- About Trend Micro
- プレスリリース
- トレンドマイクロ、「製造業特有のサイバーセキュリティリスク」調査結果を発表
トレンドマイクロ、「製造業特有のサイバーセキュリティリスク」調査結果を発表
～産業制御システムに特化したハッキングツールが5,000円程度で販売～
2019年9月25日
トレンドマイクロ株式会社（本社：東京都渋谷区、代表取締役社長 兼 CEO：エバ・チェン 東証一部：4704、以下、トレンドマイクロ）は、リサーチペーパー「製造業特有のサイバーセキュリティリスク ～インダストリー4.0における脅威と対策～」を本日公開します。また今回の調査内容の概要を、IoTセキュリティに関する情報提供サイト「IoT Security Headlines」にて公開します。調査の概要は以下の通りです。
IoT Security Headlinesはこちら
1. 産業制御システムに特化したハッキングツールが5,000円程度でインターネット上で販売
今回の当社の調査で、産業制御システム（ICS）/監視制御システム（SCADA）に特化したハッキングツールがインターネット上で販売されていることを確認しました（図1）。誰でもアクセス可能なある販売者のWebサイトでは、PLC※1のハッキングツールが50米ドル～100米ドル（5,400円～10,800円）※2で、販売されていました（図2）。これらのツール自体は不正ではない目的にも使用されるものですが、このようなツールをサイバー攻撃者が入手することにより、産業制御システムへの攻撃に悪用する可能性があります。
また、あるアンダーグラウンドのオンライン掲示板では、産業スパイ活動のために、CAD※3ファイルやCAM※4ファイル、ソースコード、機密文書などを要求している投稿も確認しました（図3）。今後、産業制御システムを狙ったサイバー攻撃の市場が成長することにより、製造業を狙ったサイバー犯罪のハードルが下がり、熟練したサイバー攻撃者でなくとも攻撃を実行できてしまう懸念があります。こうした状況から生産設備等の産業制御システムのユーザ企業は、自社設備のサイバー攻撃対策の検討が急務であるとともに、出荷前の製品の脆弱性の検査や出荷後のサポート体制の整備など、サイバー攻撃のリスクへの対応が必要となるでしょう。
※1 PLC（Programmable Logic Controller）：ICSで使用される機械を制御するための装置。
※2 2019年9月12日時点の換算レート（1米ドル＝108円）で計算。
※3 CAD（Computer Aided Design：コンピュータ設計支援）：製造物の設計図を作図するツール。
※4 CAM（Computer Aided Manufacturing：コンピュータ支援製造）：CADデータを基に、工作機械の加工プログラムを作成するシステム。
●図1：インターネット上で販売されているPLCのパスワード解析ツールの画面例
●図2：PLCのハッキングツールの価格例
●図3：アンダーグラウンドのオンライン掲示板での投稿例
2. 認証なしでインターネット上に露出した製造用機器を確認
過去の当社の調査でも明らかになったように、今回の当社の調査でも、直接インターネットに接続され、外部から認証なしでアクセス可能な産業制御システムを確認しました。中には、外部から認証なしでアクセス可能な折り曲げ工具のHMI※5も確認しました。こうした機器は、操作可能な状態のまま露出していることも考えられ、その場合、第3者が外部から製造用機器の値を改ざんしたり、不正なコマンドを送信することが可能となります。生産設備のシステムが不正に変更されると、結果的に生産活動の遅延や停止、生産品への悪影響などにつながる懸念があります。
こうした機器の利用企業においては、自社設備の棚卸しを行い、運用上その機器がインターネットに接続したり、外部から遠隔管理を行う必要性があるかを検討することが必要です。加えて、インターネットに接続する必要がある場合、多要素認証を踏まえた認証を設ける、接続を許可する端末の制御を行うなどの技術的対策や、パスワードの使い回しの排除、担当業務から外れた社員のアカウントの消去など、運用上のルールを設けることをお勧めします。
※5 HMI（Human Machine Interface）：システム管理者やオペレーターがシステム全体の状況を確認したり、制御するためのインターフェース。
現在、第四次産業革命（インダストリー4.0）と呼ばれる製造業におけるデジタルトランスフォーメーションによって、日本をはじめ世界各国で工場のスマート化による生産効率の向上、経済的な貢献に大きな期待が寄せられています。しかし、スマート化による恩恵が期待される一方で、製造業のスマート化が推進されることにより、サイバー犯罪者が製造業をより攻撃しやすい対象とみて、サイバー攻撃が増加する懸念もあります。当社は、インダストリー4.0の世界における、製造業のサイバーセキュリティ対策として、「ITシステム」と「OTシステム」の融合を前提とした取り組みを推奨しています。具体的な方策については、下記の記事をご確認ください。
- 本リリースに記載された内容は2019年9月25日現在の情報をもとに作成されたものです。今後、内容の全部もしくは一部に変更が生じる可能性があります。
- TREND MICROは、トレンドマイクロ株式会社の登録商標です。各社の社名、製品名およびサービス名は、各社の商標または登録商標です。