もしこれが、工場だったとしたら……

　次の事例はもっと身近かもしれません。【事例13】2025年 ポーランドの市民プールへの攻撃では、2025年8月、ポーランドの首都ワルシャワにある市民プールの水処理設備が不正に操作され、水温、残留塩素量、pHなどの水質パラメーターの設定値が、遊泳に適さない値に変更されました。なお、この攻撃による明確な被害は報告されていません。

図3　「【事例13】2025年 ポーランドの市民プールへの攻撃」の事例理解のための仮想システム構成図（実際のシステム構成とは異なる）［クリックで拡大］ 出所：IPA

　構成図を見れば、もうピンとくるかもしれません。ただし、このプールに対して実際にどのような攻撃手法が使われたのかは公表されておらず、IPAの資料では想定される攻撃シナリオが示されています。こちらもインターネットにつながるルーターが攻撃の対象となっており、インターネットに接続された機器を検索できるサービスを基にターゲットを探索します。このシナリオでは脆弱性ではなく、インターネット側から設定用Web画面にアクセス可能だったという前提になっています。認証のためのパスワードも、初期値のままだったという想定です。

　その後、ネットワーク内のSCADA（監視制御システム）を探索します。こちらも認証情報はデフォルトのままだったという想定で、SCADAからコントローラーに対し、水温、残留塩素量、pHのパラメーターを異常値に設定する、という攻撃シナリオが示されています。

　この事例を見ると、内部のSCADAなどがインターネットに直接つながっていないから安全だ、とは言い切れないことが分かるでしょう。また、SCADAのような専門的な機器だから攻撃対象にはならない、というのも間違いです。

　課題はやはり、インターネットにつながっている機器の安全をしっかりと見直さねばならないという点にあります。インターネットにつながるルーターであっても、必要がなければ、インターネット側に設定変更用の画面を公開しておくべきではありません。加えて、そのような重要な機器が初期パスワードのままであれば、これはもう「攻撃してくれ」といっているに等しいと思います。IPAが示した想定シナリオに限っていえば、もし初期パスワードが変更されていれば、もし外部に設定画面を公開していなければ、もしSCADAだけでも認証情報を変更していたら、攻撃経路を途中で遮断できた可能性があります。

どんなに重要で込み入ったシステムも、基本的な対策があってこそ

　新たに追加された事例から、ほんの少しだけをピックアップしました。制御システムというと構えてしまうエンジニアも少なくないと思いますが、攻撃の流れを追ってみると、一つ一つは非常にシンプルなものであることが分かります。守るのが難しいのは、事例12の「ゼロデイ脆弱性」のようなケースでしょう。一方、第1波は既知の脆弱性を狙ったものであり、事前に対策できる余地があったインシデントだったともいえます。

　事例13では、主な対策／緩和策の例が挙げられています。これを見ると、どの項目も読んだだけで何となく理解できる対策ではないでしょうか。重要インフラを狙う攻撃事例であっても、セキュリティの基本は変わりません。

図4　「【事例13】2025年 ポーランドの市民プールへの攻撃」で挙げられている代表的な対策／緩和策の例［クリックで拡大］ 出所：IPA

　加えて、事例集は日本の製造業に効く資料です。もしあなたがセキュリティ対策を考えなくてはならない立場ならば、IPAが公開しているこの事例集を、稟議書やレポートの参考資料として添えておくといいでしょう。

　全てを読む必要はありませんが、自社と似たようなシステムの事例を見つけたとしたら、ぜひ、手の空いたときにダウンロードしてみてください。きっといつか、役に立つはずです。

著者紹介：

宮田健（みやた たけし）

元＠ITの編集者としてセキュリティ分野を担当。現在はフリーライターとして、ITやエンターテインメント情報を追いかけている。自分の生活を変える新しいデジタルガジェットを求め、趣味と仕事を公私混同しつつ日々試行錯誤中。

2019年2月1日に2冊目の本『Q＆Aで考えるセキュリティ入門「木曜日のフルット」と学ぼう！＜漫画キャラで学ぶ大人のビジネス教養シリーズ＞』（エムディエヌコーポレーション）が発売。スマートフォンやPCにある大切なデータや個人情報を、インターネット上の「悪意ある攻撃」などから守るための基本知識をQ＆Aのクイズ形式で楽しく学べる本です。

筆者より：TechFactoryでの本連載では、ITセキュリティの「あるべき論」「正論」だけでなく、モノづくりに携わる方たちに「気楽に」「楽しく」セキュリティを考えていただけるように、さまざまな話題を取り上げたいと思います。「セキュリティっていわれてもねえ……」と思わず考えてしまった皆さんに覚えていただけるようなコラムにしたいと思います。お楽しみに！