ネット露出のRockwell製制御機器が世界で4400台超、米水道インフラ攻撃の被害都市でも確認

要点

• セキュリティ企業Forescoutの調査により、インターネットに接続され外部からアクセス可能な状態にあるRockwell Automation製の産業用制御機器（PLC）が世界で4,407台確認されました。
• 米国の水道施設を狙ったサイバー攻撃の被害都市で露出していた同社製PLCが22台見つかり、その多くが特定の携帯電話回線を利用していました。
• 攻撃者は高度な脆弱性を悪用することなく、露出したPLCのIPアドレスの変更やパスワード設定を行うだけで、管理者の制御権を奪ったとされています。
• 被害を受けた機器の多くは、すでにメーカーサポートが終了しているか、古いファームウェアの脆弱性を抱えたまま運用されていました。

リード文

セキュリティ企業のForescoutは2026年8月、インターネットに直接公開されているRockwell Automation製の制御機器に関する調査結果を発表しました。世界で4,400台以上の機器が露出しており、その中には最近米国で発生した水道施設へのサイバー攻撃に関連する都市の機器も含まれていることが明らかになりました。

米水道インフラ攻撃の被害都市で制御機器の露出が判明

Forescoutが2026年8月3日に実施した調査によると、インターネット上に露出しているRockwell Automation製のPLC（プログラマブルロジックコントローラ：機械や設備を自動制御する専用デバイス）は世界で4,407台確認され、そのうち2,844台が米国に存在していました。侵害の有無は未確認ですが、サイバー攻撃を受けた水道施設のある都市で露出状態のPLCが22台確認され、そのうち19台が同一の携帯電話回線を利用していました。

脆弱性の悪用なしで制御を奪う単純な手口

Forescoutの分析では、今回の攻撃でプログラムの不具合を突く悪用手法（エクスプロイト）は使われていなかった可能性があるといいます。攻撃者は、単に露出していたコントローラのIPアドレスの変更や新規パスワードの設定を行っただけで、これにより正規の管理者は機器の監視や制御ができなくなりました。なお、攻撃者がどのように標的を特定し、アクセス権を確保したのかは明らかになっていません。

広範囲に及ぶ警告と対策の必要性

FBIとEPA（米国環境保護庁）が公開した情報によると、7月27日以降、少なくとも7つの州（Forescoutの発表では少なくとも12の州）の水道・廃水事業体でインシデントが報告されています。攻撃の主体は特定されていません。
最も効果的な防御策は、対象のコントローラを公衆インターネットから切り離すことです。「EtherNet/IP」（産業用ネットワーク規格）が通信用ポート「44818」で公開されていると、認証なしで外部からアクセスされ、設定情報を書き込まれる恐れがあります。

大手通信キャリア経由の接続と脆弱な旧型機器の残存

Forescoutの調べでは、米国で露出していたコントローラの70%以上が大手モバイルキャリアのネットワーク上にありました。Censys（インターネット上の公開機器を検索するツール）の調査でも、露出していたRockwell製等の機器のうち59%が大手通信回線を利用していました。
露出機器の50%が「MicroLogix 1400」、8%が「MicroLogix 1100」でした。被害都市で見つかったPLCのうち19台は、脆弱性「CVE-2017-16740」の影響を受ける古いファームウェア（機器の基本ソフトウェア）で動作していました。これは「Modbus TCP」（産業用通信規格）のバッファオーバーフロー（データ過多によるプログラムの異常終了）の脆弱性で、修正版が配布済みであったものの適用されていませんでした。なお、MicroLogix 1100は2022年に販売終了しています。

復旧手順と今後の懸念

Rockwellは、勝手にパスワードが設定され操作不能になった場合の対処として、アドバイザリ「SD1790」で工場出荷時へのリセットとプログラムの再ロード手順を案内しています。
ただし復旧には正常なプログラムのバックアップが必要です。FBIによると、ある被害組織ではプログラムの論理構造である「ラダーロジック」の不整合から改ざんが発見されました。同様のネットワーク設定を利用している場合、攻撃者が他の顧客に対しても同じ手法で攻撃を繰り返す恐れがあると警告されています。