米国国家安全保障局（NSA）、サイバーセキュリティ・インフラセキュリティ庁（CISA）、連邦捜査局（FBI）、エネルギー省、環境保護庁は、米国の重要インフラにおけるSiemens S7シリーズのプログラマブルロジックコントローラーを標的とする継続的な攻撃について警告した。各機関は、2026年8月19日に発表した共同警告で、脅威アクターがAIを利用して開発したスクリプトにより、これらの産業機器を悪用していると報告した。
PLCは、工場や重要施設内の機械の自動化や物理プロセスの制御に使用される産業用コンピューターである。最も標的にされている部門には、バイオ製造、エネルギー、水道・下水処理システム、化学、食品・農業、商業施設が含まれる。また各機関は、Siemens S7が防衛産業基盤でも使用されていると指摘しており、同分野も標的となる可能性がある。
攻撃はどのように実行されるのか？
攻撃者は、CensysやZoomEyeなどのインターネットスキャンサービスを使用して、公開状態にあるSiemens製機器を探し、その後、重大または高リスクの脆弱性、旧式ソフトウェア、あるいは弱い認証メカニズムの悪用を試みる。警告によれば、攻撃者はPythonで記述された悪用ツールを開発し、snap7.dllおよびpython-snap7ライブラリを使ってSiemens S7機器と通信している。
これらのツールは、運用技術（OT）を監視する正規のプログラムを装っているが、S7commプロトコルを介して、コントローラーのメモリ、設定データ、ラダーロジックプログラムへの読み書きアクセスを可能にする。公表された活動の対象となっているのは、S7-200、S7-300、S7-400、S7-1200、S7-1500の各モデルである。
なぜこの警告が重要なのか？
現在、この活動は継続的な偵察と情報収集に重点を置いているようだが、後続の妨害工作につながる可能性がある。各機関は、潜在的な影響として、機密データの窃取、設備の損傷、長期的な業務停止、または安全に関わる事故につながるアクセスを挙げた。コントローラーのメモリやプログラムへのアクセスは物理プロセスに直接影響を及ぼし得るため、これらの機器の保護はオフィスネットワークのセキュリティに限定されない。
この警告は、インターネット上に露出したPLCに対する攻撃が増加した後に出された。7月には、ハッカーがミネソタ州の30を超える水道施設を標的とし、設備障害を引き起こしたため、一部の施設は一時的に手動運転へ移行した。またCISAは、水道・下水処理施設で使用されるPLCへの攻撃が増加していると警告した。4月には、米国の機関が、イランと関係するハッカーがインターネット上に露出したRockwell Automation/Allen-Bradley製PLCを標的にしていると警告し、複数の重要インフラ部門で混乱と金銭的損失が記録された。
運用者は何をすべきか？
- 産業環境内に存在するSiemens S7機器を把握し、公開状態にある機器を特定する。
- 利用可能な最新のセキュリティ更新プログラムを適用する。
- インターネット経由での機器への直接アクセスを遮断する。
- アクセス制御と認証を強化する。
- これらの機器またはそのプロトコルを標的とする異常な活動を監視する。
各機関は警告の対象をSiemens製品だけに限定せず、すべてのPLCの所有者および運用者に対し、機器や産業システムのリスクを低減するため、適切な緩和策を実施するよう推奨した。