【ITニュース解説】OT Security Weekly DACH, KW 43/2026: Remote Access & Siemens PLCs

今回のニュースは、工場や発電所といった実際の設備を動かすための「OT（Operational Technology）」という分野のサイバーセキュリティに関する報告である。ドイツ、オーストリア、スイスのDACH地域では、このOTセキュリティにおける脅威レベルが非常に高い状態が続いていると警告されている。特に、遠隔地からシステムにアクセスする「リモートアクセス」の仕組みや、ネットワークの端に位置する「エッジデバイス」と呼ばれる機器が、サイバー攻撃者から狙われやすいという点が強調されている。

まず、非常に危険な脅威として、「BeyondTrust Remote Support」というリモートアクセスソフトウェアに「ゼロデイ脆弱性」が見つかったことが報じられている。ゼロデイ脆弱性とは、ソフトウェア開発元がまだ把握しておらず、対策が提供されていない状態のセキュリティ上の欠陥を指す。この場合、脆弱性が公にされる前に、すでに攻撃者によって悪用されていたという点が非常に深刻である。攻撃者は、中国に関係する偵察活動を行うグループと見られており、この脆弱性を利用して企業システムへの不正アクセスを試みた。これに対する対策としては、もし自社でこのリモートアクセスツールを使っている場合、すぐに修正プログラム（パッチ）を適用することが求められる。特に古いバージョンの場合は、まず新しいバージョンにアップグレードしてからパッチを当てなければならない。パッチを適用した後も、システムがすでに攻撃によって侵害されていないかを徹底的に確認する必要がある。もし侵害が確認されたり、疑わしい兆候が見つかったりした場合は、その証拠を保全し、該当するシステムをネットワークから隔離し、クリーンな状態からシステムを再構築することが推奨される。また、OTシステムにアクセスするために保存されているパスワードなどの認証情報はすべて変更し、攻撃の痕跡（IoC: Indicator of Compromise）がないか詳細に調査することが極めて重要である。この一連の対策は、産業制御システムのセキュリティ指針である「セキュアなリモートアクセス」の原則に合致する。

次に、工場などで機械の自動制御に使われる重要な装置、「PLC（Programmable Logic Controller）」であるシーメンス社製の「SIMATIC S7-1500」と「ET 200SP」のWebサーバーに脆弱性が発見されたという報告もある。PLCは、生産ラインのロボットや機械などをプログラムに従って動かす役割を担うコンピュータのようなもので、そのWebサーバー機能は、設定の変更や稼働状況の監視などに利用される。この脆弱性を攻撃者に悪用されると、正規のユーザーがログインしているのと同じ権限で、PLCの操作を実行されてしまう可能性がある。これは、工場全体の生産ラインが停止したり、誤動作を引き起こしたり、製品の品質に悪影響が出たりする恐れがあり、非常に深刻な事態につながりかねない。シーメンス社は現在、この問題に対する修正プログラムの開発を進めているが、それまでの間も対策を講じる必要がある。具体的には、もしPLCのWebサーバー機能が不要であれば、すぐにその機能を無効化するのが最も良い方法だ。もし機能が必要な場合でも、会社のネットワークを守る「ファイアウォール」という仕組みを使って、Webサーバーにアクセスできるコンピュータを、工場内のエンジニアリングネットワークに限定するべきである。さらに、PLCに設定ファイルをアップロードする際には、必ず信頼できる、安全が確認されたファイルのみを使用するよう、運用チームに徹底することが求められる。これは「防御可能なアーキテクチャ」というセキュリティの考え方に基づく対策である。

また、「SafePayランサムウェア」という種類のマルウェアに関する警告も出されている。ランサムウェアとは、コンピュータシステム内のデータを暗号化し、その復元と引き換えに金銭（身代金）を要求する悪質なソフトウェアである。このランサムウェアは、電力、水道、交通などの社会インフラを支える重要な組織を狙って攻撃を行ってきた。対策としては、まず、会社のネットワークの出入り口を守るファイアウォールや、社外から安全に社内ネットワークに接続するための「VPN（Virtual Private Network）」、そしてデータのバックアップに使われる「Veeamサーバー」などに、報告されている脆弱性がないかを確認し、もしあればすぐに修正プログラムを適用することが重要である。さらに、VPNを使って外部から社内システムにアクセスする際には、必ず「MFA（多要素認証）」、つまりパスワードだけでなく、スマートフォンに送られる一時的なコードなどを組み合わせて本人確認を行う仕組みを導入し、徹底することが求められる。そして、万が一のシステム障害やサイバー攻撃に備えて、OTシステムに関する重要なデータは、ネットワークから物理的に切り離された「オフラインバックアップ」として保存し、実際にそのバックアップからシステムを復元できるかを定期的にテストしておくことが非常に大切である。これは、「リスクベースの脆弱性管理」というセキュリティの考え方に沿った対策と言える。

さらに、シーメンス社が提供するソフトウェアをダウンロード・管理する「Siemens Software Center」が、悪質なマルウェア「ClickFix」の配布に悪用されたケースも報告されている。攻撃者は、あたかも正規のソフトウェア更新であるかのように見せかけ、古い正規のシーメンスソフトウェアと、それに不正なコードを仕込んだファイルを「ClickFix」というおとりの手法で、インストーラー形式（MSI）として配布した。もしユーザーがこのおとりに騙されてClickFixを実行してしまうと、システムが危険にさらされてしまう。このような攻撃を防ぐためには、Siemens Software Center自体を常に最新のバージョンに保つことが不可欠だ。また、Windows PCやエンジニアリング用PC上で、ClickFixやMSI形式のプログラムの不審な実行がないか、あるいは正規のインストーラーであるmsiexec.exeが通常とは異なる場所からSiemensSoftwareCenter.exeを起動していないかなどを監視し、検出する対策が求められる。不審な活動の兆候が見つかった場合は、ベンダーが公開している公式の警告情報と照らし合わせ、それが本当に悪質なものであれば、ファイアウォールやプロキシサーバーで通信をブロックするなどの対処を行うべきである。これは「ICSネットワークの可視化と監視」というセキュリティの原則に則った行動である。

その他にも、フランスでは冷蔵庫の制御システムがサイバー攻撃を受けた事件も報告されており、これは食品の生産工場や冷蔵倉庫などにとって非常に身近で、かつ深刻な脅威となる可能性がある。特に、インターネットに直接つながっている古いタイプの制御システムや、適切にメンテナンスされていない遠隔監視モジュールが危険にさらされやすい。このようなリスクは、冷蔵倉庫や冷凍食品倉庫、乳製品工場、ビール醸造所など、幅広い分野に影響を及ぼす可能性がある。対策としては、まず自社の冷蔵システムのリモートアクセスがどのように行われているか、インターネットから直接アクセス可能なコントローラーがないかをサービスプロバイダーに確認し、直接のアクセス経路は閉鎖すべきだ。そして、VPNとMFAを組み合わせた、より安全なリモートアクセス経路に置き換える必要がある。また、もしDanfoss社製のシステムを使用している場合は、「Strict Security Mode」という厳格なセキュリティ設定を有効にし、工場出荷時のままのパスワードは必ず変更すること。そして、もはやアップデートが提供されないような古い機器は、計画的に新しい、安全なものに交換していくことが重要だ。これは前述のリモートアクセスに関する対策と同様に「セキュアなリモートアクセス」の確保を目指すものだ。

これらの脅威は、各産業セクターに具体的な影響を与える。例えば、食品・飲料生産の現場では、冷蔵庫制御システムへの攻撃が最も懸念される。もし大規模な顧客向けの出荷が停止するような事態になった場合に備え、手動でのオーダー処理方法や、新鮮な商品を別のルートで配送するための計画をインシデント対応計画に盛り込むべきだ。また、電子メールやオンラインポータルに依存しない顧客との連絡手段を確保すること、レシピデータや製造実行システム（MES）データのオフラインバックアップを準備し、その復元テストを行うことも重要になる。機械メーカーにとっては、自社が製造・販売した製品、特にS7-1500/ET 200SPのPLCにWebサーバー機能が有効になっている場合、そのセキュリティ対策と顧客への情報提供が求められる。不要な場合はWebサーバーを無効化し、顧客にはセキュアな運用方法に関する短い注意喚起を送るべきだ。また、自社で顧客の機器を遠隔保守するためにBeyondTrust製品を使用している場合は、そのパッチ適用、侵害確認、顧客のOTシステムに関する保存済み認証情報のローテーションを行う必要がある。サービス技術者が共有の管理者パスワードを使うのではなく、個人に紐づけられた、期間限定で二段階認証（2FA）を設定したアカウントを使用するなどの運用改善も必要である。

これらの状況を踏まえ、多くの対策は「すぐに」実行すべきとされている。BeyondTrust Remote Supportのパッチ適用と侵害確認、S7-1500/ET 200SPのWebサーバー無効化またはアクセス制限、ClickFixマルウェアの検出とSiemens Software Centerの更新、冷蔵システムの直接インターネットアクセス遮断とVPN+MFAへの移行など、具体的な行動が挙げられている。さらに、数ヶ月以内には、VPNやエッジデバイスの脆弱性チェック、すべてのリモートアクセスへのMFA強制、オフラインバックアップの復元テストなど、より広範な対策を進めるべきだとされている。これらの対策は、サイバー攻撃から産業システムを守り、安定した社会インフラの運用を維持するために、システムエンジニアを目指すあなたが今後取り組むべき非常に重要な課題であると言える。