2025年12月下旬、風力・太陽光発電所、熱電併給プラント、産業用システムなど、ポーランドの重要エネルギーインフラが、国家が関与しているとみられるハッカーによる組織的なサイバー攻撃の標的となった。
攻撃者が何を行ったか、簡単にまとめると以下の通りです：
- 彼らは、デフォルトの認証情報を使用し、多要素認証が設定されていない状態で、セキュリティ対策が不十分なVPN／ファイアウォール機器（例：Fortinet製ハードウェア）を介して初期アクセスを獲得した
- 侵入に成功すると、彼らはOTおよびICSシステムに到達し、コントローラやHMI上のファイルを消去または破損させるよう設計された破壊的な「ワイパー」マルウェアを展開した
- この攻撃により、施設と送電網運営者間の通信および監視機能が停止し、ファームウェアが破損し、一部のICSデバイスは永久的に損傷したものの、停電には至らなかった。
データダイオードがどのように役立ったか
データダイオードとは、データの単方向通信を強制するサイバーセキュリティ用ハードウェアデバイスです。つまり、データは物理的に一方向（あるネットワークから別のネットワークへ）にしか流れず、逆方向への通信は一切不可能です。データダイオードが今回の攻撃をどのように防ぐことができたか、そのいくつかの方法を見ていきましょう。
1. 運用ネットワークへの不正アクセスの遮断
VPNゲートウェイなどの境界機器がこれらの環境へと接続されていたため、OTおよびICSデバイスはネットワーク経由でアクセス可能でした。データダイオードが導入されていた場合、以下の間での使用が可能だった可能性があります：
- インターネットに接続されたネットワークと企業内IT部門
- エンタープライズIT分野とOT/ICS領域
ダイオードが設置されていれば、たとえ攻撃者がVPNサービスを侵害したとしても、OTドメインへの双方向のネットワークトラフィックを侵入させることは決してできない。
つまり、認証情報が盗まれたとしても、ダイオードがそのゾーンへのトラフィックを物理的に遮断するため、攻撃者はダイオードの背後にあるシステムに対してコマンドやペイロードを送信することができない。
2. 監視・制御チャネルの保護
一部のシステム（グリッド監視ダッシュボードやヒストリアンサーバーなど）は、ICSからのデータを必要とすることが多いものの、逆方向にコマンドを送信する必要は一切ありません。データダイオードを使用すれば、OTデータを監視システムへ安全に送信できる一方で、外部システムやエンタープライズドメインのシステムからOTデバイスへのトラフィックを送信することはできなくなります。
これは、トラフィックが一方通行でなければならない産業用環境における防御アーキテクチャの重要な構成要素です。
3. 横方向の変位に対する補強
この攻撃では、攻撃者はネットワーク内に侵入すると、侵入経路からバックエンドのWindowsドメインやOTコントローラーへと横方向に移動しました。もしデータダイオードが導入されていれば、ネットワークのセグメンテーションが物理的に強制されていたはずです。さらに、データダイオードがあれば、一方向のデータフローによってエアギャップが確実に管理されていたことでしょう。
たとえ攻撃者があるセグメントに侵入したとしても、他のセグメントが一方向バリアで保護されていれば、そこに到達することはできない。
多層防御によるサイバーセキュリティ
データダイオードの導入は、OTサイバーセキュリティ戦略全体において重要な要素であることは確かですが、それだけではないということを忘れてはなりません。
- 強力な認証の実施
- ソフトウェアの脆弱性や設定ミスの最新情報を把握しておく
- ダイオードは監視ツールではなく、ネットワーク設計の制御手段であることを忘れないでください
つまり、ダイオードは、以下の要素と組み合わせる必要がある「多層防御」戦略の一環として最も効果を発揮します：
- 確かな実績とMFA
- 適切なパッチ適用とファームウェアの確認
- ネットワークのセグメンテーションと最小権限の原則に基づくアクセス
- 異常検知および侵入検知システム
「Do」か「Diode」か
データダイオードは、物理的に強制された一方向のデータフローを実現することで重要な環境を保護し、攻撃者が境界デバイスへの侵入に成功したとしても、産業用システムに到達して制御することを大幅に困難にします。ポーランドの場合――ハッカーがインターネットに公開されたシステムを悪用し、制御ハードウェアへと横方向の移動を行った事例――において、データダイオードを戦略的に導入していれば、次のような効果が得られた可能性があります：
- OTセグメントへの攻撃経路を遮断
- ICSへの悪意のあるコマンドおよびマルウェアの送信を阻止
- 破壊的な行動の範囲を限定した
OPSWATMetaDefender Optical Diode 製品ファミリーは、お客様のセキュリティ境界を保護する必要があるあらゆる場所に最適化された、多様なフォームファクターと構成をご用意しています。今すぐ専門家にご相談ください。当社のダイオードや一方向ゲートウェイソリューションが、お客様の重要な環境をいかに安全に守れるかをご確認ください。