米国とイランの戦争に新たな戦線が生まれた。その戦線は水道管の中を通っている。フランスの報道によると、ここ数週間、イランの革命防衛隊との関連が疑われるハッカーらが、米国の約12州で水道の浄水・配水システムを標的にしてきた。この報道は、米当局者やセキュリティ研究者が説明してきた内容と一致する。侵入は稚拙で、そのほとんどは長期的な被害には至っていない。だが、そこが問題なのではない。問題は、それらの攻撃が生み出す圧力と、攻撃者が影響を及ぼそうとしているかもしれない選挙だと、アナリストらは指摘する。
最も目立った事件は先週、ジョージア州クレイトン郡で起きた。サイバー攻撃によって水道網の水圧が低下したのだ。当局は予防措置として、住民に水を沸騰させてから飲むよう呼びかけた。その後、危険はなかったことが判明し、混乱はごく軽微だったと説明された。しかし、この出来事は、小さなシステムへの小さな侵入がいかに大きな不安を引き起こし得るか、そして恐怖そのものがいかに攻撃の一部となるかを示した。アトランタの記者らは技術的な詳細を報じた。ハッカーらは、ポンプの起動と停止、水道水の塩素濃度の調整を行う小型コンピュータであるプログラマブルコントローラに到達したとみられる。そうした機器がインターネットに接続されていれば、標的になる。
ジョージア州だけではなかった。最初に攻撃を受けたのはミネソタ州で、7月下旬、1つの週末だけで30を超える地域水道システムが侵入を報告した。州史上最大の攻撃である。続いてミシガン州でも、9つのシステムが敵対的な活動を報告した。FBIは、少なくとも7州の水道事業者が事件を報告し、活動の一部は運用を低下させたと述べている。CyberAv3ngersとして知られるイラン関連グループを最初に名指ししたのはセキュリティ企業だった。同グループは、2023年のペンシルベニア州の水道当局を含め、米国の水道施設を攻撃した前歴があり、米国務省は、1000万ドルの懸賞金の提示を通じて、同グループとイランの軍高官との関連を指摘している。
ワシントンの対応は、安全保障関係者の想定とは異なるものだった。トランプ大統領は証拠を示さずにイラン関与説を退け、代わりにミネソタ州知事を無能だと非難し、知事が攻撃の背後にいることを示唆した。民主党のティム・ウォルズ知事はこれに対し、大統領は誰に責任があるのかを知っている、他の州も攻撃を受けている、サイバーセキュリティ機関への削減によって米国は無防備な状態に置かれた、と応じた。この応酬は、技術的な事件を政治的な問題に変えた。それはまさに、攻撃者が望んでいたことかもしれない。
より深い警鐘は、この事態を予見していた研究者たちから発せられている。2年前、ジョージア工科大学の教授は、自身のチームが脆弱なパスワードのプログラマブルコントローラ7000台に侵入した後、州内の水道会社に対し、自社のシステムに脆弱性があると警告していた。同教授は、このような稚拙な攻撃でさえサービスを低下させ得るという事実は、水道部門がいかに防御が不十分かを示していると述べた。同教授の主張によれば、ハッカーらは健康上の大惨事を引き起こそうとしているのではなく、不安定化を狙っている。大統領選挙の前に水質が悪化し、ネットワークが混乱すれば、政府は困難に直面する可能性があり、それが次期大統領の選択に影響を及ぼし得る。それがイラン側の狙いだと、同教授は述べた。攻撃は原始的かもしれない。しかし、その背後にある戦略は原始的ではない。
この手口は新しいものではなく、新しいのは規模だけだ。2021年には、ハッカーがフロリダ州オールズマーの浄水場に遠隔アクセスし、オペレーターが介入するまでの短時間、化学薬品の設定を変更した。2023年には、イランとの関連があるグループが、デフォルトのログイン認証情報のままインターネットに露出していた機器を悪用し、ペンシルベニア州の水道当局のシステムを改ざんした。これらは孤立した事件であり、警告として扱われた。今回の一連の攻撃は、少なくとも7州にわたる数十の自治体を襲っている。連邦政府の勧告は、攻撃の対象となっているハードウェア、すなわちロックウェル・オートメーションなどのメーカー製プログラマブルコントローラを名指しし、同じ手法が他のインターネット接続型の産業システムにも向けられ得ると警告している。水道部門は、研究者らが何年も前から言い続けてきたことを、州ごとに学びつつある。水道管は防御を想定して設計されたことは一度もなく、戦争はその水道管に到達した。
雅子 訳