サイバー攻撃で、ドイツの製鋼所が甚大な被害を被っていた

　第一のスタックスネットは、これまでで最も危険なサイバー攻撃、それも物理的な影響を与えたサイバー攻撃として知られてきた。核開発を進めるイランの施設に送り込まれ、遠心分離機を制御していたシーメンス社のシステムを誤作動させ、イランの核開発を遅らせることに成功したといわれている。キム・ゼッターの『Countdown to Zero Day』によれば、非常に精巧で、気づきにくい仕組みが組み込まれており、個人や数人のグループで行うのは不可能とされている。例えば、核施設の管理計器には異常を知らせる動きが全く見えないにもかかわらず、実際の遠心分離機は誤作動し続けていた。ニューヨークタイムズ紙が、スタックスネットは米国とイスラエルの共同作戦だったと報じて物議を醸したが、両国政府は認めていない。

　第二のハヴェックスは、セキュリティ会社のFセキュアが見つけたもので、制御システムを狙ったマルウェアである。ハヴェックスはPHP言語で書かれたRAT（Remote Access Trojan：リモート・アクセスを可能にするトロイの木馬型のマルウェア）である。「ハヴェックス」という名前は、プログラムの中に「havex」という言葉がコメントとして書き込まれていたことに由来する。

　ハヴェックスは制御システムのメーカーのウェブサイトに埋め込まれ、ダウンロードされるように仕込まれていた。Fセキュアは88種類のハヴェックスのバリエーションを見つけており、それらを解析した結果、146のC&C（Command and Control）サーバーにつながっていたことを確認している。

　第三のブラックエネジーは、2011年には使われ始めたと見られている。このマルウェアは、インターネットに接続された「ヒューマン・マシン・インターフェース（HMI）」で見つかっている。HMIは制御システムの処理をわかりやすくビジュアル化するソフトウェアである。ブラックエネジーが実際の被害をもたらした事例は確認されていない。

　いずれにせよ、ドイツのBSIが示した溶鉱炉事件は、政府機関が認めた制御システムへのサイバー攻撃としては、スタックスネットに続く2例目ということになる（スタックスネットは米国政府とイスラエル政府は認めていないものの、イラン政府がサイバー攻撃の存在を認めている）。

■エアギャップを飛び越える

　被害の事例数は確かにまだ多くないが、制御システムを狙うウイルスやマルウェアは現に登場してきている。多くの制御システムはインターネットから隔絶しているが、それでも少なからぬ割合のシステムがインターネットにつながっている。システムのアップデートなどのために一時的に接続しなくてはならない場合もあるだろう。長期間にわたって同じソフトウェアを使い続けると想定することは、もはや現代ではできない。