2022年10月3日報道 日経新聞が専門会社と共同で基幹インフラ14業種の監視システムを調査したところ、877カ所でサイバー攻撃被害に遭うリスクが高いことが判明した、これは氷山の一角

2022年10月3日2時0分に日本経済新聞から下記趣旨の記事が、脆弱インフラのマップ付きでネット配信されていた。

【この記事のポイント】
・日経調査でサイバー攻撃に脆弱なインフラが多数判明
・排水制御システムが外部のネットにつながっている例も
・制御失えば甚大な被害も。高まるリスクに危機感薄く

 

水道や電力など日本の社会インフラのうち、少なくとも877カ所でサイバー攻撃の被害に遭うリスクが高いことが日本経済新聞の調べで分かった。

排水ポンプを止めて水害のリスクを上げたり、再生可能エネルギー施設の警報を切ったりできる。

基幹インフラの防護は経済安全保障政策の柱の一つ。
暮らしやビジネスに思わぬ影響を与えかねない。

国内で脆弱な監視システムが多数見つかった今回の調査結果について、高市早苗経済安全保障相が書面で日経新聞の質問に答えた。

高市氏は「サプライチェーン（供給網）全体でセキュリティーのレベルを上げることは喫緊の課題」と指摘した。

「経営者にサイバーセキュリティー対策にかかる費用や時間を『やむを得ないコスト』と考えるのではなく、『市場で高い評価を受けるための投資』と考えてもらう啓発活動が必要だ」とコメントした。

冠水被害の多さで知られる中部地方のある市街地。

地下に5年前に新設された排水ポンプは、サイバー攻撃により遠隔操作されるリスクがあった。

遠隔制御システムは、本来、自治体のネットワーク内での運用を推奨されていたが、このポンプは外部ネットワークに直接つないでいた。

接続できる端末を制限せず、ログイン時に指紋などを使う「2要素認証」も実装していなかった。

サイバー攻撃に成功すれば、排水ポンプを止めて冠水を起こしたり、ポンプをむりやり動かして故障させたりするリスクがある。

日経新聞が指摘したところ、自治体担当者は「危険性を十分に認識できていなかった」として、設定の変更を検討する考えを示した。

日経新聞は、セキュリティー企業のゼロゼロワン（東京・渋谷）と共同で、基幹インフラの監視システムを調査した。

外部ネットにつながっている機器を検索し、通信設定などを解析できるツールを用いた。

5月に成立した経済安全保障推進法で国が基幹インフラに定めた電気や水道など14業種を対象に、利用されている監視システムを抽出した。

中部の排水設備のように防御が脆弱な監視システムは、877カ所見つかった（8月時点）。

うち3分の2の579カ所が再エネ関連、240カ所が水道関連、残り58カ所が物流倉庫や陸上輸送管理のシステムなど陸運関連だった。

所在地が判明している175施設のうち、九州が最も多く43カ所、北海道の32カ所が続いた。

監視システムの開発企業によると、緊急時の警報操作のほか、水道の薬品濃度の変更など人命に直接関わる操作もできる場合もある。

再エネ設備では太陽光発電を止められる可能性があり、送電網にも影響を与えられる。

社会インフラに対するサイバー攻撃の脅威は高まっている。

ロシアによるウクライナ侵攻でも、停電や通信の一時停止を狙うサイバー攻撃が相次いだ。

9月6日に日本政府の関連サイトをサイバー攻撃したハッカー集団「キルネット」は、JCBや東京地下鉄（東京メトロ）など、インフラを支える企業を攻撃対象として名指しした。

今回調査で判明したインフラの「穴」は、氷山の一角だ。

監視システム以外にも、保守用のインターネット回線やVPN（仮想私設網）の脆弱性など、外部ネットとインフラをつなぐ通信システムにもサイバー攻撃リスクがあり、思わぬ形で被害が広がりかねない。

小規模なインフラでも、周辺に与える影響は大きい。

米フロリダ州では2021年、水処理システムへのサイバー攻撃で水酸化ナトリウム濃度が基準の約100倍まで引き上げられた。

直前で給水は止められたが、大規模テロにつながる恐れがあった。

インフラ設備のサイバー防衛では、パスワードの管理でもずさんさが目立つ。

九州の太陽光発電設備は、マニュアルで公開されている初期パスワードを監視システムにそのまま使っていた。

総務省は脆弱なインフラの監視システムを問題視し、注意喚起しているが、問題は解消されていない。

インフラ防衛に詳しい立命館大の上原哲太郎教授は、「総務省から担当省庁、メーカー、地方の販売代理店、インフラ事業者への伝達ラインが機能せず、問題の深刻さが伝わっていない」と指摘する。

手をこまぬいている間に、リスクはネットの現場で増幅し続けている。

サイバー安全保障に詳しい当局関係者は、「ここ2～3年、中国語やロシア語を話すハッカーがダークウェブ（闇サイト群）上で日本の脆弱なインフラ企業の情報を共有するケースが増えた」と指摘する。

地銀など小規模な金融機関などがターゲットだという。

「バックドア（システムへの侵入口）を仕込もうとしたり、システム内を探索したり、日本社会に混乱を引き起こす狙いに見える」

https://www.nikkei.com/article/DGXZQOUC151W10V10C22A8000000/?n_cid=NMAIL007_20221003_A&unlock=1　

 

 

 

 

2022/10/11 (Tue) 【情報管理不備】　ﾊﾟｿｺﾝ・ﾒｰﾙ等 Comment(0)