何が起きたのか
7州にまたがり、判明分だけで約40システム
- 注意喚起の発出: 7月30日、FBI・CISA・EPAが共同でアドバイザリを公表。運用技術（OT）機器への不正な操作が確認されたとして、水道事業者に即時の点検を求めた。3機関が連名で出す形式は、事案の広がりを反映している
- 影響範囲: 少なくとも7州。公表されているのはミネソタ州とミシガン州のみで、残る5州は明らかにされていない。捜査上の理由とみられるが、事業者側からは開示を求める声が出ている
- ミネソタ州: 30を超える水道システムが影響を受けた。人口約1,700人のブラハム市では井戸と処理施設の制御が停止し、一時的に断水した
- ミシガン州: 9つのシステムが対象。州環境・五大湖・エネルギー省の広報責任者デール・ジョージ氏は「すべてのシステムは安全に稼働を続け、問題は現地の運転員が対処した。公衆衛生上の懸念を生じさせる影響は確認されていない」と述べた
- 被害の内容: 一部では水圧の低下と溢水が発生した。水質汚染は報告されていない。人的被害の報告もない
人口約8万人のプリマス市は、火曜の午後に水道インフラの通信を復旧させた。サウスセントポール市も対応にあたっている。共通しているのは、事業者が制御システムを切り離し、手動運転に切り替えて凌いだという点だ。自動化された仕組みが攻撃を受けたとき、人が手で回せる余地が残っていたことが被害を限定した。
規模の幅にも注目したい。人口1,700人のブラハムと8万人のプリマスが同じ週に影響を受けている。規模が違えば予算も体制も違うはずだが、結果は変わらなかった。標的の選定が対象の重要度ではなく、到達可能性で決まっていたことを示している。攻撃者は「重要な水道」を探したのではなく、「開いている水道」を探した。
狙われたのは水質ではなく「露出した制御装置」
攻撃者が触れたのはPLCとインターネットに接続された産業用コントローラである。PLCは、ポンプやバルブといった物理装置を決められた手順で動かす小型の制御コンピュータを指す。水質を管理する薬品注入の設定値を書き換えれば、健康被害に直結しうる。だが今回確認されているのは、ポンプの起動停止やバルブ制御に相当する操作にとどまる。
3機関のアドバイザリが最優先で求めたのは、対策の高度化ではない。「公開されているPLCおよびその他のOT機器を、可能な限り速やかにインターネットから切り離すこと」である。つまり、多くの水道事業者の制御装置が、外部から到達可能な状態で置かれていた。侵入検知の仕組みや多要素認証の導入を説く前に、そもそも扉が開いていることを指摘しなければならない段階にある。
小規模自治体の水道事業者は、専任のIT担当を置けないことが多い。遠隔監視のために制御装置を外部公開し、初期パスワードのまま運用しているケースが繰り返し指摘されてきた。攻撃に高度な技術は要らない。検索エンジンで露出機器を探し、既定の認証情報を試すだけで到達できる。今回の一連の事案が「7州で同時に」起きた理由も、そこにある。
OT機器がこうした状態に置かれる背景には、設計思想の時間差がある。産業用制御装置は、外部ネットワークから隔離された環境で使われることを前提に作られてきた。認証や暗号化が弱いのは欠陥ではなく、当時の前提のもとでは合理的な設計だった。そこに遠隔監視の需要が乗り、隔離の前提だけが崩れた。機器そのものは20年前と同じまま、置かれる環境が変わったのである。
更新も進まない。水道の制御装置は10年から20年使われる。更新には断水を伴う工事が必要な場合もあり、住民への説明と予算措置が要る。IT機器のように数年で入れ替える運用にはならない。結果として、脆弱性が公表されてから対処されるまでの期間が、他分野とは桁違いに長くなる。
帰属をめぐる政治的な分裂
- 捜査当局の立場: FBIは「省庁横断で重要インフラの防護に全面的に取り組んでおり、あらゆる種類のサイバー脅威に対処する態勢は整っている」と表明した。帰属については断定を避けている
- イラン説: 当局はイランの関与を捜査対象としている。同時に、別の主体がイラン系の手口を模倣した可能性も排除していない
- トランプ大統領: イランの関与という見方を退け、ミネソタ州当局の対応に問題があったとした
- ウォルツ州知事: イランを指摘したうえで、連邦政府のサイバー人員削減が備えを弱めたと批判した
- 前例: 2016年、米司法省はニューヨーク市近郊のダムへのサイバー攻撃をめぐってイラン人ハッカーを訴追している。訴追はされたが、身柄の引き渡しには至っていない
帰属の判断が政治的な争点になっている点は、この事案の本質を見えにくくしている。誰がやったかが確定しなくても、露出した制御装置が残っている限り、同じ攻撃は繰り返し可能である。
模倣の可能性が検討されていることも、帰属の難しさを表している。特定の国家主体が使ってきた手口は、報告書として公開される。それを読んだ別の攻撃者が同じ手順をなぞれば、痕跡は国家主体のものと区別しにくくなる。防御側の情報公開が、攻撃側の偽装材料にもなるという構造がある。
背景：これまでの経緯
CISAの人員削減という構造要因
ウォルツ知事が指摘した連邦側の体制縮小は、数字で追える。
- 人員: CISAは2025年1月以降、およそ1,000人を失った。全体の約3分の1にあたる
- 予算: 2026会計年度の予算案は約17%の削減を提案している。金額では4億2,000万〜4億9,500万ドル規模
- 利害関係者連携部門: 6,220万ドル（62%）の減額。事業者への周知・訓練を担ってきた部署である
- 国家リスク管理センター: 9,740万ドル（73%）の減額
- MS-ISAC: 州・地方政府や公営事業者ら1万8,000団体に無償で提供されていた監視サービスの予算が打ち切られた
打ち切られたMS-ISACの監視は、今回被害を受けた層がそのまま使っていた仕組みである。人口1,700人の市に、独自の脅威監視を用意する体力はない。無償の監視が消えた穴を、誰も埋めていなかった。
削減された部門の内訳を見ると、性格がはっきりする。利害関係者連携部門は事業者への周知と訓練を担い、国家リスク管理センターは重要インフラ全体のリスク評価を担ってきた。どちらも成果が数字で表れにくい。侵入を検知した件数のように可視化できる業務ではなく、事故が起きなかったことをもって成果とする類の仕事である。予算削減の対象として選ばれやすい性質を持っていた。
水道インフラは「攻撃者にとって最も安い標的」
米国には約5万の公共水道システムがある。大半は小規模自治体や公営企業が運営し、電力や金融のような規制と監査の枠組みを持たない。攻撃者から見れば、社会的インパクトが大きく、防御が薄く、到達コストが低い。この三条件が揃う分野は多くない。
規制が緩い理由も構造的である。電力は連邦エネルギー規制委員会（FERC）と北米電力信頼度協議会（NERC）の枠組みで、基準違反に罰則が伴う。金融も監督当局の検査を受ける。水道は自治体の自治事項という位置づけが強く、連邦が一律の義務を課す根拠が弱い。EPAが2023年にサイバー要件の義務化を試みた際も、州と業界団体の反発を受けて撤回した経緯がある。
過去にも同種の事案は繰り返されてきた。2021年のフロリダ州オールズマーでは、遠隔操作ソフト経由で水酸化ナトリウムの注入量が引き上げられた。2023年から2024年にかけては、イラン系とされるグループがイスラエル製のPLCを標的にした。米国内の複数の水道事業者に侵入している。今回の事案は新種ではなく、同じ穴が塞がれないまま残っていたことの帰結である。
日本の制度は動き出したばかり
- 能動的サイバー防御法: サイバー対処能力強化法・整備法が2025年5月に公布され、2026年から順次施行されている
- 対象範囲: 上下水道は基幹インフラの一つに位置づけられ、特定重要設備の導入・維持管理が事前審査の対象になる
- 国内の実態: 日本の水道事業者も多くが市町村単位で、専任のセキュリティ人材を置ける規模ではない。広域化・民間委託が進む過程で、遠隔監視の導入も広がっている
日本の水道は2018年の水道法改正以降、広域化と官民連携が政策として進められてきた。事業体の統合は人材と予算の集約につながる一方で、遠隔監視・遠隔制御の導入を伴う。物理的に離れた施設を少人数で回すには、ネットワーク越しの制御が前提になるからだ。効率化とOTの露出は、同じ方向を向いている。
制度の枠組みは整いつつあるが、現場の運用が追いついているかは別の話である。米国が突きつけたのは、法律の有無ではなく「制御装置がインターネットから見えているかどうか」という、もっと単純な問いだった。日本にとって参照すべきは攻撃者の正体ではなく、防御側が何を怠っていたかの部分である。
世界トップメディアの見立て
- ワシントン・ポスト（8月1日付）: 7州にまたがる同時多発という規模を重視し、単発の侵入ではなく系統立った作戦の可能性を指摘した。当局が帰属を確定できていない点にも紙幅を割き、公表されていない5州の存在を問題視している
- CBSニュース（8月1日付）: ミネソタ州の各市の現場対応を詳報し、被害が限定されたのは運転員が手動運転に切り替えたためだと整理した。技術的な防御ではなく人の判断が効いたという構図である
- フォーチュン（8月1日付）: CISAの人員削減と予算案を並べ、防御側の体制縮小が事案の背景にあると論じた。MS-ISACの打ち切りを具体的な穴として挙げている
- アルジャジーラ（8月1日付）: イラン関与説をめぐる米政権内の温度差に焦点を当て、トランプ大統領とウォルツ州知事の見解の食い違いを対比させた
- ブルームバーグ（8月1日付）: 水道分野の規制が電力・金融に比べて緩いという構造を指摘し、義務化をめぐる過去の議論の経緯を振り返った。事業者の資金力が対策の差を生んでいる点にも触れている
見立てを並べると、技術面の分析はどの媒体も薄い。攻撃手法そのものが目新しくないからである。各紙の関心は、なぜ塞がれていない穴が残っていたのかという制度と予算の側に集まっている。事案の性質を考えれば、その配分は妥当だ。
もう一点、共通しているのは「被害が小さかったこと」への警戒である。水質汚染がなく、断水も短時間で済んだ。だが今回操作されたのがポンプやバルブの制御にとどまった理由は分かっていない。攻撃者がそこで止めた可能性と、そこまでしかできなかった可能性の両方がある。到達できた範囲と、実行された範囲は別物だ。
数字で見る
| 項目 | 数値・内容 |
|---|---|
| 共同アドバイザリの発出 | 2026年7月30日（FBI・CISA・EPA） |
| 影響が確認された州 | 少なくとも7州（公表はミネソタ・ミシガンのみ） |
| ミネソタ州の影響システム数 | 30以上 |
| ミシガン州の影響システム数 | 9 |
| ブラハム市の人口 | 約1,700人 |
| プリマス市の人口 | 約8万人 |
| 水質汚染の報告 | なし |
| 標的となった機器 | PLC、インターネット接続された産業用コントローラ |
| CISAの人員減 | 2025年1月以降 約1,000人（全体の約3分の1） |
| 2026会計年度の予算削減案 | 約17%（4億2,000万〜4億9,500万ドル） |
| MS-ISACの対象団体数 | 約1万8,000（無償監視の予算打ち切り） |
| 米国の公共水道システム数 | 約5万 |
| 過去の同種事案 | 2016年ダム攻撃で訴追、2021年オールズマー、2023〜24年PLC侵入 |
この表で最も重い数字は、被害件数ではなくCISAの人員減である。攻撃側の技術水準が上がったという証拠は、今のところ示されていない。変わったのは防御側の体制のほうだ。
約5万という公共水道システムの数も見ておきたい。公表分で影響が確認されたのは約40で、全体の0.1%に満たない。少ないから安心できるという話ではなく、同じ条件の事業者が全米に何万と残っているという意味である。7月30日のアドバイザリが求めた「インターネットからの切り離し」がどこまで実行されるかで、次の事案の規模が決まる。
日本への影響・示唆
- OT機器のインターネット露出を実測する: 「つないでいないはず」という認識と実態はしばしばずれる。保守業者が設置した遠隔監視回線、検証用に開けたまま閉じ忘れたポート、更新時に一時的に開けた経路が典型例である。設計図ではなく、外部から見える状態を実際に調べる工程が要る。ネットワーク構成図は、更新されないまま数年経っていることが多い
- 手動運転への切り替え手順を持っているか: 今回、被害を限定したのは技術ではなく運用だった。制御系を切り離して人が回す手順が文書化され、訓練されているか。自動化率が高い設備ほど、この点の確認が抜けやすい。手動運転を知る熟練者が定年で抜けたあと、手順書だけが残っている状態は危うい
- 小規模事業者の防御は個社では成立しない: 人口数千人規模の水道事業者に専任人材を求めるのは現実的ではない。広域連携や都道府県単位の共同監視といった、集約的な仕組みの設計が要る。MS-ISACの打ち切りは、その逆をやった場合に何が起きるかの実例である。集約は効率化の手段であると同時に、防御の前提条件でもある
- サプライヤー経由の侵入経路を洗う: 制御装置の遠隔保守を委託している場合、事業者側のネットワークが堅くても、保守業者側が入口になりうる。委託契約に接続要件とログ提供を書き込んでおく必要がある。既存契約の更新時が現実的な着手点になる
- 帰属の確定を待たない: 国家主体か模倣犯かの判断には時間がかかる。その間も攻撃面は開いたままだ。対策の優先順位は「誰が狙っているか」ではなく「どこが開いているか」で決める。脅威情報の購読より、自社の露出把握のほうが先に効く
- 能動的サイバー防御の運用開始が試される: 制度上、政府が事業者から情報提供を受け、必要に応じて対処する枠組みは動き始めている。実際の事案でどこまで機能するかは、初動の速さと事業者側の報告体制で決まる。報告すべき事象の線引きを社内で決めていない組織が多い
- 経営層の理解が投資の分かれ目: 水道や下水のOTは、更新周期が10年から20年と長い。予算の議論が「今年の被害額」を根拠にできない分野である。被害が出てから投資する構造だと、間に合わない
この7点は水道に限った話ではない。電力、ガス、鉄道、工場の生産ラインまで、OTを抱える組織はすべて同じ構造を持つ。隔離を前提に作られた機器が、いつのまにか外部から届く場所に置かれている。今回の事案が水道で起きたのは、水道の防御が最も薄かったからにすぎない。
企業のIT部門にとって実務的な出発点は、資産の棚卸しである。何台の制御装置があり、どれが外部から到達可能で、それぞれ誰が管理しているか。この三つに即答できない組織は、対策の前に現状把握から始める必要がある。露出調査は外部サービスを使えば数日で結果が出る。着手のコストは、想像されているほど高くない。
今後の見通し
- ① 残る5州の公表: 影響を受けた州のうち5州は非公表のままである。公表されれば、被害の全体像と共通する脆弱性が見えてくる。非公表が続く場合、他の事業者が自らの危険度を測れない状態が長引く
- ② 帰属の確定: イラン関与か模倣犯か。FBIの結論が出るまでには数か月かかる可能性がある。中間選挙を控えた時期の発表になれば、政治的な文脈が混入する。技術的な証拠と政治的な主張が同じ場で語られると、事業者向けの教訓が埋もれる
- ③ CISA予算の議会審議: 17%削減案が議会でどう扱われるか。今回の事案が見直しの材料になるかが焦点になる。とくにMS-ISACの復活を求める州側の動きが、どこまで超党派になるか
- ④ EPAによる規制強化: 水道事業者へのサイバーセキュリティ要件の義務化は、過去に州と業界団体の反対で後退した経緯がある。再提起されるかどうか、そのとき小規模事業者への財政支援がセットになるかが焦点になる
- ⑤ 日本での同種事案の顕在化: 国内の水道事業者を対象にした露出調査が公表されれば、対策の緊急度が数字で共有される。総務省や厚生労働省の調査結果が公開されるかが分かれ目になる
- ⑥ 保険と責任の所在: 断水や溢水が起きた場合の賠償責任と、サイバー保険の適用範囲。国家主体の関与が認定されると戦争免責条項が争点になりうる。米国での判断は日本の契約実務にも影響する
短期で最も動きが早いのは、②の帰属をめぐる政治的な応酬だろう。だが実務上の意味があるのは③と④である。予算と義務化の枠組みが変わらなければ、事業者の行動は変わらない。注意喚起は無償だが、機器の更新と体制の整備には金がかかる。誰が払うかが決まらないまま、次の事案を待つ構図になりかねない。
日本の事業者にとっては、⑤の露出調査が公表されるかどうかが分岐点になる。数字が出れば、予算要求の根拠ができる。出なければ、被害が実際に発生するまで動かないという、米国が今たどっている道をなぞることになる。
問われているのは、攻撃の高度さではない。開いたままの扉を数えて、閉じる作業を誰がやるかである。
