崩れゆく産業システムや制御システムの安全神話――PwCサイバーサービス：＠ITセキュリティセミナー2018.2

　例えば、イランにある核施設の遠心分離機がサイバー攻撃によって停止したというニュースを聞いたことがあるだろう。この原因は、USBメモリ経由で感染したマルウェアだったといわれている。ドイツのある製鉄所は標的型攻撃にさらされ、溶鉱炉が制御不能に陥った。ウクライナの電力会社を狙った攻撃では、大規模停電を引き起こすことに成功した。いずれも安全神話に守られていたはずの産業系・制御系システムだ。

　「私たちが提供している“レッドチーム演習”の例では、情報システムから制御システムへ侵入できる可能性が示唆されました。現代の制御システムは、さまざまな外部組織やシステムと連携しており、クローズドではなくなっていたケースもあったのです。過去に大規模なマルウェア感染を起こした組織とつながっているものもありました。メールを受信できたり、OA端末からワンホップでアクセスできたりと、全く安全ではなかったのです」

細やかなアセスメントで対処の方法や方針を定める

　昨今、工業系・産業系の事業者で注目されている新技術と言えば、「IoT」である。また、モバイルデバイスの普及も進んでいる。神薗氏は、IoTやモバイルの活用で欠かせない「ワイヤレス通信がリスクの増大を招く」と警鐘を鳴らす。

　例えば「ダークホテル」という攻撃手法では、高級ホテルなどのWi-Fiを乗っ取り、宿泊する企業のエグゼクティブなどが持つ機密情報を狙う。学内無線LANを経由して、生徒の個人情報を窃取した例もあった。ある工場の元従業員が、退職前のパスフレーズを悪用してWi-Fiに接続し、機密情報を窃取して脅迫行為に及んだケースもある。

　「最近では、無線LANアクセスポイントのSSIDを含むさまざまな情報を地図上にマッピングしたサイトが登場しています。ピンポイントに脆弱（ぜいじゃく）なアクセスポイントを探し、攻撃を仕掛ける可能性があります。認証サーバへのDoS攻撃や電波へのジャミング攻撃などによって、Wi-Fiサービスが停止されてしまうことも考えられます」

　無線のリスクは、もちろんWi-Fiだけではない。

　例えば、米国テキサス州ダラス市では、災害の危険を知らせる屋外警報サイレンが攻撃者に作動させられる事件が発生した。この攻撃については、警報を鳴らすための無線信号を傍受して、同じ電波を再送信するリプレイ攻撃を行った可能性が示唆されている。NTPサーバでシステムの時刻同期を行っているシステムでは、異常な時刻情報を受信することでエラーを起こす可能性がある。自動車のスマートキーが発する微弱な電波を増幅リレーすることで、ドアを開けて窃盗できるようになる手口が予想されている。

　「Wi-Fiにはさまざまなリスクがあり、安全に利用するためにはそれぞれ細かくアセスメント調査を行う必要があります。例えば、組織の敷地内外でアクセスポイントが検出できるかどうかという調査が考えられます。アセスメント調査は、早急に対処すべきこと、今後対処すべきこと、それらのコストや方針などを導くためにも重要な取り組みです。PwCサイバーサービスは、Wi-Fiや特定小電力無線にも対応し、さまざまな知見を生かしたアセスメントサービスを強化しているところです」

　サイバー攻撃が国や企業をターゲットにする中、近年目立ってきたのが工場、産業システムなどへのサイバー攻撃だ