【ITニュース解説】A First-Hour Playbook for a Refrigeration Controller Alert

多くのITニュースでは、サーバーがハッキングされた際の対応策が話題になることが多い。しかし、今回のニュースは、少し変わった、しかし非常に重要なサイバー攻撃の事例について解説している。それは、スーパーマーケットなどで使われる「冷蔵庫の制御システム」が攻撃された際、どのように対応すべきかという話だ。一般的にシステムエンジニアが学ぶサイバーセキュリティは、パソコンやサーバーといったIT機器が中心だが、工場やビル、交通システムなど、物理的な設備を制御するシステム（これをOT、運用技術と呼ぶ）も、近年サイバー攻撃の標的になっている。今回の冷蔵庫の制御システムも、このOTの一つであり、ITシステムとは異なる独自の対応が求められることが示されている。

インシデント発生後、最初の1時間で最も重要なのは、むやみに手を加える前に、何が起こっているのか、何が影響を受けているのかを正確に把握することだ。具体的には、どのメーカー（例えばDanfoss、Copeland、Dixellなど）の、どのモデルで、どのバージョンのファームウェア（機器の基本的な制御プログラム）が動いているコントローラーが影響を受けているのかを特定する。これらの情報は、物理的な設備に触れることなく、ネットワーク上の情報を参照したり、既存のIT資産管理情報から確認したりすることが可能だ。ITシステムであれば、問題のサーバーをネットワークから切り離すことが真っ先に考えられるかもしれない。しかし、冷蔵庫のコントローラーをネットワークから切り離すと、その冷蔵庫の温度制御自体ができなくなってしまう可能性がある。もし予備の制御機能がなければ、中の商品が駄目になってしまうだろう。そのため、システムのセキュリティ担当者だけでなく、施設の設備を管理する担当者も早い段階から巻き込み、対応を検討することが不可欠となる。これは、OTシステム特有の考慮事項であり、ITシステムではあまり意識されない点である。

次の段階として、インシデント発生後1時間から3時間の間には、攻撃経路を遮断する作業に入る。CERT-FR（フランスの政府機関のサイバーセキュリティ専門チーム）は、影響を受けたコントローラーが直接インターネットに接続されている場合、その接続をすぐに遮断するよう指示している。これは、外部からの攻撃者がこれ以上システムにアクセスできないようにするための、最も迅速で効果的な方法だ。ネットワークの境界部分で、攻撃者が利用している可能性のある通信経路を遮断することで、攻撃の影響拡大を最小限に抑えることができる。この段階では、一時的にIPアドレス（インターネット上の住所のようなもの）でアクセスを制限することも許容されるが、それはあくまで緊急措置であり、恒久的な解決策ではない。IPアドレスは変更される可能性があるため、これに依存したセキュリティは脆弱だ。将来的には、VPN（Virtual Private Network：インターネット上に安全な仮想的な専用回線を構築する技術）のような、より安全な仕組みを通してのみリモートアクセスを許可するよう、ネットワーク構成を再設計する必要がある。これにより、必要なリモートアクセスは維持しつつ、安全性を確保することが可能になる。

インシデント発生後3時間から24時間の間には、攻撃者がどのような意図で、どのような手口を使ったのかを詳しく調査する。今回の事例では、一般的なサイバー攻撃でよく見られる「データの窃盗」ではなく、「制御モードの操作」が主な攻撃内容だったと報告されている。これは、ITシステムにおけるデータ漏洩とは異なる被害形態であり、物理的な設備やその運用に直接的な影響を与えるものだ。具体的には、攻撃者は冷蔵庫を長時間「デフロストモード」（霜取りモード）のままにすることで、冷蔵庫内の温度が必要以上に上昇し、中の食品が傷む可能性があった。このような不自然な操作は、通常のアラームを意図的に遅延させる効果もあったという。コントローラーのログ（操作履歴）を確認し、通常の運用スケジュールとは異なるモード変更、不自然に消されたアラーム、あるいは温度閾値（上限・下限）が不自然に広げられた設定変更などがないかを入念にチェックする必要がある。これらの異常なパターンを見つけ出すことが、攻撃の痕跡を特定する鍵となる。この種の攻撃が見過ごされると、甚大な被害につながる。実際、フランスの二つのスーパーマーケットでは、この攻撃によって合計27万ユーロ（日本円で約4000万円）もの損失が発生したと報じられている。これは、異常の兆候を見逃すことのコストが非常に大きいことを示している。

インシデント発生後1日から1週間かけて行うのは、根本的な解決策の実施だ。もし攻撃を受けたデバイスが「サポート終了（End-of-Life）」、つまりメーカーによる更新やサポートが打ち切られている古いデバイスだった場合、単に設定を初期化する「ファクトリーリセット」だけでは不十分だ。ファクトリーリセットでは、デバイスが本来持っている脆弱性が解消されるわけではないため、CERT-FRは、そのようなデバイスは根本的な脆弱性を抱えたままであり、再び攻撃される可能性が高いと警告している。真の解決策は、脆弱なデバイスを新しいものに交換するか、あるいは完全にネットワークから隔離し、外部からのアクセスを一切遮断することだ。これにより、攻撃経路を恒久的に断ち切ることが可能となる。さらに、対策が適切に施されたかを確認するために、ZoomEyeのような外部のインターネット検索エンジン（特定のデバイスやサービスを探し出すためのもの）を使って、まだ脆弱なデバイスがインターネット上に公開されていないかを客観的にチェックすることも重要になる。これは、自社のシステムだけでなく、インターネット全体から見て、脆弱な状態のデバイスが残っていないかを確認する網羅的なアプローチである。

今回の事例で示された一連の対策は、単なる特定のマルウェアの「シグネチャ」（特徴的なパターン）を探すようなものではない。これらは、ネットワークやプロセスの制御に関する、より普遍的な原則に基づいたステップであり、攻撃者が誰であるか（attribution）が判明するのを待たずに実施できるものだ。システムエンジニアとして、このようなOTシステムにおけるサイバーセキュリティの重要性と、迅速かつ適切な初動対応の考え方を理解しておくことは、これからのキャリアにおいて非常に役立つだろう。ITシステムとOTシステムでは、インシデント対応の優先順位や考慮すべき点が異なることを認識し、幅広い知識を身につけることが求められる。