水および廃水システム（WWS）向け PLC のインターネット露出状況と CISA 警報

序論：CISA の警報概要

米国サイバーセキュリティ・インフラ保安局（CISA）は、2026 年 7 月 30 日に警報を発令しました。主要な内容は以下の通りです。

• 脅威の増大: 水および廃水システム（WWS）セクターに対し、インターネットに公開されているプログラマブルロジックコントローラ（PLC）を標的とする攻撃が増加しています。
• 被害例:
  • 操作員のロックアウトやデバイスの IP アドレス変更による接続切断。
  • これにより飲料水の煮沸勧告が発令されたり、施設が長期間にわたり手動運用を余儀なくされる事例が発生。
• 脆弱な機器:
  • ロックウェル・オートメーション／アレン＝ブラッドレー製
  • シーメンス製
  • シュナイダーエレクトリック製
  • 特に、携帯通信モデムが攻撃表面スキャンで一般的に見落としられやすいこと。
• 露出状況のスナップショット（2026 年 7 月 30 日時点）:
  • ロックウェル／アレン＝ブラッドレー製: 4,148 台のイーサネット/IP ホスト
  • シーメンス製 SIMATIC S7-1200: 4,117 台のホスト
  • シュナイダーエレクトリック関連: 2,072 台（PLC に限定せず、ベンダー全体のハードウェア）

  注記：本数は露出状況の特徴付けであり、個別のホストが実際に被害を受けているかどうかを保証するものではありません。

警報の背景と対策要請

CISA は重要インフラ所有者に対し、公衆網（インターネット）に公開されている PLC と他のオペレーション・テクノロジー（OT）を速やかに取り除くことを要請しています。

観測された攻撃手法

• パスワード変更: 操作員をロックアウトする目的で実行。
• IP アドレス変更: デバイスをネットワークから切断し、遠隔アクセスを不可能に。
• 影響範囲: サイバーセキュリティ対策が成熟している組織を含むあらゆる規模の水処理実体が標的化されています。

共通の見落とし事項：携帯通信モデム

• 事業者やシステムインテグレーターが設置した携帯通信モデムは、文書化されていないケースが多くあります。
• これらの接続は通常の攻撃表面スキャンから除外される可能性があり、セキュリティ上のリスク要因となっています。

CISA の推奨対策（緩和策）

1. 接続制限: PLC をインターネットから完全に断結し、リモートアクセスはVPNまたはゲートウェイデバイスを経由させてください。PLC に直接接続する行為を避けてください。
2. パスワード管理: パスワード保護を有効にし、必ずデフォルトパスワードを変更してください。
3. IP ホワイトリスト化: リモートアクセスは、既知のエンジニアリングノートブックまたは重要な OT 資産からのみ許可するように IP アドレスをホワイトリストに登録してください。

本報告書は、特定の IOC（侵害指標）や帰属情報の評価を行わず、上記の 3 つのベンダーに対するインターネット露出状況のみを対象としています。

---

ベンダー別インターネット露出の詳細分析

1. ロックウェル・オートメーション／アレン＝ブラッドレー製

Censys ARC のデータにより、EtherNet/IP プロトコルに回答し、「ロックウェル・オートメーション／アレン＝ブラッドレー」と自己識別するホストが4,148 台同定されました。

地理的分布（国別）

• 米国: 71.0% （2,945 台）で圧倒的な優位性を示す。
• カナダ: 明確な第 2 位であり、11.5% （476 台）のホストが存在する。

ネットワーク/ASN 分布

• 携帯通信キャリアによる接続が主流です。
• Verizon Business、AT&T Mobility、T-Mobile USA の組み合わせが公開ホスト全体の**59.0%**を占めています。

---

2. シーメンス製 SIMATIC S7-1200

Censys ARC のデータにより、「siemens」かつ「simatic_s7-1200」というファインプリンティング結果に一致するホストが4,117 台同定されました。

地理的分布（国別）

• 南欧および中欧への集中: 露出状況が強くこれらの地域に偏っています。
• 主要国の合計: グリシャ、スペイン、イタリア、オーストリアの**4 カ国で全体の 86.0%**を占めます。
• 接続特徴: これらの国では、主要モバイルキャリアが固定回線やホスティングプロバイダよりも支配的です。

※注記: 元データには「ネットワーク/ASN 分布」と「国別」の表記混乱が見られます。上記は論理的に矛盾しないよう整理したものです。

---

3. シュナイダーエレクトリック（ベンダー全体規模）

Censys によるスナップショット（2026 年 7 月 30 日時点）において、PLC 限定のフィルタを適用せず、シュナイダー製ハードウェアとして同定されたホストが2,072 台あります。

• 注意: この数は PLC モデルやプロトコルへの限定フィルタが含まれていないため、PLC の露出数に限定して解釈すべきではありません。
• 地理的分布: トルコとオーストラリアの合計で全体の**55.5%**を占めています。

---

Censys クエリ例

以下のクエリを使用することで、各ベンダーのインターネット上での露出状況を確認・抽出可能です。

# ロックウェル／アレン＝ブラッドレー製イーサネット/IP
(host.services.protocol=EIP) and host.services.eip.identity.vendor_name="Rockwell Automation/Allen-Bradley"

# シーメンス製 SIMATIC S7-1200
host.hardware.vendor: "siemens" and host.hardware.product: "simatic_s7-1200"

# シュナイダーエレクトリック（ベンダー全体）
host.hardware.vendor = "schneider-electric"