要旨
「電力が止まる」「工場が止まる」「暖房が止まる」——これらはもはや物理的な設備故障だけの問題ではありません。2024年1月、ウクライナのリヴィウでは FrostyGoop マルウェアにより 600棟以上のアパートの暖房が約2日間停止しました[1]。同年、ロシアではモスクワの地下インフラを監視するセンサーネットワークが Fuxnet によって物理的に破壊されています[2]。Dragos の 2026 年版年次レポートによると、OT（Operational Technology）環境へのランサムウェア攻撃は前年比 87% 増加し、119の攻撃グループが世界 3,300 以上の産業組織を標的にしています[3]。本記事では、マイクログリッドを含む IoT・OT・ICS 環境の脆弱性の構造的な原因を技術的に解説し、防衛側がとるべき現実的なアプローチを論じます。
記事本文
1. IT・OT・ICS・IIoT——概念の整理から始める
まず用語の整理をします。この分野は略語が多く、混乱しやすい領域です。
| 略語 | 正式名称 | 意味 |
|---|---|---|
| IT | Information Technology | 情報技術。PC・サーバー・クラウドなど従来の情報システム |
| OT | Operational Technology | 物理的なプロセスを監視・制御する産業用システム全般 |
| ICS | Industrial Control Systems | 工場・電力・水道などの産業用制御システムの総称 |
| SCADA | Supervisory Control and Data Acquisition | 遠隔監視・制御システム（電力・水処理・石油パイプライン等） |
| PLC | Programmable Logic Controller | 製造ラインや設備を直接制御するコントローラー |
| RTU | Remote Terminal Unit | 遠隔地のセンサー・機器と制御センターを繋ぐ装置 |
| HMI | Human-Machine Interface | オペレーターが制御システムを操作する画面 |
| IIoT | Industrial IoT | 産業環境に展開された IoT センサー・デバイス群 |
| DER | Distributed Energy Resource | 分散型エネルギー資源（太陽光・蓄電池・EV等） |
IT と OT の最大の違いは「優先順位の違い」です[4]。
IT セキュリティの優先順位（CIA）：
機密性（Confidentiality）> 完全性（Integrity）> 可用性（Availability）
OT セキュリティの優先順位（AIC）：
可用性（Availability）> 完全性（Integrity）> 機密性（Confidentiality）
工場の生産ラインや電力グリッドを「止めること」は許されません。セキュリティパッチを当てるために「再起動する」という当然の IT 的対応が、OT 環境では壊滅的な損失を生む可能性があります。この優先順位の逆転が、OT セキュリティを困難にする本質的な原因です[5]。
2. マイクログリッドとは何か——なぜ攻撃者に狙われるのか
マイクログリッド（Microgrid）とは、太陽光発電・蓄電池・風力・EV・ガス発電機などの分散型エネルギー資源（DER）を組み合わせ、大規模電力グリッドから独立して、または連系して運用できる小規模エネルギーシステムです。病院・大学キャンパス・軍事施設・離島・工場などで普及が進んでいます。
マイクログリッドが攻撃者にとって魅力的な理由は明確です。
まず、制御系が高度に自動化・デジタル化されていることです。太陽光インバーター・蓄電池管理システム（BMS）・需給制御システム（EMS）・スマートメーターはすべてネットワーク接続されています。次に、エネルギー管理の重要性が高いことです。病院・データセンター・軍施設の停電は人命や国家安全に直結します。そして、IT/OT の融合が急速に進んでいることです。DER の遠隔管理クラウド・スマートメーターの通信経路・EV 充電インフラが、かつてはエアギャップ（物理的分離）で守られていた OT 環境に接続されました[6]。
3. ICS プロトコルの構造的脆弱性——「設計上の欠陥」が今も残る
OT 環境に使われるプロトコルの多くは、1970〜80 年代に「内部ネットワークは信頼できる」という前提で設計されました[7]。インターネットへの接続を想定していなかったため、セキュリティ機能が根本から欠如しています。
Modbus——最も攻撃されるプロトコル
1979 年に Modicon 社が開発した Modbus は、今日でも世界中の工場・電力施設・水処理場で稼働しています。
Modbus の構造的問題：
✗ 認証機能がない（誰でも接続してコマンドを送れる）
✗ 暗号化がない（通信内容が平文で盗聴可能）
✗ 送信元の検証がない（なりすましが容易）
✗ コマンドの正当性検証がない（不正コマンドをそのまま実行）
コマンド例：
FC01（Read Coils） → PLC のデジタル出力状態を読む
FC05（Write Single Coil） → PLC のデジタル出力を強制的に ON/OFF
FC06（Write Single Register）→ レジスタ値を上書き（モーター回転数・温度設定等）
FrostyGoop はこの FC06 を使い、暖房システムの温度設定を 0℃に書き換えた
Forescout の 2024 年観測では、全 OT 攻撃トラフィックの 40% が Modbus を標的にしており、2024 年 9〜10 月の 2 ヶ月間だけで 100 万台超の Modbus デバイスがインターネットから直接到達可能な状態にあったことが確認されています[8]。
DNP3——電力・水道で広く使われる
DNP3（Distributed Network Protocol 3）は電力・水道インフラで使われる通信プロトコルです。Modbus より後発のため、基本的な認証機能（Secure Authentication v5）が追加されていますが、多くの実装では有効化されていません[7]。
DNP3 の脆弱性：
✗ SAv5（セキュア認証）は多くの環境で無効
✗ 平文通信（デフォルト）
✗ 未認証のデータ変更・コマンド実行が可能
攻撃シナリオ：
1. 変電所の RTU に DNP3 経由で接続
2. ブレーカー開閉コマンドを送信
→ 特定エリアへの送電を意図的に停止
ICS プロトコルの比較
| プロトコル | 主な用途 | 認証 | 暗号化 | 攻撃割合 |
|---|---|---|---|---|
| Modbus TCP | 製造・電力・水処理 | なし | なし | 40% |
| Ethernet/IP | 製造ライン（Rockwell） | 限定的 | 限定的 | 28% |
| DNP3 | 電力・水道 SCADA | オプション（未適用多数） | オプション | 8% |
| Siemens S7 | 工場自動化 | ベンダー独自 | 限定的 | 8% |
| BACnet | ビルオートメーション | 限定的 | なし | 8% |
| KNX/IP | スマートビルディング | なし | なし | 4% |
4. 事例解説——現実に起きた OT 攻撃
事例1：FrostyGoop（2024年1月、ウクライナ）
Dragos が 2024 年 4 月に発見した FrostyGoop は、ICS 専用マルウェアとして世界で初めて Modbus TCP を直接武器化した、歴史上 9 番目の ICS マルウェアです[1]。
攻撃の経緯：
2023年4月頃 → 攻撃者がウクライナの地域暖房会社のネットワークに侵入
（MikroTik ルーターの既知脆弱性を経由）
2024年1月 → FrostyGoop を Modbus TCP ポート 502 で展開
→ ENCO 社製コントローラーに Modbus FC06 コマンドを送信
→ 暖房システムの温度設定を 0℃ に強制書き換え
結果：
・600 棟超のアパート（数千世帯）が約 2 日間暖房停止
・屋外気温は氷点下
・FrostyGoop は一般的なウイルス対策ソフトでは検知されなかった
・ロシア系攻撃グループ KAMACITE の関与が高確率で評価される[2]
この事案が示す最も重要な教訓は、一般的な IT 向けセキュリティツールで OT 専用マルウェアを検知できないという事実です。Modbus は「正規のプロトコル」として動作するため、通常のファイアウォールやアンチウイルスは攻撃を正常通信と区別できません[1]。
事例2：Fuxnet（2024年、ロシア）
ウクライナの親ハクティビスト集団「Blackjack」が、モスクワの地下インフラ管理会社 Moskollector に対して展開した Fuxnet は、センサーゲートウェイのファームウェアを上書きして物理的に機器を破壊しました[2]。
攻撃の特徴：
・デフォルト認証情報と貧弱なアクセス制御を悪用（基本的な衛生管理の失敗）
・ゲートウェイのフラッシュメモリを上書きして恒久的に使用不能に
・数千台の監視機器が一度に機能停止
・復旧には機器の物理的な交換が必要
教訓：
「Insecure by design（設計上の脆弱性）」を持つ機器は
ソフトウェアパッチで修正できない。
事例3：Colonial Pipeline（2021年）——IT から OT への横移動
2021 年 5 月の Colonial Pipeline ランサムウェア事件は、VPN の侵害をきっかけに IT ネットワークが侵害され、運営者が予防措置として OT システムをシャットダウンした事例です。
侵害の連鎖：
フィッシングメール → VPN 認証情報の窃取（漏洩済みパスワードリストから）
↓
IT ネットワークへの侵入
↓
請求システム・業務システムへのランサムウェア展開
↓
OT システムが影響を受けることを恐れ、運営者が予防的に OT をシャットダウン
↓
米国東海岸への石油パイプライン供給が 6 日間停止
↓
ガソリン不足・価格高騰・非常事態宣言
↓
約 4.4 百万ドルの身代金を支払い（一部回収）
根本原因：
・MFA（多要素認証）が VPN に設定されていなかった
・IT/OT が完全に分離されていなかった
5. IoT デバイスが OT 環境の弱点になる理由
マイクログリッドや工場環境に急増する IoT デバイスは、OT の攻撃面を劇的に拡大させています。Vectra AI の 2026 年版報告によれば、IoT 侵害の 60% がパッチ未適用のファームウェアに起因しています[4]。
IoT デバイスが脆弱な 5 つの構造的理由：
1. デフォルト認証情報の使い回し
→ 「admin/admin」「1234」がそのまま使用されているケースが多数
→ Fuxnet も Shodan で検索した後にデフォルト認証情報で侵入
2. ファームウェア更新の困難さ
→ 製造ラインや電力設備の再起動は停止リスクが高く、
パッチ適用が後回しになりやすい
→ ライフサイクルが 10〜25 年に及ぶ機器が珍しくない
3. エンドポイントセキュリティエージェントが使えない
→ リソース制約のある組み込み OS では
従来の EDR/AV エージェントを動かせない
4. セキュリティ設計の欠如
→ コスト優先で設計された機器は
セキュリティ機能が後付けか非搭載
5. 異種混在エコシステム
→ 数千メーカーの機器が混在し、
一元的なセキュリティ管理が困難
特にマイクログリッドで問題になるのがスマートインバーターとクラウド管理プラットフォームの組み合わせです。太陽光インバーター・蓄電池 BMS・EV 充電器はクラウド経由で遠隔管理されますが、このクラウド接続がエアギャップを完全に無効化します。2024 年に米国の研究者グループが実証したように、スマートインバーターへの協調攻撃は周波数変動によるグリッド不安定化を引き起こす可能性があります[9]。
6. 攻撃者が使う OT 専用ツールと手法
ペネトレーションテスターや Red Team が OT 環境の評価で使用するツールを把握することは、防衛設計の重要な前提です。
Modbusに対する攻撃コマンド例
# Modbus デバイスへの偵察（Kali Linux / Python）
# pip install pymodbus
from pymodbus.client import ModbusTcpClient
client = ModbusTcpClient('192.168.1.10', port=502)
client.connect()
# PLC のコイル状態を読み取る（偵察）
result = client.read_coils(address=0, count=16, slave=1)
print(result.bits)
# レジスタを読み取る（センサー値・設定値を確認）
result = client.read_holding_registers(address=0, count=10, slave=1)
print(result.registers)
# FrostyGoop が行ったのはこれ：温度設定レジスタへの書き込み
client.write_register(address=100, value=0, slave=1) # 温度を 0℃ に設定
Shodan を使った ICS デバイスの探索
# Shodan で公開されている Modbus デバイスを検索
shodan search "port:502" # Modbus TCP
shodan search "port:102 Siemens" # Siemens S7
shodan search "port:20000 DNP3" # DNP3
shodan search "product:BACnet port:47808" # BACnet
# 特定組織のデバイスを探す
shodan search "org:target-utility port:502"
MITRE ATT&CK for ICS——OT 専用の攻撃フレームワーク
MITRE は 2020 年、IT 向け ATT&CK とは別に ATT&CK for ICS を公開しています[10]。OT 環境特有の攻撃技術が体系化されており、防御設計の参照として不可欠です。
ATT&CK for ICS の代表的なテクニック：
T0826 Loss of Availability → サービス停止を引き起こす
T0831 Manipulation of Control → 制御コマンドの改ざん
T0836 Modify Parameter → センサー設定・閾値の変更
T0855 Unauthorized Command Message→ 不正コマンドの送信（FrostyGoop 相当）
T0880 Loss of Safety → 安全インターロックの無効化
T0885 Commonly Used Port → 正規プロトコルポートを使った隠蔽
7. 防衛側の視点——OT 環境特有の対策体系
IT セキュリティの延長で OT を守ることはできません。「止められない」環境での防衛は、IT とは根本的に異なるアプローチが必要です。
7-1. ネットワーク分離とゾーニング（PURDUE モデル）
IEC 62443 / PURDUE モデルに基づくゾーニング：
Level 5: エンタープライズ（ERP・メール）
↕ ファイアウォール
Level 4: サイト業務ネットワーク（MES・在庫管理）
↕ ファイアウォール + DMZ
Level 3.5: DMZ（データヒストリアン・リモートアクセスゲートウェイ）
↕ 一方向ゲートウェイ（データダイオード推奨）
Level 3: SCADA / 制御センター
↕ OT 専用ファイアウォール
Level 2: 監視・制御（HMI・EWS）
↕
Level 1: 制御層（PLC・RTU）
↕
Level 0: フィールドデバイス（センサー・アクチュエーター）
特に重要なのがデータダイオードの活用です。OT から IT へのデータ転送は物理的に一方向のみに制限し、IT から OT への通信経路を完全に遮断します。ヒストリアン（データ記録サーバー）がよい実装例です。
7-2. OT 専用ネットワーク監視（Passiveモニタリング）
OT 環境でのセキュリティ監視は、アクティブスキャンを避けたパッシブ監視が原則です。nmap のようなスキャンが PLC をクラッシュさせた事例があります。
OT 環境向けパッシブ監視ツール：
Dragos Platform → OT 専用の脅威検知・アセット管理
Claroty Platform → IT/OT 境界の可視化・異常検知
Nozomi Networks → OT/IoT 資産の自動検出・監視
Microsoft Defender → 最新版は OT 資産管理機能を追加
監視すべき Modbus の異常パターン：
・FC05/06 の異常な頻度（通常業務では少ない書き込みコマンド）
・未知の IP アドレスからの Modbus 接続
・業務時間外の制御コマンド
・正常値から外れたレジスタ書き込み値
7-3. 認証情報管理と最小権限
OT 環境での認証情報管理チェック：
□ PLC・RTU・HMI のデフォルト認証情報を変更しているか
□ ベンダーのリモートアクセスに専用の一時的なアカウントを使用しているか
□ エンジニアリングワークステーションに MFA を設定しているか
□ 産業用プロトコルに DNP3 SAv5 等の認証を有効化しているか
□ ベンダーのリモートアクセスは必要時のみ有効化し、使用後に無効化しているか
7-4. パッチ管理の現実的アプローチ
OT 環境では「即時パッチ適用」は現実的でないことが多いです。代替策として：
リスクベースのパッチ管理（OT 特有の考え方）：
1. 仮想パッチング（Virtual Patching）
→ 脆弱な機器の前段にプロキシ・ファイアウォールを置き、
既知の攻撃パターンをブロック
2. 計画的なメンテナンスウィンドウでの更新
→ 定期停止（年次メンテナンス）に合わせてパッチ適用
3. セグメンテーションによる影響局限化
→ 脆弱なレガシー機器を小さなネットワークセグメントに隔離
4. 補完的な監視の強化
→ パッチが当てられない期間は異常検知の閾値を下げる
8. 日本の規制・標準化動向
日本でも OT セキュリティへの対応が制度化されつつあります。
| 規制・ガイドライン | 内容 |
|---|---|
| 経産省「産業サイバーセキュリティ研究会」 | 重要インフラ向けの OT セキュリティガイドライン策定 |
| IEC 62443 | 産業オートメーション・制御システムのセキュリティ国際標準。日本でも JIS 化が進行中 |
| NIST SP 800-82 | OT セキュリティのガイドライン（ICS・SCADA・DCS 対応） |
| CISA CPG 2.0（2025年12月） | IT・IoT・OT のセキュリティ目標を初めて統合した米国政府ガイダンス[4] |
| 電力システム改革後の「電力情報通信特別委員会」 | スマートグリッド・DER 制御セキュリティへの対応 |
9. 防衛チェックリスト
【ネットワーク設計】
□ IT と OT ネットワークが物理的または論理的に分離されているか
□ DMZ にデータヒストリアンを配置し、OT→IT のデータフローを一方向に制限しているか
□ インターネットから直接到達可能な Modbus（port 502）・DNP3（port 20000）はないか
□ VPN にはMFA が設定されているか
【デバイス管理】
□ PLC・RTU・HMI・スマートメーターのデフォルト認証情報が変更されているか
□ OT ネットワーク上の全デバイスをインベントリとして把握しているか
□ ファームウェアの更新計画を持っているか（即時でなくても計画として）
【監視】
□ OT ネットワークのパッシブ監視を実施しているか（Claroty・Dragos・Nozomi 等）
□ Modbus FC05/06 の異常な書き込みを検知する仕組みがあるか
□ 業務時間外・未知 IP からの制御コマンドをアラートとして検知しているか
【インシデント対応】
□ OT インシデント発生時の物理的な手動操作手順が文書化されているか
□ IT と OT で連携したインシデントレスポンス計画があるか
□ Mitre ATT&CK for ICS を参照したシナリオ訓練を実施しているか
参考文献
[1] RH-ISAC. "FrostyGoop Leverages Modbus TCP to Exploit Sensitive OT Systems." July 27, 2024.
https://rhisac.org/threat-intelligence/frostygoop/
[2] Dragos. "Dragos 8th Annual OT Cybersecurity Year in Review." January 8, 2026.
https://www.dragos.com/blog/dragos-8th-annual-ot-cybersecurity-year-in-review-is-now-available
[3] マクニカ. "2025年版 OT サイバーセキュリティレポート〜地政学的緊張の中で進化する脅威と有効な防衛アプローチ〜." July 29, 2025.
https://www.macnica.co.jp/business/iot_security/columns/147936/
[4] Vectra AI. "2026年のIoTセキュリティ：脅威、リスク、およびベストプラクティス." February 12, 2026.
https://ja.vectra.ai/topics/iot-security
[5] Fortinet Japan. "OTセキュリティとは — オペレーショナルテクノロジーセキュリティ."
https://www.fortinet.com/jp/solutions/industries/scada-industrial-control-systems/what-is-ot-security
[6] SCADA Protocols. "SCADA Security: Complete Guide to Protecting Control Systems." April 2026.
https://scadaprotocols.com/scada-security-complete-guide/
[7] Berkeley EECS. "A Taxonomy of Cyber Attacks on SCADA Systems."
https://people.eecs.berkeley.edu/~adj/publications/paper-files/ZhuJosephSastry_SCADA_Attack_Taxonomy_FinalV.pdf
[8] Industrial Cyber. "Forescout 2024 Threat Report warns of intensifying cyber threats in 2025, as OT protocols increasingly targeted." January 28, 2025.
https://industrialcyber.co/reports/forescout-2024-threat-report-warns-of-intensifying-cyber-threats-in-2025-as-ot-protocols-increasingly-targeted/
[9] arXiv. "Cyberattack on the Microgrids Through Price Modification." 2020.
https://arxiv.org/pdf/2005.08757
[10] MITRE ATT&CK for ICS.
https://attack.mitre.org/matrices/ics/
[11] IPA 独立行政法人情報処理推進機構. "制御システムのセキュリティリスク分析ガイド."
https://www.ipa.go.jp/security/controlsystem/riskanalysis.html
[12] RIT Cyber Self Defense. "FrostyGoop: A Wake-Up Call for Regulating Critical Infrastructure." September 15, 2025.
https://ritcyberselfdefense.wordpress.com/2025/09/15/frostygoop-a-wake-up-call-for-regulating-critical-infrastructure/
[13] Guardian Security. "IoT/OTセキュリティの実装と管理." November 16, 2025.
https://guardian.jpn.com/security/devices/malware-infection/column/solutions/iot-ot-security/