米国の水インフラ攻撃が拡大 — ニュージャージー州とアラバマ州が新たに確認、被害は12州超に

米国の上下水道事業者（Water and Wastewater Systems: WWS）を狙ったサイバー攻撃の被害範囲が、少なくとも12州に拡大した。2026年8月10日時点で、ニュージャージー州とアラバマ州が新たに標的になったことを確認したと報じられている。

本サイトは8月6日、この攻撃キャンペーンの概要（FBI・EPAの共同警告、CISAの注意喚起、Forescoutによる露出PLCの調査）を「水インフラを狙うPLC攻撃」として報じた。本稿はその後の拡大状況を伝える続報だ。

新たに確認された被害 — ニュージャージー州とアラバマ州

ニュージャージー州では、ケープメイ市とウッドバイン市の水道システムが7月27日にサイバー攻撃を受けた。地元当局の説明では、影響は電話システムの停止にとどまり、飲料水の安全性や給水サービスへの影響はなく、顧客データの流出も確認されていないという。

アラバマ州では、**チャイルダーズバーグ市の上下水道システム（Childersburg Water, Sewer and Gas）**が同じ7月27日に攻撃された。制御システム（SCADA）のコントローラが標的になったが、手動運用への切り替えで給水サービスは継続された。攻撃は産業用制御システム（ICS）を狙ったものの、給水の中断には至らなかった。

これまでに確認されている州は次のとおりだ。

• 7月末に最初に確認: ミネソタ州（30以上の水道システムが標的に）、ミシガン州、サウスダコタ州、ジョージア州
• 8月上旬に確認: ニュージャージー州、アラバマ州（今回の続報）
• 警告を発しているが被害未確認: ウィスコンシン州、ペンシルベニア州、ワシントン州

FBIは7月30日時点で「少なくとも7州が標的になった」と公表していた。8月10日時点で被害を確認した州は12州を超えるが、すべての州が特定されているわけではない。

影響は限定的 — だが「運が良かった」だけかもしれない

現時点で名乗り出ている水道事業者や州当局の報告を総合すると、大きな影響を報告した事業者はない。一部の施設はシステムを停止し、電話システムの乱れや手動運用への切り替えが発生したが、給水の中断や飲料水の汚染は確認されていない。各事業者は「飲用水は安全」と住民に周知している。

ただし、この「限定的な影響」は油断を許すものではない。前報で詳述したとおり、今回の攻撃の入口はインターネットに露出したPLC（プログラマブルロジックコントローラ）への直接アクセスであり、攻撃者はパスワード変更による運用者締め出しやIPアドレス変更による機器の切り離しを試みている。Forescoutの調査では、攻撃を受けた都市に存在する露出PLC 22台のうち19台が同じ携帯キャリア網に接続されていた。

攻撃者と手口

このキャンペーンはイランに結び付けられる攻撃者によるものとされる。標的はRockwell Automation製PLCをはじめとするICS機器で、特定の脆弱性（ゼロデイ）を突くのではなく、認証が不十分なまま外部に露出した機器を直接操作する手口だ。

CISAは7月30日の注意喚起で、上下水道セクターに対し、OT環境の保護を緊急に求めた。FBIとEPAも共同警告を発し、インターネットに露出したPLCの特定と保護を呼びかけている。攻撃の動機は依然として明確ではないが、運用妨害（給水停止など）を目的とする破壊的な活動の可能性が警戒されている。

今何をすべきか

米国の事例は、日本にとって対岸の火事ではない。日本の浄水場や下水処理場でも、遠隔監視のためのセルラーモデム経由の接続や、ベンダー・SIerが設置した把握外の接続が残っている可能性がある。前報の点検項目に沿って、以下の確認が有効だ。

1. 露出したOT機器の洗い出し — インターネットから直接到達可能なPLC・計装機器がないか確認する。セルラーモデムの契約やNAT/ルーター設定も棚卸しの対象にする
2. ネットワーク分離 — 遠隔保守はPLCへの直接接続ではなく、VPNまたはゲートウェイ経由に限定する
3. 認証強化 — デフォルトパスワードの変更、多要素認証の導入、アクセス元IPの許可リスト化
4. 復旧手段の確保 — ロックアウトに備え、既知の正常なPLCイメージのオフラインコピーを保持する

攻撃の影響が「限定的」だったのは、標的側の防御が機能したからではなく、攻撃者の目的がまだ明らかでないからかもしれない。給水の継続は、次の攻撃で保証されるものではない。OT機器の露出を今のうちに減らしておくことが、最も確実な備えになる。

出典: CISA Alert — CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs（2026年7月30日） / FBI/EPA 共同警告（2026年7月30日） / Forescout — OT Security Analysis: Exposed Devices Attacked in US Water Systems（2026年8月5日）