自動タンクゲージシステムへのサイバー脅威に関する注意喚起とセキュリティ対策

解説

最近、米国の政府機関（CISA、FBIなど）が連携し、産業分野で広く利用されている自動タンクゲージ（ATG）システムを狙った悪意のサイバー活動が確認されています。このシステムの目的は、エネルギー、化学、食品、輸送などの重要インフラにおいて、燃料や液体レベル、温度、漏洩検知といった貯蔵タンクの状態を遠隔かつ自動的に監視することです。

これまでの活動では、攻撃者がインターネットに公開されているATGシステムに対し、認証情報を突破したり、不正なコマンド実行（OSの命令操作）やデータベースへの改ざん（SQLインジェクションなど）を行うことで、システムの制御権を奪取することが明らかになっています。これにより、タンクの設定情報やポンプの動作が人為的でない形で変更されたり、センサーデータ表示機能が妨害されたり、あるいはアラートシステム自体が無効化されるといった重大な事態を引き起こす可能性があります。

この脅威は単なる情報の窃取に留まらず、物理的な設備制御を介したオペレーションの中断や誤作動による環境・安全上のリスクを高めるため、所有者と運用者に対して、システムのインターネットへの直接公開の排除、強力なパスワードの設定、および多要素認証の実装など、厳格な防御策の実施が強く推奨されています。

これらの知見は、単一の脆弱性対応に留まらず、OT（制御システム）全般におけるセキュリティ衛生を意識した広範な対策が求められる状況を示しています。

ポイント

• 自動タンクゲージ（ATG）システムに対し、認証突破やコマンド実行による悪意のサイバー攻撃が確認されている。
• これらの攻撃は、物理的な設備の操作情報（レベル、ポンプ制御など）を改ざんし、重大な運用障害を引き起こす危険性がある。
• 対策として、システムのインターネットへの直接公開停止、強力なパスワード・多要素認証の徹底、パッチ適用とログ監視が緊急に必要である。

情シスへの影響

影響範囲（適用システム）

• 自動タンクゲージ（ATG）システム: エネルギー、化学、食品、輸送などインフラ系で利用される貯蔵タンクの状態を遠隔監視する制御システム。

• ネットワーク接続面: ATGシステムが外部インターネットに直接公開されている経路や、それに接続されている社内ネットワークセグメント。

  ### 潜在的な脅威と影響

• 不正アクセスによる設定変更の可能性（最も深刻）： 認証情報が突破されることで、オペレーター権限を持つかのように振る舞い、タンクの設定値（容量、製品識別子など）やポンプ制御を改ざんするリスクがあります。これにより、物理的な設備に誤作動やダメージを与える運用障害が発生しえます。

• 視覚情報・警告システムの妨害： アラート機能自体が停止させられると、漏洩や回路の故障といった環境的または物理的なハザードをオペレーターが検知できなくなり、事態が悪化するリスクがあります。

• 脆弱性の攻撃ベクトル： 攻撃者は、認証バイパス（デフォルトパスワード利用）、OSコマンド実行、SQLインジェクションなど複数の手法を用いてシステムの制御権を獲得しようと試みます。これはOTシステムにおける深刻なコンプライアンス・セキュリティ上の問題です。

初動確認ポイント

1. インターネット公開状況の確認: 組織内のどのATG関連デバイスが直接インターネットに露出しているか、そのポート（例: 8001, 9001, 10001など）を特定し、隔離または遮断できるかを確認する。

2. 認証情報の棚卸しと強化: ATGシステムや関連インターフェースに使用されている全ての管理者アカウントのパスワードがデフォルト設定でないか、かつ強力で一意なパスワードが適用され、多要素認証（MFA）が導入されているかを緊急に確認する。

3. ネットワーク監視ログの精査: 過去および現在のファイアウォールやアクセス制御リスト（ACL）のログを監視し、未知のIPアドレスからの接続試行や、通常とは異なるシステム設定値の変更履歴がないかを確認する。

4. 最小権限原則の適用確認: ATGシステムの管理インターフェースに対し、必要最低限のユーザーとポートのみがアクセスできるように制限できているかを再検証し、ネットワーク分離（セグメンテーション）を徹底する。

重要度

★★★★★

対象者

• セキュリティ担当者
• ネットワーク管理者

優先度

今すぐ対応