水道・電力網が標的に：イランのサイバー攻撃が示す新たな戦場

FBI・CISAなど米6機関が緊急警告。イラン系APTグループが米国の重要インフラのPLCを標的にサイバー攻撃を実施。水処理施設やエネルギー施設が被害を受け、日本の社会インフラへの示唆も大きい。

蛇口をひねれば水が出る。スイッチを押せば電気がつく。その「当たり前」を、トースター大の小さな機械が支えている。そして今、その機械が戦場になっている。

何が起きているのか

2026年4月8日、米国のFBI・サイバーセキュリティ・インフラセキュリティ庁（CISA）・国家安全保障局（NSA）・環境保護庁（EPA）・エネルギー省・米サイバー軍の6機関が連名で緊急勧告を発表しました。イラン政府と関連するAPT（高度持続的脅威）グループが、米国の重要インフラに設置されたPLC（プログラマブル・ロジック・コントローラー）を標的にサイバー攻撃を行っているというものです。

PLCとは何か。工場、水処理センター、石油精製所などの産業施設に設置される制御機器で、コンピューターと物理的な機械設備をつなぐ「橋渡し役」です。ポンプを動かす、バルブを開閉する、温度を調整する——人間の代わりに無数の物理的プロセスを自動制御しています。目立たない存在ですが、現代社会のライフラインを文字通り「動かしている」装置です。

勧告によれば、少なくとも2026年3月以降、このAPTグループは政府施設・廃水処理システム・エネルギーセクターにまたがる複数のPLCを侵害し、「一部の被害組織では業務の中断と経済的損失が発生した」と明記されています。攻撃の規模や具体的な被害額は現時点で非公表ですが、6機関が同時に「緊急」という言葉を使って警告を出したこと自体が、事態の深刻さを物語っています。

なぜ今、なぜPLCなのか

タイミングは偶然ではありません。米国とイランの関係は、核合意交渉の決裂や中東情勢の緊張を背景に、2025年後半から急速に悪化しています。勧告自体も「米国との継続的な戦争への対応として」と攻撃の動機を示唆しており、これはもはや金銭目的のサイバー犯罪ではなく、国家間の地政学的対立がサイバー空間に持ち込まれた「インフラ戦争」の様相を呈しています。

なぜPLCが狙われるのか。理由は三つあります。第一に、PLCは多くの場合、遠隔地に設置されており、物理的な監視が行き届きにくい。第二に、古い機器では認証機能が脆弱で、インターネットに直接接続されているケースも少なくない。第三に、そして最も重要なことですが、PLCへの攻撃は「デジタルの被害」にとどまらず、ポンプの停止や化学物質の誤注入といった物理的な被害に直結するのです。

広告掲載について

[email protected]

2021年にフロリダ州の水処理施設でPLCが不正操作され、水酸化ナトリウムの濃度が危険なレベルまで引き上げられそうになった事件を覚えているでしょうか。あの事件は幸い未然に防がれましたが、今回はすでに「業務の中断と経済的損失」が現実のものとなっています。

日本社会への示唆

「これはアメリカの話」と思うのは早計です。日本の重要インフラも、同様の脆弱性を抱えています。

日本の水道システム、電力網、鉄道制御システムには、老朽化したPLCや産業制御システム（ICS）が広く使われています。経済産業省は2023年以降、重要インフラのサイバーセキュリティ対策強化を進めていますが、地方の中小自治体が管理する水道施設や、老朽化した工場設備では、セキュリティ更新が追いついていないのが現状です。

さらに日本固有の課題があります。少子高齢化による技術者不足です。PLCを含む産業制御システムの専門知識を持つエンジニアは慢性的に不足しており、セキュリティパッチの適用や設定変更さえ、人手不足から後回しになりがちです。自動化を進めれば進めるほど、その自動化を支えるシステムへの攻撃が社会全体に与えるダメージは大きくなる——これは日本社会が直面するパラドックスです。

トヨタや日立のような大企業は独自のセキュリティ体制を整えていますが、そのサプライチェーンを構成する中小企業、あるいは地域の公共インフラを管理する自治体は、どこまで備えができているでしょうか。

各ステークホルダーの視点

政府・安全保障当局の視点から見れば、今回の事案は「サイバー攻撃がもはや情報窃取ではなく、物理的インフラの破壊を目的とした武器になった」という認識を改めて強化するものです。米国が6機関合同で緊急勧告を出したのは、単なる情報共有以上の意味があります——民間事業者に対して「今すぐ行動せよ」という強いメッセージです。

インフラ事業者の視点は複雑です。PLCのセキュリティ強化には多大なコストと時間がかかります。特に、稼働中のシステムにパッチを当てることは、工場ラインや水処理プロセスの一時停止を意味する場合があり、「セキュリティのために業務を止める」という判断は容易ではありません。

一般市民の視点では、この問題はほとんど見えません。水が出なくなるまで、電気が止まるまで、PLCの存在すら知らない人が大半です。しかしだからこそ、インフラのサイバーセキュリティは「専門家だけの問題」ではなく、民主主義社会全体で議論されるべきテーマになりつつあります。