ホーム > お知らせ > 工場もビルもマンションも、ハッカーに乗っ取られる時代
 

工場もビルもマンションも、ハッカーに乗っ取られる時代

2016-01-18 9:43 PM お知らせ

2015年2月に日本で開催しましたフォーラムにて、ただちに、IOT時代に備えるサイバー対策を行わなければならないという発表をさせていただきました。日本のように便利な社会であればあるほど、その背後には、コンピューターやインターネットを含む、システム依存型の社会ができあがっているからです。高価で便利なシステムに守られている反面、もしもそのシステムが不正にコントロールされてしまったとき、手も足も出ず、大きな被害を被ることになります。

 

犯罪者目線でみると、日本は、監視も、セキュリティも、取り締まりも、捜査力も弱いのに、お金や情報など、宝の山が、数えきれないほどたくさんあるという状態になっていることを各組織の幹部が認識しなければなりません。

 

このままだと、無防備な工場のシステムは手当たり次第乗っ取られ、情報漏洩や不正コントロールだけではなく、もっとストレートな、金銭要求など、脅迫犯罪にもつながっていきます。そこから、経営者辞任、株価下落、倒産にもつながっていきます。

 

とっても便利な社会に住んでいる反面、その裏で、何が起きているのかも考えたほうが良い、そんな時代の真っただ中にいることは間違いありません。

 

※以下、日経ビジネス 2016年1月18日号の記事から引用

unnamed

猛威を振るうサイバー攻撃が、新たな標的を見いだした。工場だ。オフィスと異なり、ネットに常時接続していないから安全という「神話」は崩壊。既に感染は始まっている。今後、IoT(モノのインターネット)が伸展すれば、リスクが一気に顕在化しかねない。index

 

「日本の工場やプラントの多くは、既にコンピューターウイルスに感染している。表面化していないのは、単に調べていないからだ」。国内製造業に多くの顧客を抱える、大手制御機器メーカーの幹部はため息を漏らす。顧客企業の工場に出向いてセキュリティー状況を診断すると、かなりの割合で異常が見つかるという。

 

この幹部が籍を置くメーカーは、プラントや生産ラインの「制御システム」を手掛けている。バルブやポンプのような単純な機器から、ロボットや工作機械に至るまで、様々な装置がスムーズに動くよう管理する「工場の頭脳」だ。

 

制御システムは通常、インターネットとは別のネットワークで運用されている。独自の機器を組み合わせて構築するため、工場やプラントごとに千差万別なのが 特徴だ。オフィスのようにネットに常時接続しているわけでもないため、サイバー攻撃の標的にはなりにくいとされてきた。

 

だが現実には、多くの工場で感染が始まっている。ウイルスに感染したら即座に被害が生じるわけではないが、想定外の事態に直面しているのは事実だ。

 

日本年金機構の情報流出をきっかけに、多くの企業がサイバー攻撃の脅威を認識した。個人情報がひとたび漏洩すると対応コストは膨大になり、信用失墜などの悪影響も免れない。

 

だが、冒頭の幹部が懸念するのは、“その程度のレベル”の話ではない。人事や経理など企業内のデジタル情報を管理する「情報システム」とは異なり、制御シ ステムは機械や装置といったモノを取り扱う。仮に制御システムが悪意ある攻撃者に支配されたら、人命に関わる重大事故が起きかねない。

 

危機はすぐそこまで迫っている。

 

警察庁は2015年12月、国内の製造業に対して警告を発した。制御システムで使う専用コンピューター「PLC」を、外部から起動したり停止したりできる 攻撃ツールが、インターネット上で公開されたのだ。ツールを悪用してPLCを操り、「システム停止などの不正な制御が行われると甚大な被害が生じる可能性 が危惧される」(警察庁)。

 

危機はすぐそこまで迫っている。

 

■「安全神話」は既に崩壊

 

富士通統合商品戦略本部の太田大州エバンジェリストは「セキュリティー対策をおろそかにする企業は、自社のサプライチェーンすら維持できなくなる。そういう時代に入ったことを経営者は認識すべきだ」と警鐘を鳴らす。

 

なぜ、インターネットにつながっていない工場やプラントがサイバー攻撃の被害に遭うのか──。こう考える読者も多いだろう。だが、「ネットに未接続=安 全」などという神話は、世界ではとうに崩壊している。厳重に守られているはずの制御システムが、相次ぎ被害を受けているのだ。

 

2010年、イランの核燃料施設でウラン濃縮用遠心分離機が急停止した。当時のイランは独自の核開発計画を推進し、欧米との緊張が高まっていた。国家機密を扱うだけに設備の警備は厳重で、インターネットからも遮断されている。にもかかわらず制御システムが乗っ取られた。

 

原因は、親指大の小型機器だった。

 

何者かが「スタックスネット」と呼ばれるウイルスをUSBメモリーに仕込み、核施設の職員が拾いそうな場所に放置した。入手した職員がパソコンにUSBメモリーを接続すると、即座に感染。施設内のネットワークを通じて、独シーメンス製のPLCを次々に制圧し、数千台ある遠心分離機に過剰な負荷をかけて、物理的に破壊していった。

 

その結果、イランの核開発計画は3年程度遅れたと推定されている。スタックスネットを開発したのは米国家安全保障局(NSA)とイスラエル軍の情報機関と されているが、真相はやぶの中だ。明らかになったのは、ネットから隔離されていても安全とは言い切れないという、新たな常識だけだ。

index2index1

制御機器メーカーが定期的に工場内に持ち込む保守用パソコンも、ウイルス感染の経路となる。工作機械やロボットにパソコンを接続し、設定を調整したりデータを収集したりする際に、ウイルスが工場内に侵入。制御システムに感染するケースが増えている。

 

米政府機関で制御システムの危機対応をつかさどるICS-CERTのまとめでは、鉄鋼や精密機器など「重要機器製造業」を狙うサイバー攻撃が急増。 2014年には全体の27%に達し、電力などエネルギー業界に匹敵する規模となった。2012年からの2年間で、製造業の制御システムを狙った攻撃は8倍 以上に増えた。全攻撃の4割は手口を解明できず、対策が取れない状況だ。

 

今は、日本国内では一部でしか発覚していない。これは被害の事実 がないのではなくて、現行の法制度では個人情報が漏洩しなければ、サイバー攻撃を受けた事実を関係省庁に報告したり、社外に公表したりする義務がないから だ。「システムへのアクセス記録を管理しておらず、攻撃を検知したり原因を追究したりできない企業も多い」と、マカフィーの佐々木弘志サイバー戦略室シニ アセキュリティアドバイザーは指摘する。冒頭で紹介したように、調査すれば被害実態が鮮明になる可能性がある。

 

■PC-9801もまだ「現役」

 

ネットと隔絶していても増え始めた工場のサイバー被害。今後、IoT(モノのインターネット)が伸展し生産現場がネットと常時つながる時代が来れば、リスクは飛躍的に増大する。
index3

製造業では工場同士、あるいは機械同士をネットでつなぎ、生産プロセスを効率化することが競争力を左右し始めた。電力業界ではスマートメーターの導入で、 各家庭の電気利用状況を発電所で把握する取り組みが進んでいる。インターネットと隔絶した環境で制御システムを運用すること自体、難しい時代になりつつあ るのだ。

 

一方で、サイバー攻撃の手法は急速に進化している。石油化学プラントなどの制御システムを手掛ける、横河電機高度ソリューション事業部の門田章臣ITインフラストラクチャー部長は「何の準備もしないまま、制御システムをインターネットに接続すると、100%の確率でウイルスに感染する」と指摘する。

 

さらに年金機構を襲った標的型攻撃が、制御システムに照準を合わせ始めた。標的型攻撃は、特定の企業や組織を狙って情報を盗む手口のこと。専用ウイ ルスを開発して攻撃を繰り返すため、防ぎきるのが難しい。親しい人を装ってメールを送信し、油断させて添付ファイルを開かせることで、ウイルスに感染させ るのが一般的だ。

 

前述の通り、従来の制御システムはネットから隔絶されていた上、独自の機器とソフトを組み合わせて構築していたため、標的型攻撃で使われるようなウイルスに感染することは少なかった。

 

だが、2000年代に入り工場のIT化が進むと、生産現場にもWindowsのような汎用ソフトが進出。インターネットで使われる一般的な通信技術も、工 場内のネットワークで活用されるようになった。その結果、企業情報システム向けに開発されたウイルスも、工場に侵入しさえすれば制御システムにダメージを 与えることが可能になったのだ。

 

工場内で使われるソフトはなかなかバージョンアップしない。「ある工場では(1980年代のパソコ ン)PC-9801が現役で稼働していた」。NECサイバーセキュリティ戦略本部の松尾好造本部長はこう苦笑する。WindowsXPもまだ多くの現場で 残っている。制御システムでは安定稼働が最優先される。最新のソフトに更新して不具合を出したくないという意識があるため、セキュリティー対策は後回しに なりがちだ。

 

実際、ドイツの製鉄所が標的型攻撃を受けたケースでは、制御システム全般に不具合が発生。最終的には溶鉱炉が爆発した。2014年には欧州の電力会社がサイバー攻撃を受け、9社がウイルスに感染。制御システムを管理するサーバーから、情報が漏洩した。

 

■カメラ、餅製造機が踏み台に

index4

サイバー攻撃をリアルタイムで可視化するウェブサイト。世界各地から攻撃が集中していることがわかる

 

図は、米インテルセキュリティが公開している、リアルタイムのサイバー攻撃状況だ。アラブ首長国連邦のドバイに攻撃が集中したかと思えば、次の瞬間には台 湾が砲火を浴びる。日本がサイバー攻撃の発信源になることも多い。悪意ある攻撃者が身元を隠すために、世界各地にあるサーバーやパソコンを踏み台にしてい るからだ。

 

「東南アジアのある国では、餅製造機のセンサーが乗っ取られ、サイバー攻撃の基点になっているケースが見つかっている」と、 PwCサイバーサービス合同会社の星澤裕二・最高執行責任者は話す。日本の工場内にある機器が乗っ取られ、ネットワークでつながった系列工場に攻撃を仕掛 ける事態すら夢物語ではない。

 

IoTの普及により、多様な機器がサイバー攻撃の標的になる。

 

例えば監視カメラ。最近の機種にはインターネット経由で画像を送受信できる機能が搭載されているが、購入時と同じパスワードで使える状態で放置されているものもある。その気になれば、容易に乗っ取れるわけだ。

 

脅威はさらに広がる。2015年7月、世界の自動車関係者を震撼させる映像がネット上で公開された。2人のセキュリティー専門家が米FCAUS(旧クライスラー)製の「ジープ・グランドチェロキー」の制御システムを乗っ取り、遠隔地からエンジンを操作したのだ。

 

通信会社のデータセンターに侵入し、無線経由で不正な命令を送信することに成功した。「クルマとスマートフォンがつながり侵入口が増えた。セキュリティーの抜け穴がないか、自動運転が普及する前に見直す必要がある」。トレンドマイクロの斧江章一・執行役員は警鐘を鳴らす。

 

一連の事態を受けて、産業界でも対応が始まっている。

 

「ロボットが異常停止しました」

 

管制室のモニターが急変し、 大きな警告音が鳴り響く。宮城県多賀城市にある、制御システムセキュリティセンター(CSSC)の訓練風景だ。経済産業省が主導して、日立製作所や富士電 機などが機器を提供。下水処理施設や火力発電所、組み立て工場など9つの模擬プラントを設置し、サイバー攻撃への対処法を訓練している。

 

「工場などで制御システムを扱う担当者の頭には、サイバー攻撃という概念がない。すると、機械が異常停止しても、故障だろうと軽く考えてしまう」と CSSCの村瀬一郎事務局長は指摘する。制御システムが攻撃されたら、どのような事態に陥るのかをシミュレーションするのが、この施設の意義である。 2014年度は電力11社、ガス24社の担当者が2日間の演習に参加した。

 

■制御機器の棚卸しを急げ

 

同様の取り組みは、あらゆる企業に求められる。オフィスのパソコンだけでなく、工場やプラントの機械・設備もサイバー攻撃の標的になっている事実を経営者 が認識しなければ、対策の打ちようがないからだ。「安定稼働している制御システムを入れ替えるのは難しい。まずは経営者の意識を高めて、運用方法を改める のが先決だ」と、日立製作所インフラシステム社大みか事業所の中野利彦セキュリティ推進室長は話す。

 

最初の対策は、工場やプラントの現場 を熟知したセキュリティー担当者を配置すること。「制御システムが攻撃されると現場の操業が維持できなくなる。短時間で復旧するには、機器を調べて原因究 明できるエンジニアが欠かせない」と、NTTコミュニケーションズ技術開発部IoTクラウド戦略ユニットの境野哲・担当部長は説く。自社の工場やプラント でどんな機器が使われ、対策はどれほど講じられているのか。早急に棚卸しをする必要がある。

 

日本企業はこれまで、情報システム部門がセ キュリティー対策を主導してきたが、この慣習も見直す必要がある。情報システム部門はオフィスのIT機器は管理できるが、工場などの制御システムには不案 内。また、工場長の頭越しにセキュリティー対策を命じる権限を持っていないのが通例だ。制御システムと情報システムを一元管理できる、責任者の任命も急務 だろう。

 

インターネットから“片方向”だけ分離するという対策もある。会津大学の山崎文明特任教授は「原子力発電所や交通管制システムの ような重要インフラでは、データダイオードと呼ばれる機器の導入が必要だ」と話す。発電所などからの情報発信は可能だが、逆方向には電気信号を送れないた め、不正アクセスを確実に防げる。一般の工場や病院などでも有効な対策だろう。

 

日本では今のところ、巨大停電や機械の暴走といった深刻な 事故は起きていない。だが、制御システムを狙うサイバー攻撃が年々増え、手口も急速に高度化しているのは事実だ。2020年の東京五輪に向けて、日本は格 好の標的になっていく。いつまで水際で食い止められるのか。安全神話に浸っている余裕はもはやない。

 

(日経ビジネス 小笠原啓)

[日経ビジネス 2016年1月18日号の記事を再構成]

 
 

セカンドオピニオンのe-light

イーライトは、ニッポンの情報セキュリティのセカンドオピニオンを目指します。国内の情報セキュリティ企業様とは異なる、「第2の意見」として、御社様のより良い決断に貢献できれば幸いです。