PLCへの攻撃とランサムウェア、OTのセキュリティ評価

2026年8月の工場設備などを監視・制御する技術であるOTセキュリティ動向から、産業用機器が以前より見つけられやすく、攻撃の対象にもなりやすい状況が見えてきます。一方、顧客や当局は、OTシステムと外部からのアクセス経路を適切に管理していることを示す証拠を求めるようになっています。

8月19日、米国の関係機関は、産業用のプログラマブルロジックコントローラー（PLC）に対する偵察と攻撃能力の開発について注意喚起しました。インターネットのスキャンと人工知能であるAIを使って作成した攻撃用スクリプトにより、保護が不十分な設備を見つけ、アクセスする活動が報告されています。

同時期に更新されたランサムウェアの情報では、重要インフラ分野で500を超える被害が記録されました。米国政府と連携した新たな認証制度の取り組みも、重要性の高いOT機器の調達で、安全性に関する一般的な説明よりも、独立して検証できる証拠に関心が移っていることを示しています。

この記事の要点

• 米国の関係機関は、インターネットに露出した産業用PLCを、スキャンサービスとAIを使った攻撃用スクリプトで狙う活動を警告しました。
• 報告された活動の中心は偵察と攻撃能力の開発で、確認済みの操業停止は公表されていません。
• 更新されたランサムウェアの注意喚起には、2026年4月までに、重要製造業を含む重要インフラ分野で500を超える被害が記録されています。
• 産業用電子機器メーカーは、発生当日にシステムを復旧したにもかかわらず、個人情報の流出を伴うランサムウェア被害を公表しました。
• 米国の国家安全保障システムで使用する重要性の高い商用OT部品について、追加のセキュリティ評価要件を設ける認証制度が開発されています。

産業用PLCは実際に狙われているのか

米国の関係機関によると、攻撃者は産業用PLCが設置された環境を狙い、偵察と攻撃能力の開発を進めています。

8月19日公表の共同注意喚起では、攻撃者がインターネットのスキャンサービスを使って、外部に公開されたコントローラーや、ネットワークの分離が不十分なコントローラーを探していると説明されています。さらに、AIで生成したスクリプトと公開されている産業オートメーション用ライブラリーを組み合わせ、正規のOT監視ソフトウェアに似たツールを作成していると報告されています。

これらのツールは、PLCのメモリー、設定情報、制御プログラムの読み書きに利用できる場合があります。関係機関は、こうした活動が偵察、攻撃能力の試験、将来、操業に影響を与えるための事前の侵入に使われる可能性があると評価しています。

注意喚起は広く使われている産業用コントローラーの製品群を対象としていますが、PLCを狙う活動は特定のメーカーや製品群に限られないとも指摘しています。

操業への影響を考えると、インターネットへの露出、弱い認証情報、管理されていないベンダーやインテグレーターの接続は、コントローラーを操業環境への侵入の足場にする場合があります。関係機関は、第三者のサービス提供者が産業システムに遠隔から接続できる状態を設けていても、設備の所有者が把握していない場合があると警告しています。

このため、外部からの遠隔アクセスの管理は、業務を継続・復旧するための課題でもあります。危険性の高い現場では、操業システムへの直接の経路になり得るため、遠隔アクセスの管理は安全上も重要です。どの機器に、どの接続を通じて、誰が、どのルールの下でアクセスできるのかを把握する必要があります。

注意喚起では、攻撃者の身元や被害件数は示されておらず、この活動による操業停止も確認されていません。工程の停止、機器の損傷、安全への影響は、起こり得る結果であり、観測された被害ではありません。

原文の出典はCISAの共同注意喚起です。

AIは産業制御システムへの脅威をどう変えるのか

AIによって、産業用機器と通信するスクリプトを作成するために必要な時間や専門知識が減っています。

共同注意喚起によると、攻撃者は公開情報を基に、AIの支援を使って攻撃用スクリプトを生成・改良しています。全く新しいOTマルウェアを開発するのではなく、既存の産業オートメーション用ライブラリーと組み合わせています。

これは、AIが従来の攻撃手法を置き換えたという意味ではありません。インターネットへの露出、既知の脆弱性、弱い認証情報、不十分なネットワーク分離が、引き続き攻撃を可能にする条件です。

最も重要な対策は、AIに特化した新製品の導入ではなく、到達可能な機器を減らし、利用者、ベンダー、サービス提供者が生産環境へ接続するすべての経路を管理することです。産業用機器の公開情報が、以前より短時間で実用的な攻撃ツールに変わり得ると考え、露出の確認とアクセス制御の判断を迅速に行う必要があります。

最新のランサムウェア情報が製造業に示すこと

更新された注意喚起は、攻撃者が外部公開されたソフトウェアや正規の遠隔支援機能を悪用し、侵入してアクセスを維持していることを示しています。

米国の関係機関は8月18日、2026年4月までの調査結果を反映して注意喚起を更新しました。対象のランサムウェア活動は、重要製造業を含む重要インフラ分野で500を超える被害をもたらしたとされています。

記録されている侵入・攻撃手法には、次のものがあります。

• 外部公開アプリケーションの脆弱性の悪用
• 認証情報の窃取
• 正規の遠隔管理機能の悪用
• ネットワークのトンネリングと内部への横展開
• データの持ち出し
• 仮想化基盤の停止・妨害
• 暗号化とデータ公開の脅しを組み合わせた二重恐喝

遠隔管理ソフトウェアが存在するだけで、不正な活動の証拠になるわけではありません。承認されたツールを攻撃者が侵害したり、承認されていないツールを持ち込んだりすることでリスクが生じます。責任者と監査の仕組みを一元管理していなければ、不正な接続が通常のベンダーや保守担当者の接続に見えることがあります。

管理に当たっては、外部からの遠隔アクセスツールと接続経路について、管理の基準となる台帳が必要です。各経路に責任者と業務上の目的を定め、必要な機器だけに接続を制限し、活動を調査できる監査ログを残します。同じ生産環境で複数のベンダーや装置メーカーが異なる接続方法を使う場合は、特に重要です。

これは脅威情報の更新であり、新たなOT事故の公表ではありません。被害全体に占める製造業の割合は示されておらず、PLCやプロセス制御システムが侵害されたとするものでもありません。

原文の出典はFBIの注意喚起、更新内容に関する報道です。

システムを復旧すれば事故対応は終わるのか

産業用電子機器メーカーの公表事例は、システムを素早く復旧しても、ランサムウェア事故の事業への影響が終わるわけではないことを示しています。

同社は8月20日、6月22日に検知したサーバーへの侵入がランサムウェアによるものだったと公表しました。同社によると、影響を受けたサーバー環境を分離し、その日のうちに通常運用へ復旧しました。業務への重大な影響はなかったとしています。

一方、影響を受けた情報には、本人確認、銀行口座、給与、健康、株式保有に関するデータが含まれる可能性があります。その後、対象データベースの一部がインターネット上で見つかりました。

事故対応では、操業が復旧しても、事故の影響がすべて解消されるわけではありません。生産や業務システムが復旧すれば停止時間は短くできますが、法務、プライバシー、通知、顧客の信頼に関する影響は、その後も続きます。事故対応計画では、安全な操業復旧と、データ窃取の可能性の調査・対処を並行して進める必要があります。

攻撃者、最初の侵入方法、影響を受けた人数、データ量、OTシステムの関与は公表されていません。業務に重大な影響がなかったという説明は、同社の評価です。

出典は当該企業による事故の公表です。

重要性の高いOT部品向けの新たな認証制度

米国の国家安全保障システムで使用する商用OT部品を対象に、新たな認証制度の開発が進められています。

8月20日に発表されたこの取り組みは、ISA/IEC 62443-4-2に基づく既存の部品セキュリティ評価要件を基盤とし、米国政府のOT評価プログラムで策定された6つの技術要件を追加するものです。完成した制度が受け入れられれば、対象部品を国家安全保障システムの製品リストに追加する評価で、承認された認証手段として使われることになります。

調達に当たっては、重要性の高い機器の調達では、安全性についての一般的な主張よりも、独立して検証できる証拠が重視されつつあります。装置メーカーや産業用部品メーカーには、製品認証、セキュアな開発、脆弱性の開示、セキュリティ更新の提供、サポート期間、ライフサイクルを通じたセキュリティ管理の証拠について、より具体的な質問が寄せられるでしょう。

安全な外部遠隔アクセスと十分な監査記録は、顧客の信頼と安全な保守サービスを支えます。ただし、製品認証、コントローラーの保護設定、セキュアな製品開発を代替するものではありません。

原文の公開時点では、認証制度は開発中で、完成日や調達で必須となる日は発表されていません。

出典はISAによる認証制度の発表です。

外部からの遠隔アクセスをどう管理するか

外部からの遠隔アクセスは、産業設備の保守、トラブル対応、専門家の支援に欠かせません。リスクになるのは、記録がない、権限が広すぎる、接続を取り消しにくい、活動を調査しにくいといった接続です。

製造業の企業は次の点を示せるようにする必要があります。

• 生産設備へ接続できる外部利用者
• 各利用者が接続を許可されている具体的な機器
• 接続が必要な理由
• 接続を承認した人
• 接続が利用された日時
• 接続中に行われたこと
• 接続経路を無効化するまでに必要な時間

OT向けのエッジゲートウェイ、トンネルプロキシ、機器単位の細かな権限設定、一元管理した監査ログは、利用者と機器の間の接続管理に役立ちます。これらは操業の継続・復旧と事業リスクの低減を支えるものであり、機器の保護設定、更新、ネットワーク分離、監視、インシデント対応と組み合わせて使います。

OTの責任者が確認すること

• PLC、エンジニアリング用PC、ベンダーの接続、産業用制御機器に到達できる間接的な経路を把握する。インターネットから到達できる機器は、優先して分離と確認を行う。
• 外部遠隔アクセスと遠隔管理の機能を承認済みの台帳と照合する。管理されていないツールを撤去し、認める経路には責任者を置く。
• 外部ベンダーの接続に、多要素認証、期限を設けた承認、機器単位の細かな権限、監査ログを求める。
• 信頼できる脅威情報に迅速に対応する手順を整える。露出を確認し、必要に応じて分離し、証拠を保全して、提供元が推奨する対処を検証する。
• 操業の復旧と情報漏えい対応を、別々の作業として連携させて試験する。
• 重要性の高い部品の供給者に求める証拠を定める。認証の状態、脆弱性対応、ライフサイクルを通じたサポートの約束を含める。

OTの遠隔アクセスを統括する最高情報セキュリティ責任者であるCISO向けの提言もご覧ください。

よくある質問

産業用PLCは実際に狙われているのですか？

米国の関係機関は、インターネットに露出したPLCや、ネットワーク分離が不十分なPLCに対する偵察と攻撃能力の開発を報告しています。ただし、注意喚起では、確認済みの操業停止は公表されていません。

攻撃者は産業用PLCをどう見つけるのですか？

インターネットのスキャンサービスを使って、外部に公開された産業用機器やサービスを探します。公開されている技術情報とオートメーション用ライブラリーを使い、機器と通信するスクリプトを作成することもできます。

AIはPLCへの攻撃をどう変えていますか？

攻撃用スクリプトの作成や変更に必要な時間と専門知識を減らす可能性があります。ただし、到達可能な機器、脆弱な設定、侵害されたアクセス経路など、攻撃を成立させる条件が不要になるわけではありません。

正規の遠隔支援がリスクになるのはなぜですか？

攻撃者が承認済みの遠隔支援機能を侵害したり、承認されていない機能を持ち込んだりするとリスクになります。責任者の一元管理、機器単位の権限、監査ログがなければ、不正な接続が通常のベンダーの作業に見える場合があります。

製造業では外部からの遠隔アクセスのリスクをどう減らせますか？

機器の直接公開をなくし、外部遠隔アクセスを標準化します。利用者の接続先を必要な機器に限定し、多要素認証と期限を設けた承認を使い、各接続の監査ログを残します。

セキュアリモートアクセスでPLCの脆弱性悪用やランサムウェアを防げますか？

一つの対策ですべての事故を防ぐことはできません。安全に管理された外部遠隔アクセスは、機器の露出や不正な経路を減らせますが、保護設定、更新、ネットワーク分離、監視、インシデント対応と組み合わせる必要があります。

SecomeaはOT機器への外部遠隔アクセスをどう支援しますか？

Secomeaは、利用者から個々のOT機器までの外部遠隔アクセスを、製造業の企業や装置メーカーが管理できるよう支援します。産業用エッジゲートウェイ、トンネルプロキシ、機器単位の細かな権限、多要素認証と認証基盤との連携、承認、セッション記録、一元管理した監査ログを組み合わせます。これらは管理されていないアクセスを減らし、操業の継続・復旧やセキュリティやコンプライアンスの確認に使う証拠の確保を支えます。機器の保護設定、更新、ネットワーク分離、監視、インシデント対応を代替するものではありません。

原文はSecomea OT Security Weekly #002（2026年8月27日）。本記事は原文の日本語訳です。事例と未確認事項は原文時点の情報に基づきます。