水道局30か所が一時停止——米7州を襲ったOTサイバー攻撃とCISA勧告AA26-097Aが鳴らすインフラ防衛の警告

水道局30か所が一時停止——米7州を襲ったOTサイバー攻撃とCISA勧告AA26-097Aが鳴らすインフラ防衛の警告

2026年7月26日から28日にかけて、米国の中西部を中心とする広域で、人々の命を支える重要インフラを揺るがす深刻なサイバーインシデントが発生した。ミネソタ州内の30箇所以上の地域水道システム、さらにはミシガン州などを含む計7州の水道施設において、ポンプや浄水処理を制御するシステムが相次いで未知の脅威アクタ―による侵入を受け、一部の都市で浄水場の稼働が一時停止に追い込まれたのである。

金銭要求（ランサムウェア）を目的とせず、物理的な社会インフラの麻痺と極度の混乱を狙った今回の攻撃は、米国土安全保障省サイバーセキュリティ・インフラセキュリティ庁（CISA）、FBI、NSA、EPA（環境保護庁）による合同緊急アドバイザリー**「AA26-097A」の改訂からわずか4日後**に牙をむいた。

本記事では、米7州の水道施設を襲った攻撃の全貌、CISA勧告AA26-097Aが警告する制御機器（PLC）およびSCADA/HMIへの最新攻撃メカニズム、「エアギャップ（物理隔離）の幻想」が崩壊した現代のOT（制御技術）セキュリティの構造的リスク、そして2026年10月の能動的サイバー防御施行を控える日本が直ちに講じるべきインフラ防衛策を徹底的に解説する。

1. 事件の全貌：米7州30箇所超の水道施設を襲った協調攻撃

1-1. 2026年7月26日〜28日のタイムライン

インシデントの引き金となったのは、ミネソタ州ITサービス庁（MNIT）が2026年7月26日夜に検知した異常アラートであった。州内複数の自治体水道局において、水圧調整ポンプおよび塩素注入システムを制御する機器との通信が次々と遮断され、あるいは予期せぬシャットダウン命令が送信された。

攻撃の影響はミネソタ州内の30箇所の水道局にとどまらず、翌27日には隣接するミシガン州で9箇所、最終的に少なくとも7つの州に及ぶ広域な重要インフラ障害へと拡大した。住民への健康被害を回避するため、一部地域では給水が一時停止され、ボイル・ウォーター（煮沸消毒指示）が発令される事態となった。

1-2. ランサム要求なし：目的は「物理的妨害と混乱」

従来のサイバー犯罪では、データを暗号化して身代金を要求するランサムウェア攻撃が主流であった。しかし、今回の事件で身代金の要求スクリーンの表示や脅迫メッセージは一切確認されていない。

捜査当局（FBI・CISA）は、本攻撃を国家背景を持つイラン系ハッカー集団（APT）による**「社会的混乱と物理インフラ機能不全を狙った事前配置・妨害工作」**と暫定評価している。金銭目的ではない国家スポンサー型のサイバーテロが、地方の小規模な生活インフラを標的として牙をむいた典型例と言える。

2. CISA緊急勧告「AA26-097A」の技術的解剖：何が破られたのか？

本インシデントが発生する直前の2026年7月22日、CISA、FBI、NSA、EPA、米サイバー軍（U.S. Cyber Command）は合同でサイバーセキュリティ勧告**「AA26-097A（Iranian-Affiliated Cyber Actors Exploit PLCs Across US Critical Infrastructure）」**の改訂版を緊急公表していた。

[ インターネット露出機器 (Shodan / Censysで探索) ]
                    │
                    ▼
[ 制御ポート / 標準設定エンジニアリングソフトへの侵入 ]
                    │
                    ▼
[ PLC内部ロジック書き換え (停止・警報プログラム無効化) ]
                    │
                    ▼
[ HMI / SCADA 画面への正常値偽装 (オペレーターを眩惑) ]
                    │
                    ▼
[ 物理システムのオーバーフロー / 停止発生 ]

2-1. 標的となった制御機器（PLC）の範囲

4月に発行された初版勧告では、主にRockwell Automation / Allen-Bradley社製のPLC（CompactLogix、Micro850シリーズ）が標的とされていた。しかし、7月22日の改訂版（AA26-097A）では、攻撃対象が急拡大し、以下の主要ベンダー製機器が網羅的に攻撃されていることが警告されていた。

• Rockwell Automation: CompactLogix, ControlLogix, Micro850
• Schneider Electric: Modicon シリーズ
• Siemens: S7-1200 / S7-1500 シリーズ

2-2. 攻撃手法：ゼロデイではなく「設定不備とポート露出」

驚くべきことに、今回の攻撃者の侵入手口は複雑な脆弱性（ゼロデイ）を突いたものではなかった。 攻撃者は、ShodanやCensysといったインターネット空間の機器検索エンジンを用い、**インターネットに直接アクセス可能な状態で放置されていたPLCの制御ポート（Port 44818, Port 502, Port 102等）**を探索。ベンダー標準の管理パスワードや、認証の存在しないエンジニアリングプロトコルを悪用して直接機器にアクセスしていた。

2-3. 最も邪悪な手口：「警報無効化」と「画面偽装」

攻撃者はPLCに不正侵入した後、単に機器を停止させただけではない。以下の二重の妨害プログラムをプログラムロジック（ラダー言語等）に書き込んだ。

1. 安全装置・警報アラームの無効化: 水位の上昇や圧力の異常を検知して自動停止する「緊急停止ロジック（E-Stop）」および「警報発生コード」を無効化。
2. HMI（人間・機械インターフェース）の偽装: オペレーターが監視する中央制御室のSCADA画面に対し、「水圧・水質ともに正常」という偽の数値を送信し続けた。

結果として、中央監視室のオペレーターが異常に気づいた時には、すでに現地の浄水タンクが溢れ出しているか、ポンプが物理的に焼き付いて停止した後だったという「ステルス型の物理破滅工作」が実行されたのである。

3. OTセキュリティの構造的弱点：「エアギャップの神話」崩壊

工場、プラント、水道、発電所などのOT（Operational Technology）環境は、長年「オフィス用ITネットワークから物理的に切り離されている（エアギャップ隔離）」ため安全であると信じられてきた。しかし、今回の事件はこの前提が完全に過去の幻想であることを突きつけている。

3-1. IT環境とOT環境の決定的な違い

3-2. なぜ「隔離されていたはずの機器」が接続されていたのか？

小規模な水道局や工場では、保守人員の不足から「外部のベンダーが自宅や遠隔地からトラブル対応できるようにリモートアクセス用ルーターを後付け接続した」「IoTセンサーによるデータ収集のため通信モジュールを取り付けた」といった運用が日常化していた。

物理的なエアギャップを過信していたために、「自社の機器がインターネットに晒されている」という認識すらなく、暗号化されていない制御ポートが保護なしで世界に開かれていたのである。

4. 日本の重要インフラ防衛に向けたインプリケーション

この事件は、決して太平洋の対岸の出来事ではない。日本国内の上下水道、電力網、鉄道、化学プラントにおいても、同様のOTセキュリティ上の脆弱性が多数存在している。

4-1. 日本の法制度とガイドラインの動向

日本政府もインフラサイバーテロの危機感を急強めている。

• 2025年7月1日: 内閣サイバーセキュリティセンター（NISC）を改組・強化し、「国家サイバー統括室（NCO）」を設置。
• 2026年7月31日: サイバーセキュリティ戦略本部が「サイバーセキュリティ2026」および「重要インフラ統一安全基準」の最新改訂版を策定。
• 2026年10月1日施行: 改正サイバー対処能力強化法に基づき、国家レベルでの「能動的サイバー防御（Active Cyber Defense）」が開始される。

4-2. 国内インフラ事業者が今すぐ講じるべき「OTゼロトラスト」5原則

1. OT資産のアセットインベントリと露出調査の徹底: Shodan等の外部スキャンツールおよびパッシブキャプチャを用い、自社のPLCやHMIがインターネット上に意図せず露出していないかを即時点検する。
2. 制御ポートのダイレクト接続禁止とVPN/MFA化: PLCの管理ポート（Modbus, EtherNet/IP, S7comm等）をインターネットから完全に隔離し、どうしても遠隔アクセスが必要な場合は多要素認証（MFA）を伴う暗号化VPNトンネル経由に限定する。
3. ベンダー初期パスワードの完全変更: 工場出荷時のデフォルトID・パスワード（admin/admin等）のまま運用されている制御機器を全廃する。
4. アウトオブバンド（帯域外）物理安全機構の維持: ネットワーク経由のソフトウエア制御が全滅した場合でも、過加熱や過圧力を物理的に検知して遮断する機械的・電気的（ハードウェア）安全回路を二重化保持する。
5. OT専用SOC（Security Operations Center）による異常検知: ITログだけでなく、OTネットワーク上の制御コマンド（PLCプログラム書き換え要求等）をパッシブに常時監視し、異常な書き込みを即座に検知・アラート化する仕組みを導入する。

5. よくある質問（FAQ）

Q1. インターネットに直接接続していないはずの工場や浄水場のシステムが、なぜ外部からサイバー攻撃を受けるのですか？

A. 遠隔保守用回線やUSBメモリ、Wi-Fiルーター等の「隠れた接続点」が存在するためです。 物理的に孤立しているつもりでも、保守ベンダーが設定したリモートメンテナンス用の通信機器、スマートメーター接続用のSIMルーター、あるいは現地作業員が持ち込んだ感染USBメモリなどを経由して侵入経路が形成されます。

Q2. 一般的なウイルス対策ソフト（EDRやアンチウイルス）をPLCにインストールして防御することはできますか？

A. 不可能です。 PLC（プログラマブル・ロジック・コントローラ）はWindowsやLinuxのような汎用OSではなく、リアルタイムOS（RTOS）やファームウェアで動作する専用機器であるため、一般的なアンチウイルスソフトは動作しません。ネットワーク境界での遮断や、OT専用のネットワークトラフィック異常検知装置が必要です。

Q3. 日本の水道や電力インフラで、同様のサイバー攻撃が発生して停止するリスクはどのくらいありますか？

A. 潜在的なリスクは非常に高いと言えます。 日本国内の小規模自治体の水道施設や中堅製造業の工場においても、老朽化したPLCがそのまま使われており、セキュリティ設定の不備や初期パスワードの放置が報告されています。政府も危機感を強めており、2026年中に重要インフラ基準の準拠が強く求められています。

6. まとめ

2026年7月末に発生した米7州の水道局サイバー攻撃事件は、**「サイバー空間の攻撃が、現実世界の飲み水や社会生活を直接脅かす時代」**に入ったことを象徴している。

CISAの勧告「AA26-097A」が示した教訓は明快だ。高度な標的型ウイルスを恐れる前に、まず「自社の制御機器がインターネットに裸で露出していないか」という基本的な衛生管理（サイバーハイジーン）を徹底すること、そして「繋がっていないはず」という過信を捨てて物理世界とデジタル世界の境界を厳密に防衛することである。

社会インフラに関わるすべての技術者・事業者は、本事件を自社のOTシステムを見直す緊急の警鐘として受け止めなければならない。

参考ソース

• CISA Advisory AA26-097A: Iranian-Affiliated Cyber Actors Exploit PLCs Across US Critical Infrastructure
• SecurityWeek: CISA Urges Water Sector to Protect OT After Coordinated Attacks on PLCs
• Help Net Security: Coordinated cyberattack hits more than 30 Minnesota water utilities
• BleepingComputer: Hackers target over 30 Minnesota water utilities in coordinated OT attack

関連記事

• 九州「ほぼ全域」1090万件の顧客情報が消えた日──暗号化なきSSD紛失が突きつける、私たちのデータ管理の現実