工場襲う新型サイバー攻撃、ネット未接続でも標的に――“安全神話”は既に崩壊、カメラや餅製造機が踏み台に

猛威を振るうサイバー攻撃が、新たな標的を見い出した。工場だ。オフィスと異なり、インターネットに常時接続していないから安全という“神話”は崩壊。既に感染は始まっている。今後、“IoT(モノのインターネット)”が伸展すれば、リスクが一気に顕在化しかねない。 (小笠原啓)

20160119 07
「日本の工場やプラントの多くは、既にコンピューターウイルスに感染している。表面化していないのは、単に調べていないからだ」――国内製造業に多くの顧客を抱える大手制御機器メーカーの幹部は、溜め息を漏らす。顧客企業の工場に出向いてセキュリティー状況を診断すると、かなりの割合で異常が見つかるという。この幹部が籍を置くメーカーは、プラントや生産ラインの“制御システム”を手掛けている。バルブやポンプのような単純な機器から、ロボットや工作機械に至るまで、様々な装置がスムーズに動くよう管理する“工場の頭脳”だ。制御システムは通常、インターネットとは別のネットワークで運用されている。独自の機器を組み合わせて構築する為、工場やプラント毎に千差万別なのが特徴だ。オフィスのようにインターネットに常時接続している訳でもない為、サイバー攻撃の標的にはなり難いとされてきた。だが現実には、多くの工場で感染が始まっている。ウイルスに感染したら即座に被害が生じる訳ではないが、想定外の事態に直面しているのは事実だ。『日本年金機構』の情報流出をきっかけに、多くの企業がサイバー攻撃の脅威を認識した。個人情報が一度漏洩すると対応コストは膨大になり、信用失墜等の悪影響も免れない。だが、冒頭の幹部が懸念するのは“その程度のレベル”の話ではない。人事や経理等といった企業内のデジタル情報を管理する“情報システム”とは異なり、制御システムは機械や装置といったモノを取り扱う。仮に、制御システムが悪意ある攻撃者に支配されたら、人命に関わる重大事故が起きかねない。危機は直ぐそこまで迫っている。警察庁は先月、国内の製造業に対して警告を発した。制御システムで使う専用コンピューター『PLC』を外部から起動したり停止したりできる攻撃ツールが、インターネット上で公開されたのだ。ツールを悪用してPLCを操り、「システム停止等の不正な制御が行われると、甚大な被害が生じる可能性が危惧される」(警察庁)。

『富士通統合商品戦略本部』エバンジェリストの太田大州氏は、「セキュリティー対策を疎かにする企業は、自社のサプライチェーンすら維持できなくなる。そういう時代に入ったことを経営者は認識すべきだ」と警鐘を鳴らす。何故、インターネットに繋がっていない工場やプラントがサイバー攻撃の被害に遭うのか──。こう考える読者も多いだろう。だが、“インターネットに未接続=安全”等という神話は、世界ではとうに崩壊している。厳重に守られている筈の制御システムが、相次ぎ被害を受けているのだ。2010年、イランの核燃料施設でウラン濃縮用遠心分離機が急停止した。当時のイランは独自の核開発計画を推進し、欧米との緊張が高まっていた。国家機密を扱うだけに設備の警備は厳重で、インターネットからも遮断されている。にも拘らず、制御システムが乗っ取られた。原因は、親指大の小型機器だった。何者かが『スタックスネット』と呼ばれるウイルスをUSBメモリーに仕込み、核施設の職員が拾いそうな場所に放置した。入手した職員がパソコンにUSBメモリーを接続すると、即座に感染。施設内のネットワークを通じてシーメンス製のPLCを次々に制圧し、数千台ある遠心分離機に過剰な負荷をかけて、物理的に破壊していった。その結果、「イランの核開発計画は3年程度遅れた」と推定されている。スタックスネットを開発したのは『アメリカ国家安全保障局(NSA)』とイスラエル軍の情報機関とされているが、真相は藪の中だ。明らかになったのは、インターネットから隔離されていても安全とは言い切れないという新たな常識だけだ。制御機器メーカーが定期的に工場内に持ち込む保守用パソコンも、ウイルス感染の経路となる。工作機械やロボットにパソコンを接続し、設定を調整したりデータを収集したりする際にウイルスが工場内に侵入。制御システムに感染するケースが増えている。アメリカの政府機関で制御システムの危機対応を司る『ICS-CERT』の纏めでは、鉄鋼や精密機器等の“重要機器製造業”を狙うサイバー攻撃が急増。2014年には全体の27%に達し、電力等のエネルギー業界に匹敵する規模となった。2012年からの2年間で、製造業の制御システムを狙った攻撃は8倍以上に増えた。全攻撃の4割は手口を解明できず、対策が取れない状況だ。今は、日本国内では一部でしか発覚していない。これは被害の事実が無いのではなくて、現行の法制度では個人情報が漏洩しなければ、サイバー攻撃を受けた事実を関係省庁に報告したり、社外に公表したりする義務が無いからだ。「システムへのアクセス記録を管理しておらず、攻撃を検知したり原因を追究したりできない企業も多い」と、『マカフィー』サイバー戦略室シニアセキュリティアドバイザーの佐々木弘志氏は指摘する。冒頭で紹介したように、調査すれば被害実態が鮮明になる可能性がある。




20160119 08
インターネットと隔絶していても増え始めた工場のサイバー被害。今後、“IoT(モノのインターネット)”が伸展し、生産現場がインターネットと常時繋がる時代が来れば、リスクは飛躍的に増大する。製造業では工場同士、或いは機械同士をインターネットで繋ぎ、生産プロセスを効率化することが競争力を左右し始めた。電力業界ではスマートメーターの導入で、各家庭の電気利用状況を発電所で把握する取り組みが進んでいる。インターネットと隔絶した環境で制御システムを運用すること自体、難しい時代になりつつあるのだ。一方で、サイバー攻撃の手法は急速に進化している。石油化学プラント等の制御システムを手掛ける『横河電機』高度ソリューション事業部ITインフラストラクチャー部長の門田章臣氏は、「何の準備もしないまま制御システムをインターネットに接続すると、100%の確率でウイルスに感染する」と指摘する。更に、年金機構を襲った標的型攻撃が制御システムに照準を合わせ始めた。標的型攻撃は、特定の企業や組織を狙って情報を盗む手口のこと。専用ウイルスを開発して攻撃を繰り返す為、防ぎ切るのが難しい。親しい人を装ってメールを送信し、油断させて添付ファイルを開かせることで、ウイルスに感染させるのが一般的だ。前述の通り、従来の制御システムはインターネットから隔絶されていた上、独自の機器とソフトを組み合わせて構築していた為、標的型攻撃で使われるようなウイルスに感染することは少なかった。だが、2000年代に入り工場のIT化が進むと、生産現場にも『Windows』のような汎用ソフトが進出。インターネットで使われる一般的な通信技術も、工場内のネットワークで活用されるようになった。その結果、企業情報システム向けに開発されたウイルスも、工場に侵入しさえすれば制御システムにダメージを与えることが可能になったのだ。工場内で使われるソフトは中々バージョンアップしない。「ある工場では、(1980年代のパソコン)PC-9801が現役で稼働していた」――『NEC』サイバーセキュリティ戦略本部部長の松尾好造氏は、こう苦笑する。『WindowsXP』も未だ多くの現場で残っている。制御システムでは安定稼働が最優先される。「最新のソフトに更新して不具合を出したくない」という意識がある為、セキュリティー対策は後回しになりがちだ。実際、ドイツの製鉄所が標的型攻撃を受けたケースでは、制御システム全般に不具合が発生。最終的には溶鉱炉が爆発した。2014年にはヨーロッパの電力会社がサイバー攻撃を受け、9社がウイルスに感染。制御システムを管理するサーバーから、情報が漏洩した。

20160119 11
サイバー攻撃をリアルタイムで可視化するウェブサイト。世界各地から攻撃が集中していることがわかる。

20160119 09
上図は、『インテルセキュリティ』が公開しているリアルタイムのサイバー攻撃状況だ。アラブ首長国連邦のドバイに攻撃が集中したかと思えば、次の瞬間には台湾が砲火を浴びる。日本がサイバー攻撃の発信源になることも多い。悪意ある攻撃者が身元を隠す為に、世界各地にあるサーバーやパソコンを踏み台にしているからだ。「東南アジアのある国では餅製造機のセンサーが乗っ取られ、サイバー攻撃の基点になっているケースが見つかっている」と、『PwCサイバーサービス合同会社』最高執行責任者(COO)の星澤裕二氏は話す。日本の工場内にある機器が乗っ取られ、ネットワークで繋がった系列工場に攻撃を仕掛ける事態すら夢物語ではない。IoTの普及に依り、多様な機器がサイバー攻撃の標的になる。例えば監視カメラ。最近の機種にはインターネット経由で画像を送受信できる機能が搭載されているが、購入時と同じパスワードで使える状態で放置されているものもある。その気になれば容易に乗っ取れる訳だ。脅威は更に広がる。去年7月、世界の自動車関係者を震撼させる映像がインターネット上で公開された。2人のセキュリティー専門家が『FCAUS』(旧クライスラー)製の『ジープ・グランドチェロキー』の制御システムを乗っ取り、遠隔地からエンジンを操作したのだ。通信会社のデータセンターに侵入し、無線経由で不正な命令を送信することに成功した。『トレンドマイクロ』執行役員の斧江章一氏は、「クルマとスマートフォンが繋がり、侵入口が増えた。セキュリティーの抜け穴が無いか、自動運転が普及する前に見直す必要がある」と警鐘を鳴らす。一連の事態を受けて、産業界でも対応が始まっている。「ロボットが異常停止しました」――管制室のモニターが急変し、大きな警告音が鳴り響く。宮城県多賀城市にある『制御システムセキュリティセンター(CSSC)』の訓練風景だ。経済産業省が主導して、『日立製作所』や『富士電機』等が機器を提供。下水処理施設・火力発電所・組み立て工場等の9つの模擬プラントを設置し、サイバー攻撃への対処法を訓練している。「工場等で制御システムを扱う担当者の頭には、“サイバー攻撃”という概念が無い。すると、機械が異常停止しても『故障だろう』と軽く考えてしまう」と、CSSC事務局長の村瀬一郎氏は指摘する。制御システムが攻撃されたら、どのような事態に陥るのかをシミュレーションするのが、この施設の意義である。2014年度は、電力11社・ガス24社の担当者が2日間の演習に参加した。

20160119 10
同様の取り組みは、あらゆる企業に求められる。オフィスのパソコンだけでなく、工場やプラントの機械・設備もサイバー攻撃の標的になっている事実を経営者が認識しなければ、対策の打ち様が無いからだ。「安定稼働している制御システムを入れ替えるのは難しい。先ずは経営者の意識を高めて、運用方法を改めるのが先決だ」と、『日立製作所インフラシステム社』大みか事業所セキュリティ推進室長の中野利彦氏は話す。最初の対策は、工場やプラントの現場を熟知したセキュリティー担当者を配置すること。「制御システムが攻撃されると、現場の操業が維持できなくなる。短時間で復旧するには、機器を調べて原因究明できるエンジニアが欠かせない」と、『NTTコミュニケーションズ』技術開発部IoTクラウド戦略ユニット担当部長の境野哲氏は説く。自社の工場やプラントでどんな機器が使われ、対策はどれほど講じられているのか。早急に棚卸しをする必要がある。これまでの日本企業は、情報システム部門がセキュリティー対策を主導してきたが、この慣習も見直す必要がある。情報システム部門はオフィスのIT機器は管理できるが、工場等の制御システムには不案内。また、工場長の頭越しにセキュリティー対策を命じる権限を持っていないのが通例だ。制御システムと情報システムを一元管理できる責任者の任命も急務だろう。インターネットから“片方向”だけ分離するという対策もある。会津大学の山崎文明特任教授は、「原子力発電所や交通管制システムのような重要インフラでは、“データダイオード”と呼ばれる機器の導入が必要だ」と話す。発電所等からの情報発信は可能だが、逆方向には電気信号を送れない為、不正アクセスを確実に防げる。一般の工場や病院等でも有効な対策だろう。日本では今のところ、巨大停電や機械の暴走といった深刻な事故は起きていない。だが、制御システムを狙うサイバー攻撃が年々増え、手口も急速に高度化しているのは事実だ。2020年の東京オリンピックに向けて、日本は格好の標的になっていく。いつまで水際で食い止められるのか。安全神話に浸っている余裕は最早無い。


キャプチャ  2016年1月18日号掲載


スポンサーサイト

テーマ : ITニュース
ジャンル : ニュース

Categories
Profile

Author:KNDIC
Welcome to my blog.

Latest articles
Archives
Counter
I'm participating in the ranking.

FC2Blog Ranking

information
Search
RSS Links
Link
QR Code
QR