米国の連邦サイバー当局であるCISAが、2026年7月に全米で100以上の水道システムがハッカーの標的になったことを確認したと報じられています。重要インフラ、とりわけ生活に直結する「水」を狙うサイバー攻撃は、海外の出来事に見えて、日本の自治体や水道事業者にとっても極めて重要な警鐘です。
米連邦サイバー機関の警告は、米国全土の重要な水道システムを標的にした、イランの関与が疑われるサイバー攻撃の波が広がるなかで発せられた。
CISAは、7月中に米国の100以上の水道システムがハッカーの標的になったことを確認した。
水道インフラが「サイバー戦」の標的になる時代
今回のニュースで注目すべき点は、攻撃対象が金融機関や大手IT企業ではなく、水道システムだったことです。水道、電力、ガス、交通、医療といった重要インフラは、停止すれば市民生活に直接影響します。そのため、攻撃者にとっては社会的混乱を引き起こしやすい“効果の大きい標的”になっています。
特に水道施設では、監視制御システム、いわゆるOT（Operational Technology）やSCADAシステムが使われています。これらはもともとインターネット接続を前提に設計されていない古い設備も多く、セキュリティ更新や監視体制が十分でない場合があります。ITシステムの侵害にとどまらず、薬品注入量やポンプ制御などに影響が及べば、現実世界の安全に直結するリスクになります。
日本の自治体・水道事業者にも迫る同じ課題
日本でも、水道事業は多くの場合、自治体や広域水道企業団が担っています。人口減少による収益低下、老朽化設備の更新、人材不足といった課題を抱えるなかで、サイバーセキュリティ対策まで十分に予算や人員を割けているとは限りません。
近年、日本でも自治体や医療機関、製造業を狙ったランサムウェア被害が相次いでいます。これまでは情報漏えいや業務停止が主な焦点でしたが、今後は上下水道、発電所、交通管制など、社会基盤そのものを狙う攻撃が増える可能性があります。
「小規模だから狙われない」は通用しない
重要なのは、攻撃者が必ずしも大都市や大規模施設だけを狙うわけではないという点です。セキュリティが弱い地方の小規模システムを踏み台にしたり、社会不安を生む目的であえて地域インフラを狙ったりするケースも考えられます。
日本の水道インフラでも、遠隔監視、クラウド管理、委託業者による保守接続など、利便性向上のためにネットワーク化が進んでいます。これは運用効率を高める一方で、外部から侵入される経路を増やすことにもつながります。
今後必要になるのは「IT部門任せ」にしない防御体制
水道インフラのサイバー防御では、単にウイルス対策ソフトを入れるだけでは不十分です。施設の運用部門、自治体の情報システム部門、委託先ベンダー、国の監督機関が連携し、攻撃を受ける前提で備える必要があります。
具体的には、外部接続の棚卸し、管理者パスワードの強化、多要素認証の導入、古い機器の更新、異常操作の監視、インシデント発生時の手順整備などが求められます。また、復旧訓練や机上演習を定期的に行い、「もし水道監視システムが停止したら誰が何をするのか」を明確にしておくことも重要です。
日本企業にも広がるビジネスチャンス
一方で、この分野は日本のセキュリティ企業、通信事業者、制御システムメーカーにとって大きな市場機会にもなります。OTセキュリティ、ゼロトラスト、重要インフラ向けSOC、脆弱性診断、サプライチェーン管理などの需要は今後さらに高まるでしょう。
米国で水道システムが大規模に標的となった今回の報道は、サイバー攻撃がもはや画面の中だけの問題ではなく、蛇口から出る水の安全にも関わる時代に入ったことを示しています。日本でも、重要インフラを守るための投資と制度整備を急ぐ必要があります。
引用元: CISA confirms hackers targeted over 100 US water systems during July
