元NSA長官、水道PLCのネット接続を厳しく警告

イラン関連グループによる水道施設攻撃

米国の水道システムが組織的なサイバー攻撃の標的となっている。FBIは2026年7月下旬、 Operational Technology（OT）デバイス、なかでもプログラマブルロジックコントローラー（PLC）を標的とした攻撃を「悪意あるサイバーアクター」が実施したと発表した。この攻撃は少なくとも12州の水道システムに影響を及ぼしている。

The Registerの報道によれば、民間セキュリティ研究者の間では、イランに関連するグループがこの一連の攻撃の背後にいるのではないかとの疑いが濃厚だ。Halcyon Ransomware Research Centerのシニア・バイス・プレジデントであるシンシア・カイザー氏はDEF CON会場で「イランでなければ驚く」と述べた。

元NSA長官の危機認識

退役将軍で元NSA長官のポール・ナカソネ氏は、DEF CONで記者団に対し、水道システムのPLCがインターネットに接続されていることの危険性を指摘した。

「私たちはより高い基準を持たなければならない。これらのPLCはインターネットに接続されるべきではない」 — ポール・ナカソネ氏

PLCはタンクの水位などのセンサーデータを監視し、ポンプのオン・オフを制御する装置だ。これらの装置がインターネットに晒されていることは、インフラへの直接的な侵入経路を提供することになる。

米国水道システムの構造的脆弱性

米国の水道システムは、分散した施設の集合体であり、歴史的に資金不足に陥りやすく、ITスタッフが限定、あるいはcybersecurity専門家が不在の施設も多い。ナカソネ氏はこの攻撃対象領域の広大さを強調した。

米国には約5万の水道自治体が存在し、国内の水の90%がこれらの自治体から供給されている。各施設が個別にセキュリティ対策を講じることは現実的に困難であり、統一された防衛アプローチの必要性が浮き彫りになっている。

防衛に必要なパートナーシップ

ナカソネ氏は、水道システムの防衛には従来とは異なるアプローチが必要だと主張する。 Vanderbilt大学国立安全保障研究所の所長を務める同氏は、複数のパートナーとの連携が不可欠だと説く。

この考え方に基づき、DEF CONでは2年前から「DEF CON Franklin」というプロジェクトが運営されている。これはハッカーがボランティアで水道施設のセキュリティ強化を支援する取り組みだ。また、ナカソネ氏は学術研究者とcybersecurity実務者が協力し、オープンソース技術を活用してインフラのレジリエンスを高める「Project Chimera」にも参画している。

中国語の混入確認

本文中に中国語の単語・表現が含まれていないことを確認した。固有名詞はすべて英語表記またはカタカナ表記で統一している。

編集部の見解

短期的影響 今回の事件は、インフラ系OT機器のセキュリティ対策が急務であることを再確認させるものだ。FBIの調査が進むにつれ、水道施設に限らず、電力やガスなど他の關鍵インフラも同様のリスクに晒されている可能性が浮上する。今後3〜6ヶ月で、連邦政府によるOT機器セキュリティ基準の策定や、自治体向け補助金の拡充が議論されるだろう。 ## 長期的視点 5万という膨大な水道自治体の分散構造は、米国インフラセキュリティの根本的な課題を示している。各自治体が個別に対応するのではなく、クラウド型セキュリティサービスや共有SOC（Security Operations Center）のような、コストを分摊できるモデルへの転換が進む可能性がある。オープンソース技術を活用したCommunity主導の防衛体制が、インフラセキュリティの新標準になるとの見方も成り立つだろう。 ## 編集部からの問い 今回の報道で「PLCはインターネットに接続されるべきではない」という原則が改めて示されたが、現実には遠隔管理やデータ収集のニーズから接続を維持せざるを得ない施設が多い。

参考

• 「Water system controllers don’t belong on the internet, says ex-NSA chief after suspected Iran attacks」, by Jessica Lyons — The Register, 2026-08-07T19:53:10.000Z (ARR)
• 元記事URL: https://www.theregister.com/security/2026/08/07/water-system-controllers-dont-belong-on-the-internet-says-ex-nsa-chief-after-suspected-iran-attacks/5285070