まず結論から言います。プログラマブルロジックコントローラー（PLC）とは、工場や施設で実際にポンプを起動し、バルブを閉じ、警報を鳴らしている小さな箱のことです。2026年7月下旬以降、攻撃者はまさにこの種の機器、つまり公衆インターネットに直接さらされた機器を悪用し、米国の少なくとも12州の水道事業者を攻撃してきました。彼らは機器内部の運転ロジックを改ざんし、警報や安全停止のルーチンを無効にし、運転員が自分たちの設備にアクセスできなくなるまでパスワードやネットワークアドレスを変更しました。被害はファイルの流出ではなく、水圧の喪失、浸水、そして手動運転への切り替えを余儀なくされたプラントでした。生産ラインや制御システムを備えた建物を運営しているなら、今日答えるべき問いはシンプルで具体的です。公衆インターネットから到達できるコントローラーが、一台でもありますか？

実際に何が起きたのか

米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）、FBI、その他の連邦機関は、AA26-097Aという番号の共同勧告を発表しました。この勧告は2026年4月7日に最初に公開され、2026年7月22日に更新されています。更新は表面的なものではありませんでした。Rockwell AutomationのPLCプログラムで使われる再利用可能なコードモジュール内部の悪意ある変更を検出するためのガイダンスが追加され、標的となるハードウェアの範囲もSchneider Electric、Siemens、その他のメーカーの機器にまで広げられました。2026年7月30日には、CISAが別途アラートを公開し、上下水道セクターに対して、PLCを特に狙った活動から制御技術を守るよう強く求めました。

この手口が注目に値するのは、まさにそれが巧妙ではなく、高価なゼロデイ脆弱性も一切使っていないからです。攻撃者はインターネット上に露出したコントローラーを見つけると、公式のエンジニアリングソフトウェア、つまり御社のエンジニアが使っているのと同じソフトウェアを使ってプロジェクトファイルをダウンロードし、その中のラダーロジックを編集します。そこからAdd-On Instructionsを改ざんして安全停止や警報を無効にし、HMIやSCADAの画面表示を偽装します。その結果、運転員にはまったく正常な数値が見えているのに、タンクやラインは実際にはまったく別の動きをしているのです。最後に、機器のパスワードとIPアドレスを変更し、現場のモデムに軽量なSSHサービスを仕込んで、再起動後もアクセスを維持します。順序が重要です。表示の偽装が被害より先に来るため、複数の事業者が気づくのが遅れました。

規模が残りを物語っています。ミネソタ州だけで30を超える地域の水道システムが標的になったと報告され、攻撃活動はミシガン州、ニュージャージー州、ジョージア州、サウスダコタ州を含む他の州にも広がりました。件数以上に示唆的だったのは、2026年8月のCISA長官代行の発言です。チームはいまだに、パスワードがまったく設定されていない、あるいは工場出荷時のデフォルトのままのコントローラーがインターネット上に開いているのを見つけ続けている、というのです。業界への彼のメッセージはたった二文でした。制御技術をインターネットから外せ、そしてパスワードを設定せよ。

サウジアラビアで施設を運営しているなら、なぜ重要なのか

同じハードウェア、同じメーカー、そして同じ習慣だからです。Rockwell、Siemens、Schneiderのコントローラーは、他のどこでもそうであるように、王国内でも生産ライン、処理プラント、ビルのポンプ、チラー、ビル管理システム（BMS）を動かしています。そして、これらのインシデントで扉を開けた習慣はどこにでも存在します。施工業者が迅速に対応できるようにとリモートアクセスを求め、現場のルーターでポートが開けられるか、独立した携帯回線モデムが取り付けられ、その後その一時的な措置は忘れられて何年も恒久化してしまうのです。誰も文書化せず、誰も見直さず、どのIT資産台帳にも載りません。なぜなら、それはそもそもITの管轄ではないからです。

だからこそ、サウジアラビアの国家サイバーセキュリティ庁（NCA）は「制御技術サイバーセキュリティ管理策」（OTCC-1:2022）を発行しました。この管理策は政府機関と民間事業体の重要な産業施設を対象とし、産業用制御システムに最低限の保護基準を課しています。文書には適合性評価ツールと、特定の拠点がどの程度重要かを判定するための施設分類ツールが付属しています。水、エネルギー、製造、施設管理の分野で事業を行っているなら、これらの管理策は読んでも読まなくてもよい資料ではありません。そしてこの夏の攻撃の波は、導入スケジュールを後ろ倒しにするのではなく前倒しにする、運用上の理由を与えてくれています。

本当のギャップ：ITとOTは別の世界

ほとんどの組織は、制御技術のセキュリティにオフィスITの発想で取り組んでおり、それこそが問題の核心です。ITの世界では最優先事項はデータの機密性であり、毎月パッチを当て、夜間にサーバーを再起動してもさほど困りません。OTの世界では最優先事項は継続性と安全です。コントローラーは十年もの間アップデートなしで動き続けることがあります。止めることは生産を止めることを意味するからです。そのOSは設計上古く、使っているプロトコルはネットワークが本当に隔離されていることを前提とした時代に書かれたものなので、認証も暗号化もまったく備えていません。

その結果、一般的なツールはここでは役に立ちません。HMI端末にウイルス対策ソフトを入れると生産が止まることがありますし、通常の脆弱性スキャンでデリケートなコントローラーがダウンすることもあります。効果があるのはアーキテクチャです。ネットワークを分離し、その間にある唯一の接点を管理し、運用の世界からビジネスの世界へ出ていくものはすべて読み取り専用にすることです。

今週取るべき七つの行動

  • 本当に露出しているものを棚卸しする。拠点に紐づくすべてのパブリックIPと、制御室に設置されたすべての携帯回線モデムのリストを求めてください。そのリストはたいてい想定より長く、ITチームの誰も知らない機器が含まれています。
  • 直接アクセスを閉じる。コントローラーやHMIは、一台たりとも公衆インターネットから到達できてはいけません。リモートアクセスはVPNまたは仲介ゲートウェイを経由させ、多要素認証と、必要なときに開いて終わったら閉じる時間制限付きの権限を組み合わせます。
  • すべてのデフォルトパスワードを変更する。そう、古くて退屈な助言です。しかし、調査担当者が今日でも実際の施設で無防備なまま見つけているのは、まさにこれなのです。
  • ネットワークをセグメント化する。オフィスネットワークと生産ネットワークを一つのフラットなネットワークにしてはいけません。両者の間の通信は、統制され監視された唯一のポイントを通過させます。
  • モードスイッチをRunにする。コントローラー本体の物理的なキースイッチは、リモートからのロジックのダウンロードをブロックします。コストのかからない、シンプルで効果的な設定です。
  • コントローラーのロジックと設定のオフラインコピーを保管する。ロジックが改ざんされたりパスワードが変更されたりしたとき、信頼できるコピーがあるかどうかで、復旧が数時間で済むか数日かかるかが分かれます。
  • 侵入だけでなく変更を監視する。ここで重要なアラートは「ウイルスがいる」ではなく、「7番コントローラーのロジックが午前2時40分に変更されたが、保守チケットは起票されていない」というものです。稼働中のロジックを承認済みのベースラインと定期的に比較し、差分を記録してください。

構築中のデジタル化プロジェクトにとっての意味

工場、倉庫、施設のデジタル化プロジェクトには、必ず同じ要望がついてきます。ラインの稼働状況をリアルタイムで表示するダッシュボードと、ポンプが止まったらスマートフォンに届く通知がほしい、というものです。この要望はまったく正当なものです。リスクが現れるのは実装の仕方です。手っ取り早い方法は、クラウドシステムを制御ネットワークに直接つなぐか、そこからデータを読めるようにポートを開けることです。そしてそれこそが、今回のような一連のインシデントを海外のニュースから自社の現場での事故へと変えてしまうのです。

正しい方法でかかるのは、ほんの数日の追加だけです。運用の世界から読み取るだけで決して書き込まないデータゲートウェイを間に置くこと、データの流れを生産からビジネス向けダッシュボードへの一方向に限ること、連携ごとに個別のIDを用意し、動作に必要な最小限の権限だけを与えること、そしてビジネスシステムから現場へ送られるすべてのコマンドを改ざん不可能なログに記録することです。Origamiで運用、倉庫、保守のシステムを設計する際、この分離は最後に付け足すセキュリティ項目ではなく、初日に下すアーキテクチャ上の決定です。後から組み込もうとすれば、連携をゼロから作り直すことになるからです。

この夏の攻撃の波から得られる実践的な教訓は、制御技術が危険だということではありません。最もよく開いている扉は、最も単純な扉でもあるということです。インターネット上に忘れられた機器、デフォルトのパスワード、そしていつの間にか恒久化した業者の一時的なアクセス。この三つは、特別な予算ではなく、経営判断と一週間の作業で閉じることができます。

出典