスの停止、アクセス元の制限、設定変更による緩和策など、パッチが公開されてから適用するまでの間、いわゆる「Nデイ攻撃」からどう守るかを考える必要があります。

宮田健の「セキュリティの道も一歩から」

「モノづくりに携わる人」だからこそ、もう無関心ではいられない情報セキュリティ対策の話。でも堅苦しい内容はちょっと苦手……という方に向けて、今日から使えるセキュリティ雑学・ネタをお届けします。

連載新着通知を受け取る

この連載の記事をもっと見る

この記事の著者

宮田健

＠IT記者を経て、現在はセキュリティに関するフリーライターとして活動する。エンタープライズ分野におけるセキュリティを追いかけつつ、普通の人にも興味を持ってもらえるためにはどうしたらいいか、日々模索を続けている。

「閉域網だから安全」は通用しない、制御システムの攻撃事例に学ぶ“基本”（1/2 ページ）

「制御システム関連のサイバーインシデント事例」シリーズは宝の山！

関連リンク：

制御システムそのものに影響がなかったとしても

関連リンク：

宮田健の「セキュリティの道も一歩から」

この記事の著者

新着ホワイトペーパー PR