人々の生活を脅かす、重要インフラへの攻撃

近年、国家主導型サイバー攻撃の被害が世界各国で増え始めている。本連載では、国家主導型サイバー攻撃のねらいと手口について、世界のサイバー事件に詳しいマカフィー サイバー戦略室 シニアセキュリティアドバイザー CISSPのスコット・ジャーカフ氏に事例を交えながら解説していただく。

世界のさまざまな地域で報告されている電力網や発電所など重要インフラ設備へのサイバー攻撃は、私たちの生活や生命を脅かす非常に深刻なものである。今回は、特にロシアによるものと見られるインフラ設備へのサイバー攻撃について話を伺った。

ウクライナの電力網にロシアが2度ハッキング

日本から約8,000km離れた東欧の国、ウクライナ。隣接するロシアと長期にわたって対立が続いており、近年ではクリミア半島を巡って緊張関係にある。こうした状況の中、ウクライナでは、2015年12月および2016年12月に、2年連続でサイバー攻撃による停電が発生した。

2015年の1度目の攻撃では、電力供給会社3社が攻撃対象となった。30拠点の変電所がシャットダウンする事態に陥り、ウクライナ西部のイヴァーノ＝フランキーウシク周辺で1〜6時間に及ぶ停電が発生。およそ23万人の住人が影響を受けた。ウクライナ保安庁は、この停電がロシアのサイバー攻撃によるものであると発表している。

また、2016年の2回目の攻撃では、ウクライナの首都キエフ北部で約1時間にわたる停電が発生し、数万人の住人が影響を受けた。2回目の攻撃で対象となった変電所は1拠点のみで、停電時間も1時間と、前年の攻撃に比べると規模は小さいものであった。

ジャーカフ氏によると、1回目と2回目の攻撃の違いは規模の大きさだけではないという。

「1回目では、攻撃者はRTU(Remote Terminal Unit:遠隔端末装置)のファームウェアにログインし、手動でこれを書き換えて変電所をシャットダウンしていたのに対し、2回目の攻撃においては、マルウェア自体が自動で動作することで変電所のシャットダウンに至ったのが大きな違いです」(ジャーカフ氏)

インフラ設備に対する物理的な妨害活動を目的として作られたマルウェアとしては、2009年に米国がイランの原子力施設を破壊する目的で開発した「Stuxnet」が有名だが、2回目のウクライナ停電の原因となったマルウェアは、「Industroyer/CrashOverRide」と呼ばれるものだ。

このマルウェアの目的は、電力会社のコントロールセンターにある制御端末に感染し、特定の日時に起動して、コントロールセンター配下の変電所のブレーカーが落ちるようなコマンドを送信することで、停電を引き起こすこと。

「StuxnetまたはIndustroyer/CrashOverRideが侵入してきたとわかった時点で、インフラ設備を物理的に破壊することが攻撃者の最終的な目的であることは明確です」とジャーカフ氏は説明する。

これまでに、ロシアが仕掛けたとみられる重要インフラへの攻撃は、米国やEU諸国でも報告されており、ウクライナ電力網への攻撃は試験的に行われたものである可能性があるという。

「重要インフラのなかでも特に、電力網に関する設備は人々の生活に密接に関わるものです。対外諜報機関としての役割を果たしていた旧ソ連・国家保安委員会(KGB)出身のプーチン大統領は、国の安定を揺さぶる戦略についてはお手のものです。市民の社会生活が根本から脅かされるような攻撃の背後にロシアがいるであろうことは、容易に想像がつきます」(ジャーカフ氏)

米国の国土安全保障省と連邦捜査局が共同でテクニカルアラートを発表

ロシアが標的にしたとみられる米国のインフラは、浄水システムや化学物質処理プラント、原子力関連施設、航空システム、水処理設備、政府関連施設など広範に渡っている。

米国の国土安全保障省(DHS)と連邦捜査局(FBI)は2018年3月15日、共同でテクニカルアラートを発表した。同報告書では、2016年3月以降に発生したロシアによるものとみられるインフラへの攻撃についてまとめられているが、ジャーカフ氏によると、従来の報告書では見られなかった特徴のある内容が盛り込まれているという。

「サイバー攻撃においては通常、最終的な標的となる”intended target”への攻撃の前段階として、攻撃起点となる”staging target”を置きます。一般的なテクニカルレポートでは、staging targetについてはあまり触れられませんが、今回はintended targetとあわせてstaging targetについても詳しく解説されているのが特徴です」(ジャーカフ氏)

staging targetは大きく分けて、踏み台としての役割と、マルウェアの置き場としての役割という2つの目的で設定されるもので、intended targetとなる組織の取引先や関連機関など、比較的セキュリティの弱いネットワークを持つ第三者組織が狙われる。

例えば、商用施設をintended targetとした過去の事例では、staging targetとして同施設の空調設備に関連する業者のネットワークが狙われ、最終的にはintended targetの財務関連情報が盗難された。

セキュリティの基本は、”if”ではなく”When”

これまで見てきたように、重要インフラを対象とした攻撃は米国やEU諸国を中心に行われている。したがって、日本にはあまり関係のないことであると考えている人もいるかもしれない。

しかし、ジャーカフ氏は「先進国であるのならば、十分に攻撃の対象となりえることを肝に銘じる必要があります。こうした状況だからこそ、しっかりと準備をしておかなければなりません」と念を押す。

セキュリティの攻撃に関しては、”if”ではなく”When”で考えなければならない。つまり、「もし攻撃を受けたら」ではなく、「攻撃を受けたときには」という考えを持ち、対処法を検討する必要があるわけだ。

特に日本は「グローバルでみると、インフラ自体の防御網は比較的弱い」とジャーカフ氏は指摘する。

「日本のインフラ設備は、IT部門と制御部門のコミュニケーションが取れておらず、お互いがまったく違う言語を使っているような状態です。これがインフラ設備全体としての脆弱性を高めています。侵入された際にいかに検知をするか、また、侵入を検知した場合にいかに適切に対応していくか、双方ともしっかり準備していれば被害を抑えることができますが、私からみると十分ではないと思います」(ジャーカフ氏)

米国やEU諸国で実際に被害が出ているということは、日本においても実際に攻撃があった場合、何らかの被害が発生することは十分に想定される。日本には関係ないなどという認識を捨て、「いかに攻撃されないかではなく、攻撃を受けた後いかに早く復旧するか」という観点から、組織体制や教育等も含めて包括的に備えておく必要があるだろう。