イラン系ハッカーがSiemensやSchneiderのPLCにも標的を拡大、正規ツールを悪用し監視画面を偽装
2026年7月24日 10:25
米国の7つの連邦機関は7月22日、イラン関連のハッカーによる産業用制御システム（ICS）への攻撃キャンペーンに関する共同勧告を更新した。標的がRockwell Automation製だけでなく、SiemensやSchneider Electric製のプログラマブル・ロジック・コントローラ（PLC）にも拡大していることが明らかになった。攻撃者は各ベンダーの正規ソフトウェアを悪用して安全アラームを無効化し、オペレーターの監視画面に偽のデータを表示させており、重要インフラの運用者は直ちに機器をインターネットから切断するなどの対策が求められている。
■業界全体に及ぶ脅威への拡大
米国の7つの連邦機関は7月22日、画期的な共同勧告（AA26-097A）を更新し、イラン関連のハッカーが数カ月に及ぶ産業用制御システムへの攻撃キャンペーンを拡大していることを明らかにした。標的はRockwell Automation製の機器にとどまらず、SiemensやSchneider Electric製のプログラマブル・ロジック・コントローラ（PLC）にも及んでいる。攻撃者はこれらベンダーの正規ソフトウェアを使用して隠しコードを仕込み、安全アラームを無効化するだけでなく、インフラ稼働の要となるオペレーターの画面上で実際のセンサーの数値を偽のデータに置き換えている。
全米の水処理施設、エネルギー施設、政府機関において、攻撃者が背後で制御ロジックを密かに操作している間、オペレーターは正常な状態を示すダッシュボードを見ていた可能性がある。これは仮説上のリスクではない。CISA（サイバーセキュリティ・インフラストラクチャセキュリティ庁）、FBI、NSA、EPA（環境保護庁）、エネルギー省、米国サイバー軍のサイバー国家任務部隊、および財務省が共同署名したこの勧告は、これらのセクターの組織がこの活動の結果として業務の中断や直接的な経済的損失を被ったことを確認しており、最新の侵害の痕跡（IoC）は今月（2026年7月）のものとされている。
7月22日の更新が特に重要なのは、この脅威の位置づけをRockwell Automation単独の問題から、業界全体の緊急事態へと変化させた点にある。Rockwell、Siemens、Schneider Electricの3社は、米国の重要インフラに導入されている産業用オートメーションシステムの過半数を供給している。各社のエンジニアリングソフトウェアを使用し、これら3つのベンダー環境すべてで活動できる攻撃者は、特定のブランドを狙っているわけではない。カテゴリー全体を標的にしているのである。
■標準的なセキュリティツールが検知できない隠れた攻撃手法
このキャンペーンを従来のサイバー攻撃と構造的に異なるものにしているのは、攻撃者のアクセス手法である。標的のPLCに接続するため、イラン関連の攻撃者はマルウェアを展開しなかった。彼らは、Rockwell Automationの「Studio 5000 Logix Designer」、Schneider Electricの「EcoStruxure Control Expert」、Siemensの「TIA Portal」といった、正規のエンジニアが日常的に使用するのと同じソフトウェアを使用した。海外でホストされたリース済みのインターネットインフラを経由し、パブリックインターネットから直接到達可能なPLCへとアクセスしたのである。
セキュリティ研究者はこの手法を「環境寄生型（Living off the land）」と呼んでいる。検知可能な悪意のあるファイルを導入するのではなく、信頼されたネイティブツールを武器化する手法だ。攻撃者がStudio 5000を使用してRockwellのPLCに接続した場合、ネットワーク監視ツールにはエンジニアが仕事をしているようにしか見えない。マルウェアのシグネチャは反応せず、アンチウイルスの警告もトリガーされない。その接続は、意図を除けば技術的なあらゆる意味で正規のものだからである。
Rockwell Automationのコントローラーが稼働するサイトでは、CVE-2021-22681という深刻な認証バイパスの脆弱性（CVSSスコア 9.8）によって攻撃が可能になっていた。これは、Studio 5000とLogix PLC間の通信を検証するために使用される暗号鍵の保護が不十分であることに起因する。この鍵を傍受または取得した攻撃者は、エンジニアリングソフトウェアになりすまし、有効な認証情報なしでコントローラーに直接接続できる。Rockwell Automationは、この脆弱性がソフトウェアパッチでは対処できず、アーキテクチャ上の制御（ネットワークのセグメンテーション、物理キースイッチの強化、VPNによるアクセス制限）によってのみギャップを埋めることができると確認している。
接続を確立すると、攻撃者はPLCのプロジェクトファイルを流出させ、変更を加えた上で再展開した。7月22日の更新では、AOI（Add-On Instructions：PLCプログラムに組み込まれるRockwell特有の再利用可能なコードモジュール）に関する新たな技術的詳細が追加された。被害が確認されたあるサイトでは、悪意のあるプロジェクトファイルが通常の下流の制御ロジックをすべて維持したまま、シャットダウンシーケンスやアラームロジックを無効化するオーバーライドルーチンを密かに挿入していた。その結果、オペレーターへの警告をトリガーすることなく、また従来のマルウェアスキャンで検知されるような痕跡を残すことなく、施設内で危険なプロセス状態が発生する可能性があった。
HMI（ヒューマン・マシン・インターフェース）およびSCADAの表示改ざんは、独立した、かつ事態を悪化させる攻撃レイヤーである。攻撃者は基盤となるPLCロジックを変更するだけでなく、オペレーターが制御室の画面で見る情報も改ざんし、実際のセンサーデータを正常な稼働状態を示す偽の数値に置き換えた。安全な圧力、温度、または化学物質のレベルを示すディスプレイを見ているオペレーターには、それらの数値が現実を反映しているのか、それとも攻撃者が作り出した虚構なのかを知る術はない。
■狙われるポートと侵入経路
勧告では、攻撃者が産業用デバイスに到達するために使用した特定のネットワークプロトコルポートが特定されている。このリストは、北米および欧州の産業用オートメーションにおける主要な通信標準と直接一致している。
ポート44818と2222は、EtherNet/IPに関連している。これは、北米の製造業で支配的なネットワーク標準である標準イーサネット上のCommon Industrial Protocolに対するRockwell Automationの実装である。ポート102は、TIA PortalがSiemensのハードウェアにアクセスするための独自のチャネルであるSiemensのS7通信プロトコルを伝送する。ポート502は、1979年に設計され、設計上認証メカニズムが組み込まれていないプロトコルであるModbus TCPである。ポート22はSSHであり、これには攻撃者がOT機器に接続されたセルラーモデム上でDropbear SSHを有効にし、ネットワークの変更後も存続できる永続的なリモートのコマンド＆コントロールチャネルを確保したケースも含まれる。
設定ミス、意図的なリモートアクセスアーキテクチャ、あるいはこれまで隔離されていた機器を露出させるIT/OTネットワークの統合など、理由のいかんを問わず、インターネットに面したデバイスにこれらのポートが存在することが、この攻撃キャンペーン全体が依存する構造的な条件となっている。勧告で説明されている攻撃はいずれも、攻撃者がゼロデイ脆弱性を悪用したり、高度なセキュリティ制御を突破したりする必要はなかった。PLCがインターネットから到達可能であることだけが必要だったのだ。
■攻撃者の背景：IRGC-CECとCyberAv3ngers
勧告は、2026年のキャンペーンを「CyberAv3ngers」の背後にある脅威エコシステムと結びつけている。この脅威グループは、米国の機関によってイラン・イスラム革命防衛隊サイバー電子司令部（IRGC-CEC）に正式に帰属するとされている。米国財務省は2024年2月にこれらの作戦を指揮する6名のIRGC-CEC幹部を制裁対象に指定しており、国務省は同グループの活動に関する情報に最大1000万ドル（約16億4000万円、1ドル=164円換算）の懸賞金を提示している。
CyberAv3ngersは、文書化されている4つのフェーズで活動してきた。2023年11月以降、同グループはインターネットに露出したデバイスのデフォルト認証情報を悪用し、米国、英国、イスラエル、アイルランド全域で少なくとも75台のUnitronics VisionシリーズPLCを侵害した。この攻撃により、アイルランドの民間水道施設の住民が数日間にわたって水を利用できなくなり、ペンシルベニア州アリクイッパの市営水道局はブースターステーションの制御を取り戻すために奔走を余儀なくされた。2024年後半には、セキュリティ企業ClarotyのTeam82が、同グループによって構築されたカスタムLinuxマルウェアプラットフォーム「IOCONTROL」を特定した。これはIPカメラ、ルーター、HMI、ファイアウォール、燃料管理システムを標的とし、TLS上のMQTTプロトコルを使用して、コマンド＆コントロールのトラフィックを正規のIoTネットワーク活動に紛れ込ませるものだった。
2026年3月から活発化している現在のフェーズは、イスラエル製のUnitronicsハードウェアから、米国のインフラ全体でより広く導入されているRockwell、Siemens、Schneider Electric製の欧米製コントローラーへの意図的なプラットフォームの移行を示している。サイバーセキュリティ企業Tenableは、この攻撃手法が推定60以上の親イラン系ハクティビストグループに拡散していると分析しており、これは中核となるCyberAv3ngers組織に何が起ころうとも脅威が持続することを意味している。
■水道、エネルギー、政府施設の運用者が取るべき対策
更新された勧告におけるCISAの主要な指示は直接的である。PLCやその他の運用技術（OT）資産をパブリックインターネットから直ちに切断することだ。それ以降のすべての緩和策は、攻撃者がPLCに直接アクセスできないことを前提としている。
何らかの形のリモートアクセスが運用上必要な施設について、各機関は、すべての外部接続を多要素認証（MFA）を備えたVPN経由でルーティングしなければならないと規定している。コンシューマー向けのリモートデスクトップツールや、直接のポートフォワーディング、デフォルト設定のセルラーモデムのSSHエンドポイントは不可である。勧告は、セルラーモデム上のDropbear SSHを攻撃ベクトルとして明確に名指ししており、運用者に対して不要なサービスを無効にするよう指示している。
プロトコル側では、外部アドレスから接続を受け入れる運用上の理由がないデバイスについて、ネットワーク境界で産業用プロトコルポート44818、2222、102、502、および22へのインバウンド接続をブロックすることを推奨している。
7月22日の更新では、AOIのステルスベクトルに特化したガイダンスが導入された。運用者は、悪意のあるロジックを隠す可能性のあるAOIや再利用可能なコードモジュールに特に注意を払いながら、PLCプロジェクトファイルに不正な変更がないか確認し、検証するよう指示されている。すべてのPLCロジックと設定ファイルのオフラインでテスト済みのバックアップを維持し、本番環境のコピーと定期的に比較する必要がある。比較が行われなければ、挿入された悪意のあるAOIが永久に残り続ける可能性があるためだ。
物理的なコントローラーの保護モード（ハードウェアのキースイッチを「run」モードに設定すること）は、攻撃者がデバイスへの認証されたネットワーク接続を確立した場合でも、制御ロジックのリモート変更を防ぐことができる。これは、ネットワーク層の緩和策を完全に実装できない環境に特化した補完的な制御である。
■SiemensとSchneiderへの拡大が意味すること
2026年4月の当初の勧告は、Rockwell Automationの問題として読まれる可能性があった。Allen-Bradley製の機器を稼働させている施設は行動を起こす必要があったが、他ベンダーのハードウェアを稼働させている施設は、いくらか距離を置いて状況を観察することができた。
7月22日の更新は、その距離を取り払うものだ。SiemensとSchneider Electricが標的ベンダーのリストで確認されたことで、この勧告は米国の重要インフラに導入されているICS機器の圧倒的シェアを事実上カバーすることになる。主要ベンダーのインターネットに露出したPLCはすべて、現在このキャンペーンの確認された標的カテゴリーとなっている。
Dragosの「2026年OT/ICSサイバーセキュリティ・イヤー・イン・レビュー」は、イランの敵対者が、重要インフラネットワーク内でのプレゼンスを確立するだけの事前配置の段階から、制御ループをマッピングし、物理的プロセスを操作する方法を理解する段階へと移行していると分析している。確認された被害サイトでアラームやシャットダウンのロジックを無効化した悪意のあるAOIに関する7月22日の更新文書は、その分析と一致している。つまり、目的は偵察ではなく、物理的な結果を引き起こすことである。
SIEM、IDS、ファイアウォール展開用のSTIX形式のIoC（侵害の痕跡）を含む、更新された勧告の全文（AA26-097A）は、CISAの勧告ページで入手可能である。
■注目ポイントQ&A
●イランのハッカーはどのようにして誰にも気づかれずに産業用制御システムを攻撃しているのですか？
このキャンペーンの中核となる手法は、ベンダー自身の正規のエンジニアリングソフトウェア（RockwellのStudio 5000、Schneider ElectricのEcoStruxure Control Expert、SiemensのTIA Portal）を使用して、インターネット経由でPLCに接続することです。これらのツールはOTネットワーク上で信頼され、存在が想定されているため、従来のマルウェア検知やネットワーク侵入検知システムは接続を不審なものとしてフラグ付けしません。また、この攻撃には、オペレーターが状態を監視するために使用するHMIやSCADAの表示を操作し、実際のセンサーデータを偽の数値に置き換えるという、独立しているが関連する手法も含まれています。安全な状態を示すダッシュボードを見ているオペレーターには、異常を示す兆候は何もありません。検知には、シグネチャベースのセキュリティツールではなく、PLCプロジェクトファイルの変更の振る舞い監視と、既知の正常なオフラインバックアップとのベースライン比較が必要です。
●SiemensとSchneider ElectricのPLCは、Rockwell Automationに影響を与えたのと同じ欠陥に対して脆弱ですか？
勧告では、SiemensとSchneider Electricを標的とした攻撃について、特定のCVE（共通脆弱性識別子）を指定していません。7月22日の更新時点では、各機関はこれらのプラットフォームが標的になっていることを確認しましたが、使用された具体的なアクセス手法については公に詳細を明らかにしていません。Rockwell Automationの機器については、文書化されている脆弱性はCVE-2021-22681であり、これはベンダーのパッチが存在しない深刻な認証バイパス（CVSS 9.8）で、アーキテクチャ上の緩和策のみが適用されます。3つのベンダー環境すべてに共通しているのは、PLCがパブリックインターネットから直接アクセス可能であったということです。これは、ベンダーに関係なくすべての運用者に排除するよう勧告が指示している構造的な条件です。
●水道事業者、エネルギー施設、または政府機関の運用者は今すぐ何をすべきですか？
勧告の最優先事項は、PLCやOTデバイスから直接のインターネットアクセスを直ちに排除することです。運用上必要な外部からのリモートアクセスは、多要素認証を備えたVPNを経由する必要があります。不要なデバイスについては、境界でポート44818、2222、102、502、および22へのインバウンド接続をブロックしてください。少なくとも1つの確認された被害環境でアラームを無効化するオーバーライドコードを隠すために使用されたベクトルである、Add-On Instructions（AOI）や再利用可能なコードモジュールへの不正な変更がないか、PLCプロジェクトファイルを監査してください。リモートでのロジック変更を防ぐために、コントローラーの物理キースイッチを有効にしてください。CISAの勧告AA26-097AからSTIX形式の侵害の痕跡（IoC）をダウンロードし、SIEM、IDS、ファイアウォールプラットフォームに直ちに展開してください。
●なぜRockwell AutomationはCVE-2021-22681にパッチを当ててこの問題を阻止できないのですか？
Rockwell Automationは、CVE-2021-22681がソフトウェアパッチによって完全に解決できないことを確認しています。この脆弱性は、Studio 5000 Logix DesignerとLogixコントローラー間の通信を認証するために使用される暗号鍵の保護方法に存在します。これは、コントローラーの通信モデルに大幅なアーキテクチャ上の変更を加えない限り、アップデートでは変更できない設計上の条件です。この脆弱性は2026年3月にCISAの「悪用が確認された脆弱性（KEV）」カタログに追加され、連邦機関には義務的な修正期限が設定されましたが、ここでの修正とは、パッチの適用ではなく、アーキテクチャ上の制御（ネットワークの隔離、VPN、物理的なハードウェアロック）を実装することを意味します。この露出を塞ぐために標準的なパッチ管理ワークフローに依存している施設は、他のソフトウェアがどれほど最新であっても脆弱なままとなります。
元記事: Iranian Hackers Infiltrate Siemens and Schneider PLCs, Blinding Operators With Fake Readings