産業制御システム×水インフラ

アメリカのCISA（サイバーセキュリティ・インフラセキュリティ庁）が7月30日に、上下水道事業者向けの注意喚起を出していました。水処理の制御に使われるPLC（プログラマブル・ロジック・コントローラ＝現場の機器を自動で動かす制御装置）を狙う動きが著しく増えている、インターネットに直接つながっているPLCはできるだけ早く外してほしい、という内容です。

被害について「煮沸勧告と、手動運転の継続をもたらしている」と書かれています。

煮沸勧告とは、水道事業者が利用者に「飲む前に念のため煮沸してください」と呼びかける通知です。水が汚れたと確認できたときだけでなく、水圧が下がるなどして安全だと言い切れなくなったときにも、安全側に倒して出されます。

CISAが書いているのはこの2つで、水質そのものがどうなったかは書かれていません。攻撃側はパスワードを変えて運転員を締め出し、IPアドレスを変えてPLCを切り離す。その結果、自動で回っていたものを人の手で回し続けることになった、という書き方です。

水が汚された、とは書かれていない。ただ、そのまま飲んでくださいとは言えない状態にはなった、ということでしょう。

もうひとつ気になったのが、次の一節でした。成熟したセキュリティ体制を持つ水道事業者であっても、外部との接続を検証してほしい。今回の標的には、運転員や事業者、システムインテグレーターが設置した携帯回線モデムが含まれていて、それらは文書化されておらず、通常の攻撃面の調査にも入っていない可能性がある、と。

台帳に載っていない接続が、そのまま入り口になっている、ということだと読みました。

報道では、少なくとも12の州で侵入の可能性が報告されていて、いまのところ水の供給や下水処理に広範な支障は出ていないとされています（攻撃主体は公式には確認されていません）。

水は、環境の文脈では「資源」の側で語られることが多いと思います。ただ、実際に安定して届くかどうかは、いま、制御系が安全に動いているかどうかにも左右されている。デジタル化は漏水削減にもエネルギー最適化にも効くので、サステナビリティの施策として進みます。その同じ工事が、攻撃面を広げてもいる。

自社や取引先の拠点が、どの水道事業体に支えられているか。これまで水量と水質で答えてきた問いに、「どれだけ安全に運転されているか」が加わってきているのかもしれません。

🔗 CISA 注意喚起（2026年7月30日）: https://www.cisa.gov/news-events/alerts/2026/07/30/cisa-urges-water-and-wastewater-systems-sector-protect-ot-against-activity-targeting-plcs

🔗 少なくとも12州で報告（ABC News・2026年8月4日）: https://abcnews.com/US/12-states-face-cyberattacks-water-systems-sources/story?id=135348482