国家サイバー統括室（NCO）は水曜日、自治体の水道事業体向けに監視制御・データ取得（SCADA）の遠隔アクセスを強化する業界通達を出した。少なくとも11施設でログイン試行の集中があり、多くは東南アジアに登録されることが多いIPレンジからとみられる。

事業者が確認した動き

四国、九州、本州北部の事業体は、レガシーVPNコンセントレーター経由で露出したヒューマンマシンインターフェースへの認証試行の急増を報告した。化学薬品注入設定値の変更が成功した施設はないが、2理事会でポンプスケジュール用の技術者アカウントが一時ロックアウトされた。

NCO分析官はInfoHandleに、2021年フロリダ州オールズマー事件で攻撃者が一時的に苛性ソーダ目標を変更した破壊的な手口とは異なり、今回の通信は偵察に似ると語った。日本の影響施設は、国土交通省が改訂した水道セクター・セキュリティ指針の下で推進する集中ログで試行を検知した。

東南アジアレンジが目立った理由

IPの地理的位置は不完全で、攻撃者は地域のVPSを経由する。NCOの文書はそれでも理事会にVPNログと承認済み保守事業者リストの照合を求めた。マレーシアやベトナムのシステムインテグレーターが塩素注入テレメトリ更新を請け負う契約期間と試行が重なる例があった。

いずれの事業者も不正の疑いはかけられていない。通達は、法執行のレビューが終わるまで、侵害された請負認証情報が最も有力な説明だと強調した。

国土交通省2025年ルールとの結びつき

3月に確定した水道セキュリティ指針第2版は、OTネットワークの分離、遠隔保守の多要素認証、NCO立会いの卓上訓練を求める。分離未完了の施設は、シルバー週中に骨格体制でHMIがログインしっぱなしになりがちな時期、内向きRDPを完全停止するよう指示された。

NCOは接続5万件未満の事業体——日本の自治体事業者の多数——向けに10月まで無料のリモートレビューを提供する。大規模地域企業は今年春に立ち上がったWater ISAC Japan章へインジケータ共有を求められた。

休暇期の運用リスク

シルバー週の観光でリゾート町の需要は跳ね上がる。遠隔アクセスを止めると台風接近時の弁テストが遅れる恐れがある。NCOの妥協案は、ハードウェアトークン付きジャンプホストのみ許可し、画面セッションを後から監査用に記録する。

ポンプメーカーは古いPLCが現行TLSをサポートできない例があると述べ、国土交通省は制御スタック全体を替えず暗号トンネルを終端するゲートウェイ機器への補助金枠を用意している。

住民が知るべきこと

当局は試行中も飲料水の質センサーに異常はなく、強制サンプリングサイクルは継続し、指針改定後の二重管理を採る施設では注入変更は依然現地確認が必要だと強調した。

理事会には、深夜のSNS噂が水道の広報より速く広がるため、事前に公開声明の草稿を用意するよう念押しした。

次のステップ

NCOは11月、電力・鉄道と並行するSCADAロックアウトを想定した横断訓練を行う。通達を無視する事業体は2026年度申請の国土交通省災害耐性助成の資格を失う可能性がある。

ベンダー・インテグレーターの反応

日本向けの主要SCADAベンダーは今週、エンジニアリング用ノートPCのデフォルトアカウント無効化を顧客に再通知した。東南アジアのデリバリセンターを持つインテグレーター2社はInfoHandleに、VPN証明書をローテーションし、9月中の設定値変更は現地の日本人技術者を必須にし、塩素注入器の校正予定が遅れても構わないと語った。

地方水道理事会の業界団体は、サプライチェーン遅延でゲートウェイ納入が10月にずれたため補助金期限の延長を国土交通省に求めた。国土交通省はNCO通達に結びつく探索活動を文書化した理事会に30日延長を付与すると述べた。

海外水道との比較

オールズマー後のWaterISAC勧告は独立した安全PLCネットワークを強調した。日本の施設も2025年指針で同様の二重管理を採ったが、小規模理事会は資金が遅れている。NCO通達は攻撃が一致したからではなく、公開信頼が注入システムがインターネットから一瞬でも到達可能だと思われたときに急速に損なわれるシナリオとしてオールズマーを引用している。

日本の細分化された水道理事会にとって、今回はタイミングの警報だ。東南アジアのIPタグは国家支援の証明ではないが、COVID期の緊急アクセスの名残で保守班が残したVPN抜け道を閉じる合図である。