(500×80px)(450×80px)(460×80px)(470×80px)(2).png "AAiT")
産業用冷却システムに継続的なサイバー攻撃の脅威＝米政府が警告
米国の複数の政府機関は、産業用冷却システムが「継続的なサイバー脅威」にさらされているとして警戒を呼びかけた。冷蔵設備や温度監視システムを利用する事業者に対し、自社の設備がハッカーによる攻撃対象になる可能性を前提に、対策を講じるよう求めている。
米政府は現地時間5日、共同声明を発表した。声明は、米連邦捜査局（FBI）、サイバーセキュリティ・アンド・インフラストラクチャー・セキュリティ庁（CISA）、保健福祉省、運輸省、農務省が連名で発表したものだ。
声明によると、正体不明の「悪意あるサイバー攻撃者」が、食品小売店や冷蔵施設に設置され、インターネット経由でアクセスできる電子式温度制御装置や業務用冷却設備の制御装置の脆弱性を悪用し、攻撃を仕掛けている。
米政府は攻撃者の身元や具体的な侵入方法、被害を受けた事業者のリストを明らかにしていない。ただ、商業用冷蔵倉庫や関連する冷却施設を標的とする脅威が、現在も続いていることを明確に示した。
従来のサイバー攻撃は、データの窃取や業務システムの停止を狙うものが中心だった。これに対し、冷却設備への侵入は、直接的な物理的被害につながる可能性がある。
声明では、攻撃が成功した場合、攻撃者が設備の温度設定を変更し、火災の危険や在庫の損失、設備の耐用年数の変化などを引き起こす可能性があると指摘した。
食品や医薬品など、コールドチェーンに依存する産業では、温度異常が製品の品質や安全性に影響するおそれがある。さらに、倉庫、輸送、販売など、サプライチェーン全体の混乱につながる可能性もある。
CISAのクリス・ブテラ代理執行副長官は、「冷却システムや監視システムに依存するすべての組織は、自らが攻撃対象になり得ると想定すべきだ」と述べた。FBIサイバー部門のブレット・レザーマン作戦責任者も、こうしたシステムが世界の重要インフラ分野で攻撃対象になっていることを、政府は把握していると説明した。
今回の警告に先立ち、米国や欧州では、業務用冷凍庫や冷蔵設備を狙ったサイバー攻撃が相次いでいた。過去数カ月間だけでも、関連設備は少なくとも3回にわたって攻撃を受けたとされる。
ロイター通信は先に、米国防総省の調査担当者が、今年8月に米軍基地内の売店で発生した冷蔵設備の一連の異常障害について、サイバー攻撃の可能性を含めて調査していると報じた。
また、先月にはフランスの冷凍設備が大規模なサイバー攻撃を受け、数千万ユーロ規模の損失が発生した。11月2日には、第2波となる攻撃が欧州各地の100店舗以上に影響を及ぼしたという。
相次ぐ被害は、業務用冷却設備がサイバー攻撃の新たな侵入口になりつつあることを示している。小売店、倉庫、コールドチェーン施設ではデジタル化が進み、温度制御装置や監視機器をネットワークに接続するケースが増えている。管理者は遠隔地から稼働状況を確認し、設定変更や障害対応を行えるようになった一方、設備を公衆インターネットに直接接続したり、アクセス制御やネットワーク分離、更新作業が不十分だったりすれば、利便性が新たなセキュリティーリスクに転じる。
こうした設備は広い範囲に分散して設置され、1台当たりの規模も小さいため、サイバーセキュリティー対策の対象から見落とされやすい。しかし、店舗の業務システムや倉庫管理プラットフォーム、その他の社内ネットワークと接続されている場合、攻撃者が脆弱な設備を足掛かりに、内部ネットワークへ侵入する可能性がある。
攻撃が他のシステムに広がらなかったとしても、温度設定の改ざんや警報機能の妨害、設備の強制停止だけで、在庫の損傷や業務の中断を引き起こす可能性がある。温度の変化は一定の時間を経て表面化するため、異常が通常の設備故障と誤認され、対応が遅れるケースも想定される。
米政府はリスクを抑えるため、産業用冷却制御システムの運用者に対し、インターネット上で設備が外部にさらされていないか、早急に点検するよう求めている。また、関連設備を公衆インターネットから切り離し、企業ネットワークから分離することも推奨した。
このほか、ソフトウエアの更新やセキュリティーパッチを速やかに適用し、既知の脆弱性が悪用される可能性を減らすよう促している。
今回の声明が示す核心は、冷却システムを単なる物流・後方支援設備として扱うのではなく、組織全体のサイバーセキュリティー対策に組み込む必要があるという点にある。
US Government Partners Urge Hardening Industrial Refrigeration and Cold Chain Monitoring Systems
