プライベートAPNを「橋」にした初の実攻撃 — ポーランド熱電併給プラントで蒸気タービン停止（CERT Polska調査）

2025年12月29日、ポーランドのエネルギー基盤が同時多発的に攻撃された。風力・太陽光発電所30か所以上と、大型の熱電併給プラント（CHP）が標的になったことは、すでにCERT Polska（ポーランド政府系CSIRT）の当初報告で明らかにされていた。だが、その裏でもう1件、これまで非公開だった攻撃が起きていた。約5万人の住民に熱を供給する小型CHPプラントへの攻撃だ。

CERT Polskaは2026年8月8日、3か月以上に及ぶ調査の結果をフォローアップ報告書として公開した。そこには、これまで実攻撃では確認されたことのない攻撃経路が記されていた。攻撃者は、電力会社などが遠隔監視制御に使う「プライベートAPN」（携帯回線事業者が提供する閉域データ通信網）を橋渡しに、プラントの制御ネットワーク（OT）へ侵入していたのだ。

何が起きたのか

今回の攻撃は、ポーランドのエネルギー部門を狙った初の「破壊目的のみ」のサイバー攻撃だとCERT Polskaは位置づける。小型CHPプラントでは、攻撃によって蒸気タービンと、プロセス用水を製造する水処理システムが停止し、電気と熱を同時に生み出すコージェネレーション（熱電併給）の運転が中断した。

幸い、プラント運用者が迅速に対応したため、停止は短時間にとどまり、住民への熱供給が途切れることはなかった。だが、調査チームには1つの疑問が残った。「攻撃者はどうやって制御ネットワークに入ったのか」。

11段階の攻撃経路

CERT Polskaが報告書で再現した攻撃経路は、次の11段階だ。

1. 風力発電所の境界機器に侵入 — 攻撃者はまず、風力発電所でVPN集約装置とファイアウォールを兼ねるFortiGate機器に侵入した。この機器はインターネットに露出しており、多要素認証なしでVPN接続できた
2. セルラールーターを特定 — 風力発電所内に設置されていたTeltonika RUTX50（携帯回線ルーター）を発見
3. ルーターの管理画面へ — Web管理画面にアクセスし、SSH（遠隔操作のための暗号化通信）でログイン。機器のログから12月中に複数回のSSHログインがあったことを確認した。初期設定パスワードは導入業者が変更済みだったが、攻撃者がどう入手したかは判明していない
4. プライベートAPNへ橋を架ける — SSHトンネル（暗号化した通信の通り道）を使ってAPN網の中に侵入。携帯事業者のログから確認された
5. APN網内をスキャン — 12月18日から、VNC・HTTP・産業用プロトコル（S7・Modbus）などを探してAPN内を繰り返しスキャン
6. WAGO PFC200コントローラを発見 — 熱電併給プラントの制御機器「WAGO PFC200」が、APNから到達可能なWAN側インターフェースにWeb管理画面を露出したまま設置されていた
7. 初期設定のままの認証情報で管理者権限を取得 — WAGOの「admin」アカウントがデフォルトの認証情報のままだった
8. SSHを有効化 — Web管理画面からWAN側のSSHサービスを有効化
9. OTネットワークへ到達 — SSHトンネルでCHPプラントのOTネットワークへ侵入
10. 約1週間の偵察 — 12月18日から25日にかけて、S7（102/TCP）、Modbus（502/TCP）、CODESYS（11740/TCP）、監視カメラのRTSP（554/TCP）、RDP・VNCなどをスキャン。あるサブネットではSCADA（監視制御）システムのIPアドレスからスキャンを開始しており、高価値の標的を狙っていた形跡がある
11. 破壊行動 — 攻撃当日（12月29日）、Siemens S7-1500 PLC（プログラマブルロジックコントローラ）への攻撃、Moxa製シリアルサーバー7台とスイッチ3台の初期化などを行い、蒸気タービンと水処理システムを停止させた

CHPプラントのネットワーク内での活動は、約5時間に及んだ。最後にはSCADAシステムのWeb管理画面にアクセスし、破壊の影響を確認していたとみられる。

破壊と痕跡隠滅

攻撃者は単に止めるだけでなく、復旧を遅らせ、調査を妨げる手口も使った。

• Moxa機器の初期化 — シリアルサーバー7台とスイッチ3台を工場出荷時設定に戻し、ログインパスワードを変更、IPアドレスを到達不能な値（127.0.0.1など）に変更。HTTPリクエストのタイミングから自動化された操作だったと結論づけられた
• WAGO PFC200の破壊 — 踏み台として使ったWAGOのパーティションテーブル（記憶領域の管理情報）を破壊。運用者が工場出荷時設定への初期化を試みたが修復できず、機器は起動不能のまま。ログは回収できなかった
• Teltonikaルーターの初期化 — 最後の活動から約30分後に工場出荷時設定へ初期化。ただし、RutOS 7.07より古いバージョンでは初期化後もイベントデータベースが残る仕様で、調査チームはここからログを回収することに成功した
• FortiGateの初期化 — 最初の侵入口だったFortiGateも工場出荷時設定に初期化。ログが失われた

なぜAPNが「盲点」になったのか

プライベートAPNは、一般のインターネットからは隔離された「閉域網」だ。電力・ガス・上下水道などの事業者が、遠隔の監視制御機器（RTUやPLC）とSCADAシステムの通信に広く使っている。**「閉域だから安全」**という前提が、ここでは通用しなかった。

原因は、APN内の任意の機器同士が自由に通信できる設定（機器間の分離＝クライアントアイソレーションが無効）だった。風力発電所のルーター1台が乗っ取られれば、そこからAPN内のすべての機器に到達できてしまう。CERT Polskaが同様の構成を使う組織を対象に行った調査では、この設定はポーランドで一般的で、他の国でも広く使われているという。

さらに今回の事例では、個別の機器の管理も甘かった。WAGO PFC200のデフォルト認証情報が変更されておらず、Web管理画面がAPN側に露出していた。CERT Polskaは「APN網内の機器が侵害され、そこから他の機器と通信する可能性」を前提にした設計が必要だと指摘する。

なお、CERT PolskaのMarcin Dudek部長は、このインシデントの詳細をラスベガスのDEF CONで発表している。

日本の重要インフラへの教訓

日本でも、電力・ガス・上下水道・交通などの重要インフラで、携帯回線のSIMとプライベートAPNを使った遠隔監視制御の構成が使われている。太陽光発電所の監視、変電所の遠隔制御、水道施設のテレメトリ（遠隔計測）など、APNは「安全な閉域網」として当たり前のように使われてきた。CERT Polskaの報告書は、この攻撃を可能にした設定がポーランド以外の国でも広く使われていると指摘しており、日本も他人事ではない。

今回の報告書が示すのは、その前提がもう通用しないということだ。

• APNも「非信頼ネットワーク」である — 閉域だからといって、その中の機器を信用してはいけない
• APN内の機器分離は設定で担保される — 初期設定のままでは、APN内の任意の機器同士が通信できる場合がある
• OT機器の管理も「インターネットに晒すのと同じ基準」で — デフォルト認証情報の変更、管理インターフェースの非公開は、APN側のインターフェースにも適用する

経済産業省の「サイバー・フィジカル・セキュリティ対策フレームワーク」や、NISC（内閣サイバーセキュリティセンター）が示す重要インフラの安全基準でも、制御システムと外部ネットワークの境界管理は重点項目だ。「外部ネットワーク」の定義に、自組織が設定を管理できないプライベートAPNを含めることが、今回の教訓の核心になる。

今、何をすべきか

CERT Polskaは報告書の最後に、プライベートAPNを利用する組織向けの推奨事項を8項目挙げている。自組織の該当箇所を点検する際のチェックリストとして使える。

1. APN設定を監査する — 特に、APN内の機器間通信を制限する「クライアントアイソレーション（機器分離）」が有効かを確認する。機器間の通信が必要な場合は、APN直結機器が侵害された場合の影響をリスク評価する
2. APNを非信頼ネットワークとして扱う — OT環境との接続には、社内WAN（企業内ネットワーク）と同等以上のセグメント分離と通信制御を適用する。自組織が設定を管理できず中身を検証できないAPNは、インターネットと同じ信頼レベルで扱う
3. OTネットワークとAPNゲートウェイ機器の通信を最小化する — 許可リスト（ホワイトリスト）方式で、必要な通信だけを通す
4. OTとAPNの間のトラフィックを監視する — 想定した通信プロファイルからの逸脱に注意する
5. ゲートウェイ機器の集中ログ管理 — 対応する機器では、APNへのゲートウェイとなる機器のイベントを集中ログに記録する
6. 管理サービスの露出を最小化する — APNから到達可能なインターフェースでは、Web管理画面・SSH・Telnetなどの管理用サービスを公開しない
7. デフォルト認証情報を変更する — APNに接続するすべての機器で、特に管理用サービスの初期設定パスワードを確実に変更する
8. ペネトレーションテストに対象を含める — 脆弱性診断・レッドチーム演習・セキュリティ設計レビューの対象に、プライベートAPNとそこへのゲートウェイ機器を加える

今回の攻撃は「最先端の脆弱性」によるものではない。インターネットに露出したVPN（多要素認証なし）と、初期設定パスワードのままの制御機器と、分離されていないAPN。どれも古くから言われてきた「基本」の積み重ねが、閉域網という前提の上で放置されていた結果だ。APNを使う組織は、まず「APNの中の機器は、実はお互いに話せるのか」を確認してほしい。

出典: CERT Polska — Follow-Up Report of the December 2025 Energy Sector Incident（2026年8月8日） / 同報告書PDF