水インフラを狙うPLC攻撃 — 露出したRockwellコントローラは世界で4,400台、入口は「脆弱性」ではなく「公開」だった

2026年7月末以降、米国の上下水道事業者（Water and Wastewater Systems: WWS）を狙った攻撃が相次いでいる。FBIとEPAは7月30日付の共同警告で、少なくとも7つの州で7月27日以降にインシデントが報告され、一部では水運用が妨害されたと明らかにした。CISAも同日、PLCを標的とした攻撃活動の「顕著な増加」を観測しているとして警報を発した。

その直後、OTセキュリティ企業のForescoutは、8月3日時点のスキャンで世界に4,407台のRockwell Automation製PLCがインターネットに露出していることを報告した。うち2,844台が米国内、さらに攻撃を受けた都市に22台が存在し、そのうち19台は同じ携帯キャリア網に接続されていた。この攻撃を特徴づけているのは、未知のゼロデイではなく、「公開された機器に直接アクセスする」という単純な入口だ。

何が起きたか — ロックアウトと強制切断

CISAの警報によると、攻撃者は露出したPLCのパスワードを変更して運用者を締め出し、IPアドレスを変更してPLCをネットワークから切り離す手口を使っている。この結果、煮沸警告（boil water notice）の発令や、持続的な手動運用への切り替えを余儀なくされた事業者が出ている。

Forescoutは、こうした影響は脆弱性の悪用なしに達成できると指摘する。すでに到達可能だったコントローラに対して設定を書き換えるだけで、運用者は可視性を失い、場合によっては接続機器の制御も失う。FBIは少なくとも1つの被害組織で、複数のサイトにまたがるラダーロジックの不一致から、PLCのプロジェクトファイルが改ざんされていたことを発見したと述べている。

ミネソタ州では7月26日から27日にかけて30以上のコミュニティを巻き込む協調的な攻撃が報告されており、攻撃は大都市だけでなく、成熟したセキュリティ体制を持つ組織を含む「あらゆる規模の水事業者」を対象にしているとCISAは警告する。

露出の実態 — 4,400台のPLCとセルラーモデム

Forescoutの調査では、露出したPLCの実態が浮き彫りになっている。

• 規模: 世界で4,407台（米国2,844台）。Censysの7月30日時点のスナップショットでも4,148ホストが確認された
• 通信経路: 米国内の露出コントローラの70%超が大手モバイルキャリア網に接続。CensysのデータではVerizon Business、AT&T Mobility、T-Mobile USAで59%を占める
• 機種: MicroLogix 1400が全体の50%、MicroLogix 1100が8%。FBIとEPAはこの両ファミリーを名指ししている
• 傾向: 露出台数は2020年3月の7,814台から2026年6月の4,169台へ47%減。改善はしているが、依然として4,000台超がインターネットにさらされている

攻撃を受けた都市にあった22台中19台は、同一のモバイルキャリア網を使っていた。CISAは、事業者・ベンダー・システムインテグレーターが設置したセルラーモデムの中に、日常の攻撃面スキャンに含まれていない未把握のものがあると指摘する。ベンダー経由の設定が攻撃者に共有される懸念もFBIは示しており、同じ構成の顧客を連鎖的に標的にする可能性を警告している。

脆弱性の要素 — CVE-2017-16740

攻撃対象都市の22台中19台は、CVE-2017-16740（RockwellのCVSSスコア8.6）の影響を受けるファームウェアを搭載していた。これはMicroLogix 1400シリーズB/C（ファームウェア21.002以前）のModbus TCPバッファオーバーフローで、Rockwellはリビジョン21.003で修正済みだ。ただしForescoutは、対象ホストでModbus TCPが有効になっていたかは確認できていない。

ここで重要なのは、この脆弱性が今回の攻撃の必要条件だったわけではないことだ。Forescoutは「ファームウェア更新は個別のバグを直すが、PLCの直接公開を許容するものではない」と述べている。公開自体が攻撃面であり、パッチを当てただけでは守れない。

なお、RockwellはMicroLogix 1100を2022年4月30日に製造終了しており、サポート期限を過ぎた機器が現場に残っていることも、運用上の課題になっている。

日本で同じ失敗をしないために

この攻撃が示すのは、OT機器のインターネット露出がグローバルな共通問題だということだ。日本の浄水場や下水処理場でも、遠隔監視のためにセルラーモデム経由でPLCや計装機器を外部網に接続する構成は一般的であり、把握外の第三者接続が残っていないか、以下の点検が有効だ。

1. 公開されたOT機器の洗い出し: インターネットに直接到達可能なPLC・計装機器がないか確認する。外部からのスキャン結果だけでなく、構内のNAT/ルーター設定やセルラーモデムの契約も棚卸しの対象にする
2. 切り離しと代替経路: 遠隔保守はPLCへの直接接続ではなく、VPNまたはゲートウェイ経由に限定する
3. 認証と許可リスト: パスワード保護の有効化、デフォルトパスワードの変更、既知のエンジニアリング端末のみへのIP許可リスト化
4. 復旧手段の確保: ロックアウトに備えて、既知の正常なPLCイメージのオフラインコピーを保持する。Rockwellはパスワード不明時のMicroLogix 1400/1100復旧手順（SD1790）を公開しており、これは工場出荷時リセットと既知のプロジェクトファイルの再書き込みによる復旧だが、正常なロジックのコピーが手元にないと使えない

攻撃者は未知の脆弱性を探していたわけではない。開いたままの扉を、順番に回っていただけだ。OTセキュリティの第一歩は、機器をネットワークから切り離すことから始まる。

出典: CISA Alert — CISA Urges Water and Wastewater Systems Sector to Protect OT Against Activity Targeting PLCs（2026年7月30日） / FBI/EPA 共同警告 / The Hacker News — Over 4,400 Rockwell PLCs Exposed Online, 22 Found in Water Attack Cities / NVD — CVE-2017-16740