サイバー攻撃：直接的攻撃でなく間接的な攻撃手法も登場
最近では、図3に示したIT系、エンタープライズ系を含めた各システムを直接的にサイバー攻撃する方法ではなく、間接的に攻撃する手法も登場している。
例えば、通常、サーバが設置されている部屋の空調の設定温度は、一般のオフィスなどの部屋と異なって、特別の温度（16〜18℃程度）で管理されている。したがって、この空調の温度を上昇させると、サーバの中の基盤（ボード）上で動作しているプロセッサ（CPU）も温度が上昇し、プロセッサの処理能力が低下してしまい、いずれサーバはダウンしてしまうことになる。
それでは、このような空調の温度を上げるサイバー攻撃とはどのようなものなのか。
一般に、大型空調機は、冷却するために水を使用する水冷方式である。このため、水の開閉を行うバルブを止めてしまえば、空調機がきかなくなり部屋の温度を上げることができる。すなわち、水のポンプ関係の制御システムがインターネットにつながっていれば、容易にその制御システムを攻撃することが可能になるのである。このようなことから、IT／通信サーバ系においても、空調システムの防御は重要となるのだ。
国際的なサイバー攻撃の事例：核燃料施設への攻撃も
〔1〕イランの核燃料施設へのサイバー攻撃の例
ここで、国際的に制御システムを標的にしたサイバー攻撃の事例を見てみよう。
表4に示す事例の中で、国際的に大きなショックを与えたのは、2010年のイランの核燃料施設が受けた「Stuxnet」（スタックスネット注13）によるサイバー攻撃である。このイランのStuxnetによる核燃料施設攻撃は、USBメモリを侵入経路として遠心分離機へ過剰な負荷を与えて破壊するという攻撃であった。その攻撃手法は、高度な技術（Stuxnet）を使用した、組織的なサイバー攻撃であった。そのようなサイバー攻撃の防御対策には、攻撃対象や攻撃武器、侵入経路、攻撃内容、被害状況などの具体的情報が必要となり、これらを元にした解析が求められる。
表4 制御システムを標的にしたサイバー攻撃の事例
〔出所 VEC公開セミナー「“Industry4.1J”構想と制御システムセキュリティ対策」、2015年6月〕
イランの核燃料施設への攻撃の場合は、インターネットにつながっていない制御システムが標的となった。このような攻撃は、ステルス（Stealth注14）性と言われ、サイバー攻撃を探知しにくくする性質を備えている。例えばStuxnetによる攻撃の場合、パソコンにインターネットに接続されていない電子媒体（USB）を挿入しても、最初はその制御システム「SCADA」が立ち上がっても監視画面は平常と変わらず、Stuxnet攻撃による異常は認められない。しかし、SCADAが起動し始めると、USBに埋め込まれたStuxnetによってSCADAと接続されているPLC（プログラマブルコントローラ注15）への攻撃が開始され、PLCの目標設定値を次々に変更させてしまい、ついには、ウラン濃縮装置の遠心分離器を破壊してしまったのである。
〔2〕ドイツにおける製鉄所へのサイバー攻撃の例
また、前出の表4に示す2014年のドイツにおける製鉄所攻撃の例は、電子メールの添付ファイルに「トロイの木馬」注16を組み込んで侵入経路とし、製鉄所の溶鉱炉を異常停止させ損傷を与えた攻撃の例である。
鉄鋼関係者には、制御システムが直接インターネットにつながっていないので溶鉱炉がダウンすることはないと信じている人もいる。しかし、ドイツでは実際にインターネットにつないでいなくても、（間接的に）添付ファイルメールのマルウェア（トロイの木馬）によってシステムがダウンしてしまい、操業停止となり、溶鉱炉は使えなくなってしまったのである。
このドイツの攻撃者は、ITセキュリティに関する知識だけでなく、産業用の制御システムや生産プロセスに対する詳しい知識も所有していたとされ、そのため大きな損害が発生したと見られている。
▼ 注13
Stuxnet：スタックスネット。2010年7月に最初に確認され、外部記憶デバイス（USBメモリデバイスなど）を経由して、米マイクロソフト社のWindows2000以降のソフトウェアの脆弱性を利用しながら、ドイツ・シーメンス社の制御システム用ソフトウェアを狙ったマルウェア（Malware）。マルウェアとは、コンピュータウィルス、ワームなどの悪意のあるソフトウェアのこと。
▼ 注14
ステルス：Stealth。もともとは、軍用機等の兵器類をレーダーなどから探知されにくくする技術のこと。
▼ 注15
PLC：Programmable Logic Controller、プログラマブルロジックコントローラ。一般的にシーケンサとも呼ばれる。PLCは小型コンピュータの一種で、中枢には他のコンピュータと同じようにマイクロプロセッサ（MPU）が使われ、工場の機械装置などを制御する。
▼ 注16
トロイの木馬：Trojan Horse。ギリシア神話のトロイア戦争に関する伝説に登場するトロイの木馬にちなんで付けられたマルウェアの名前。コンピュータの脅威となるソフトウェアの1つ。正体を偽ってコンピュータへ侵入し、データ消去やファイルの外部流出などの攻撃を行うプログラム。
