産業制御システムを狙うマルウェア「TRITON」、国家が関与した可能性

緊急停止システムを狙うTRITONは、安全対策の作動を阻止して、物理的な損害を生じさせ得るという点で、国家の関与が指摘される過去の攻撃と特徴が一致しているとFireEyeは分析する。

[鈴木聖子，ITmedia]

　セキュリティ企業の米FireEyeは12月14日、重要インフラ組織で産業制御装置の安全システム操作を狙ったマルウェアが仕掛けられる事案が発生したと報告した。狙われたのは工業工程を緊急停止させるシステムだったといい、国家が関与した可能性も指摘している。

　FireEyeでは今回発見したマルウェアを「TRITON」と命名。TRITONは、産業制御システムを手掛ける世界大手Schneider Electricの安全計装コントローラ「Triconex」に干渉する設計になっていたという。

TRITONは、産業制御システムを手掛ける世界大手Schneider Electricの安全計装コントローラ「Triconex」に干渉する設計になっていた（出典：FireEye）

　攻撃者はTriconexのエンジニアリングワークステーションにリモートからのアクセスを確立してTRITONを仕込み、コントローラのプログラムを改ざん。この過程で不具合が発生してコントローラが安全停止した。攻撃者は、物理的な損害を発生させる能力を開発する過程で、手違いによって停止装置を作動させてしまったとFireEyeは推測する。

　産業制御システムを狙うマルウェアは、2010年にイランに対して使われた「Stuxnet」や、2016年にウクライナに対して使われた「Industroyer」などの事例がある。

　TRITONは、安全対策の作動を阻止して物理的な損害を生じさせ得るという点で、過去のそうした攻撃と特徴が一致しているとFireEyeは分析。今回の事案はまだ準備段階だったと思われるが、長期的には物理的な損害を生じさせる目的があったと推測している。

FireEyeによるTRITONの報告

　TRITONに関与した組織などは、現時点で明らかになっていない。FireEyeによれば、世界各地で重要インフラに障害を発生させたり、システムを破壊したりする攻撃は、ロシア、イラン、北朝鮮、米国、イスラエルが実行している。