パスワード使い回しや「Windows 7」使用、不正侵入を招いた水道システム管理の実情：この頃、セキュリティ界隈で（2/2 ページ）

[鈴木聖子，ITmedia]

　セキュリティジャーナリストのブライアン・クレブス氏が運営する「Krebs on Security」によると、TwitterやRedditなどのSNSを検索すれば、電力や水道、下水、製造工場などを遠隔操作するリモート管理画面にアクセスできたことを証明する投稿がいくらでも見つかるという。

Krebs on Security

　クレブス氏は今回の事件について、「恐らく未熟な侵入者がオールズマーの水道システムにリモートアクセスするための認証情報を何らかの方法で知り、自分の行動をほとんど隠すことなく、まず見過ごされないほど大幅な設定変更を試みた」と推測する。

　では、もっと高度な本格攻撃が仕掛けられた場合でも察知して阻止できるのか。オールズマーは人口約1万5000人の小さな自治体だった。Krebs on Securityにコメントを寄せた専門家によれば、全米には約5万4000もの水道システムがあり、その大多数が5万人以下の住民を対象にしている。大半は遠隔管理される無人施設で、年中無休で24時間IT監視ができる態勢はなく、不正侵入や危険な設定の変更などを検知してアラートを出せるセキュリティシステムも配備されていないという。

　「水道施設の運営ではやるべきことがあまりに多く、現状の改善に費やせる時間はほとんどない。それがリモートアクセス側に及ぶこともあり、リモートアクセスのセキュリティ対策や2段階認証の設定といった対策ができるIT担当者がいない場合もある」（マサチューセッツ州水資源局の管理コンサルタント）

　そうした実情は米国に限ったことではない。「サイバーセキュリティ問題に対する認識が不十分なだけでなく、予算が不十分なことにも原因がある。これは米国にとどまらず、ほかの国でも同じような状態だ」とポーランドCERTの専門家は言う。

　報道によると、米国土安全保障省のサイバーセキュリティ機関CISA長官だったクリス・クレブス氏は10日に米下院の委員会で、「オールズマーは恐らく例外ではなく常態だ」と証言した。「これは彼らの過失ではない。こうした自治体はセキュリティ対策のためのリソースが不十分で、自分たちの施設を守るために必要な収益を確保できていない」とクレブス氏は訴える。

　CISAは今回の事件を受け、TeamViewerのような遠隔操作ソフトウェアを使う場合の対策の徹底を促すとともに、サポートが終了して脆弱性も修正されないWindows 7は、サポートが継続しているWindows 10に更新するよう改めて呼びかけている。