重要インフラを狙うOT／PLC攻撃とは？制御システムが直接乗っ取られる脅威

2026.08.19

この記事のまとめ

重要インフラを狙うOT／PLC攻撃は、水道や電力といった生活基盤を支える制御機器そのものが遠隔で乗っ取られる、物理的な被害に直結しうる脅威です。攻撃者はインターネットに露出したPLC（プログラマブル・ロジック・コントローラー、現場機器を自動で動かす小型の産業用コンピューター）を狙い、初期設定のままの認証情報や開放されたポートを悪用します。以下の観点を押さえることが対策の出発点となります。

OTは物理プロセスを直接動かす制御領域で、ITとは被害の性質が異なります。
水道分野では海外で協調的な攻撃事例が確認されています。
公衆インターネットからの切り離しと初期パスワード変更が基本策となります。
日本では能動的サイバー防御の制度整備が進みつつあります。

重要インフラとOT／PLCの基礎

重要インフラの現場では、OTと呼ばれる制御領域が物理的な設備を動かしており、その中核にPLCがあります。

重要インフラの定義と対象領域

重要インフラとは、生活や経済を止めないために欠かせない社会基盤の総称です。

水道や電力、ガス、交通、金融、医療などが該当し、これらの現場では制御システムが物理的な設備を直接動かしています。制御システムは以前、外部ネットワークや情報系システムと切り離された固有の仕組みで組まれていたため、セキュリティの脅威はほとんど意識されてきませんでした。しかし、汎用OSや標準的な通信手順、外部メディアの利用が広がるなかで、実際のサイバー攻撃事案が増えています。社会や産業を支える基盤であるだけに、対応の重要性が急速に高まっています（参照*1）。

対象となる領域は幅広く、止まれば人命や生活に直結する分野が中心です。自分の関わる事業がどの領域に属し、どの設備が制御システムで動いているのかを整理することが起点になります。

OT（制御システム）とITの違い

OTとITは守る対象が異なり、被害が起きたときの意味合いも大きく変わります。

OTは、物理環境と直接やり取りする、あるいは物理環境とやり取りする機器を管理する、幅広いプログラム可能なシステムや装置を指します。産業用制御システム、ビル自動化、交通システム、物理的な入退室管理、環境の監視や計測などがその例です（参照*2）。

ITのサイバーセキュリティはデータや情報システムを守るものであり、OTのサイバーセキュリティは物理的なプロセスと重要インフラを守るものです。IT側の障害は通常、データや金銭の損失にとどまりますが、OT側の障害は安全事故や設備の損傷、人命の損失といった現実世界の被害を引き起こしかねません。OTのシステムは重要インフラや産業プロセスを支えるために設計され、アクセスが難しい場所で数十年にわたり稼働することも珍しくありません（参照*3）。

この違いから、OT側では停止や誤作動そのものが最大の被害となり、復旧の速さより先に物理的な安全確保が求められます。

PLCの役割と現場での使われ方

PLCは現場の機器を自動で動かす小型の産業用コンピューターで、OTの中核を担います。

OTの代表例として、NISTは産業用制御システムを挙げており、その関連要素としてPLCやSCADA（監視制御システム）を示しています（参照*2）。

現場では、ポンプやバルブ、モーター、センサーなどの入出力をPLCが制御し、あらかじめ書き込まれたラダーロジック（電気回路図に似た形式で書かれる制御プログラム）に沿って設備を自動運転します。人と機械の橋渡しをするHMI（ヒューマン・マシン・インターフェース、操作画面）と組み合わせて使われることが多く、水道の取水量調整や電力の切替、食品製造の温度管理まで、生活と産業のさまざまな場面で稼働しています。

生活インフラを狙うOT／PLC攻撃の実像

海外の水道分野では、インターネットに露出したPLCが直接乗っ取られる攻撃がすでに現実のものとなっています。

水道システムを狙う協調攻撃の事例

水道分野では、PLCを直接狙った攻撃が海外で複数確認されています。

2023年11月、IRGC（イラン革命防衛隊）に関係するとされる攻撃者が「CyberAv3ngers」の名で、イスラエル製のUnitronics Vision Series PLCとHMIを標的にする活動を開始しました。攻撃者はPLC画面に、イスラエル製の機器はすべて標的だと主張する改ざん画像を残しました。これらのPLCは上下水道分野で広く使われ、エネルギー、食品・飲料製造、交通、医療などでも用いられています（参照*4）。

親ロシア派のハクティビストは、北米や欧州の重要インフラ分野、なかでも上下水道、ダム、エネルギー、食料・農業を対象に、産業用制御システムや小規模なOTを侵害しようとする活動を行っています。手口の多くは高度ではなく、機器を操作して迷惑行為を起こす水準にとどまりますが、安全でない設定や誤設定のOT環境に対して物理的な脅威を及ぼす能力を持つことも確認されています（参照*5）。

インターネット露出PLCが乗っ取られる仕組み

インターネットに直接つながったPLCは、探索されやすく乗っ取られやすい状態にあります。

米EPA監察総監室による受動的な評価では、1,062の飲料水システムが対象となり、これらは米国全体で1億9,300万人を超える利用者にサービスを提供しています。2024年10月8日時点のスキャン結果では、97の飲料水システムに重大または高リスクの脆弱性があり、およそ2,660万人にサービスを提供していました。そのレベルには達しないものの、外部から見える開いたポータルを持つとして中・低リスクに分類された飲料水システムが211あり、8,270万人以上にサービスを提供していました（参照*6）。

こうした露出面は、攻撃者が広範に探索できる入口となります。自組織のPLCやHMIがどの経路でインターネットに触れているかを把握することが、リスク低減の起点になります。

攻撃者の手口と乗っ取り後の影響

攻撃の多くは初期設定の悪用という単純な手口で始まり、乗っ取り後の影響は制御プログラムの書換えにまで及びます。

デフォルト認証情報とポート悪用

攻撃の入口は高度な脆弱性ではなく、初期設定のまま放置された認証とポートである場合が目立ちます。

CyberAv3ngersは2023年11月から2024年1月にかけて、上下水道分野を含む米国の重要インフラで使われるUnitronics製PLCを、4回に分かれた波状攻撃と見られる形で狙いました。攻撃者は少なくとも75台の機器を侵害し、そのうち少なくとも34台は米国の上下水道分野に属していました。侵害は、初期設定のTCPポート20256で通信するインターネット接続機器に認証することで行われ、対象の機器は初期パスワードのままか、パスワードが設定されていない状態でした（参照*4）。

OT機器の初期パスワードは、公開ツールで容易に推測できる場合があり、直ちに強固で一意のものへ変更することが求められます。OTの制御に関わるインターネットに面した機器では、特に優先度が高くなります（参照*7）。

ラダーロジック書換えと運用者締め出し

PLCを乗っ取った攻撃者は、制御プログラム自体を書き換え、正規の運用者を締め出せます。

米EPAによれば、イラン関連のAPT（高度で持続的な攻撃者）が、米国の重要インフラ、なかでも上下水道分野でインターネットに露出したPLCを対象にした活発な脅威をもたらしています。2026年4月の共同サイバーセキュリティ勧告（AA26-097A）で詳述されたように、これらの攻撃者はインターネット接続されたPLCを悪用し、OTシステムに影響を与えてきました（参照*8）。

乗っ取り後は、パスワードの遠隔変更で管理者権限を奪う、ラダーロジックを改変して意図しない動作を起こす、HMIの画面を改ざんして混乱を招くといった影響が生じます。運用側の視点では、書換え検知と設定バックアップの整備が復旧速度を左右します。

重要インフラ事業者が取るべき緩和策

緩和策の柱は、公衆インターネットからの切り離し、認証強化とネットワーク分離、手動運用への備えの三つです。

公衆インターネットからの切り離し

最初に着手すべきは、OT機器を公衆インターネットから切り離すことです。

インターネットに接続されたOT機器は、格好の標的になります。OT機器は現代の脅威に耐える認証や認可の仕組みを備えておらず、公開IP範囲の開いたポートを検索エンジン系のツールで探索することで、攻撃者は標的となるOT機器を素早く見つけ出せます。したがって、OTと公衆インターネットの接続を取り除くことが基本的な緩和策となります（参照*7）。

上下水道分野向けの実務指針では、公衆インターネットへの露出低減、定期的なサイバーセキュリティ評価、初期パスワードの即時変更、OT／IT資産の棚卸し、インシデント対応・復旧計画の策定と演習、OT／ITシステムのバックアップが、並行して進める行動として挙げられています（参照*9）。

認証強化とネットワーク分離

公衆インターネットから切り離した上で、認証の強化とネットワークの分離を進める必要があります。

初期パスワードは直ちに変更し、強固で一意のパスワードを用いることが求められます。CISAなどによる分析では、狙われるシステムは初期のパスワードや、オープンソースのツールで容易に推測できるパスワードを使っていることが示されています。ITネットワークとOTネットワークを分離し、重要システムを区分するとともに、企業側の業務システムに制御データを渡すためのDMZ（DeMilitarized Zone：非武装地帯）を導入することで、サイバー脅威の潜在的な影響と、必要不可欠なOT運用の停止リスクを下げられます（参照*7）。

IPAは制御システムのリスク分析について、資産ベースの分析と事業被害ベースの分析の二つを整理しています。前者は資産ごとに重要度、脅威の発生可能性、脆弱性の三つを評価指標としてリスクを評価する手法であり、後者は事業被害とそのレベル、被害を引き起こす攻撃ツリーの発生可能性、攻撃に対する脆弱性の三つを評価指標とする手法です（参照*1）。

手動運用への切替えとバックアップ

技術的な対策だけでなく、いざというときに手で動かせる備えも欠かせません。

OTシステムを手動で運用する能力を平時から訓練し、維持しておくことが緩和策の一つとして挙げられています（参照*7）。米EPAは小規模水道向けのリスク・レジリエンス評価チェックリストに、CISAの分野横断サイバーセキュリティ・パフォーマンス・ゴールを用いて、水道事業者の優先的なサイバーセキュリティ実務を評価する方法を追加しました（参照*10）。

制御が乗っ取られてもプロセスを安全側に維持できるよう、手動運用の手順書、代替の電源や通信、設定ファイルとラダーロジックのバックアップを整えておくことがポイントです。演習を通じて実際に切替えを経験することで、有事の判断速度が上がります。

日本の制度動向と能動的サイバー防御

日本国内でも、重要インフラを守るための制度面の整備が進みつつあります。

経済同友会は2024年10月の政策提言のなかで、安全保障や重大なサイバー攻撃の恐れがある場合に、未然に排除し侵害拡大を防止する能動的サイバー防御を早期に導入すべきだと主張しました。あわせて内閣サイバーセキュリティセンター（NISC）の司令塔機能の強化と、重要インフラ事業者への報告義務化の早期導入、新たな官民連携組織の創設を挙げています（参照*11）。

公明党は、国家安全保障戦略を踏まえ、情報集約から政策措置までの一体的な推進のための総合調整などを担う政府のサイバーセキュリティ対策の司令塔機能を強化するとともに、能動的サイバー防御法に基づいて実効性ある対策を進めるとしました（参照*12）。

サイバーレジリエンスは、サイバー攻撃による被害を最小化し素早い回復を行うための対応力・回復力と位置づけられています。IPAは、社会インフラや産業基盤を担う企業に向けて、最新のサイバーインシデントを用いた業界別シナリオによる2日間の演習を案内しています（参照*13）。

おわりに

重要インフラを狙うOT／PLC攻撃は、初期パスワードのままの機器やインターネットに露出したポートといった、身近な設定の甘さから始まっています。海外の水道分野では、PLCが直接乗っ取られ、運用者が締め出される事態が現実に起きており、被害は物理的な設備や利用者の生活にまで及ぶおそれがあります。

対策の中心は、公衆インターネットからの切り離し、認証の強化、ネットワークの分離、手動運用とバックアップの備えという基本の徹底です。日本でも能動的サイバー防御の整備が進みつつあり、事業者は自組織の制御機器の露出状況を点検し、演習を通じて回復力を高めることが求められます。

お知らせ

重要インフラやOT／PLC攻撃の脅威を踏まえ、インフラエンジニアには自身の業務範囲や必須スキルを棚卸しし、案件選びに活かすことが求められます。

cyseekではフリーランスのITエンジニア向けの案件をご紹介しています。
案件に関する新着情報は、以下のリンクからご覧いただけます。

参照

cyseekはサイバーセキュリティ人材向けの案件紹介サービスサイトです。

サイバーセキュリティ業界に精通したエージェントが求人紹介、年収交渉、キャリアアップの実現など、採用課題の整理から稼働後のフォローまでトータルにサポートするほか、保有するノウハウを活かしフリーランスやサイバーセキュリティ人材に向けたコラムを発信しています。