アメリカのサイバーセキュリティ企業は、アメリカ国内の1000以上の水道および下水処理事業者が、従業員のパスワードなどを盗み出すマルウェア（悪意のあるプログラム）によって、サイバー攻撃の危険にさらされているとする調査結果を発表しました。
調査を行ったのは、サイバーセキュリティ企業の「スパイクラウド（SpyCloud）」です。同社によりますと、アメリカ環境保護局（EPA）に登録されている1万の組織に関連する、6万6000以上の公開システムを調査したということです。
その結果、全体の2割弱にあたる1787の組織で、マルウェアによってパスワードや認証情報が盗み出されていたことが分かりました。さらに、少なくとも250の組織では、ポンプや水流を物理的に制御するシステムや、遠隔操作ネットワークへのアクセスを許すおそれのある情報が流出していたとしています。
また、ある計量技術を提供する企業のネットワーク上の機器が、パスワードを盗むマルウェアに感染していた事例も確認されました。この1件の感染によって、同社の技術を利用しているアメリカの公益企業167社のパスワードなど、大量の認証情報が盗み出されたということです。
スパイクラウドの調査責任者であるジェイソン・ランカスター氏は、「この1件のデータ流出が、本来無関係であるはずの100以上の組織へのアクセス権を犯罪者に与える結果になった」と指摘しています。
情報を盗み出すマルウェアは、保存されたパスワードだけでなく、ログイン状態を維持するためのデータも盗み出します。ハッカーはこれを利用することで、正規のユーザーになりすましてログインすることが可能となり、多要素認証システムを突破されるケースも多いということです。盗まれた認証情報は、特定の組織に侵入する目的でハッカー間で頻繁に取引されているとしています。
アメリカでは最近、全米の水道事業者を狙ったサイバー攻撃が相次いでおり、アメリカ政府はイランが支援するハッカー集団によるものとみています。スパイクラウドによりますと、これらの攻撃で盗まれたパスワードが使用された証拠は見つかっておらず、アメリカのサイバーセキュリティ・インフラセキュリティ庁（CISA）の指摘と同様に、機器の初期パスワードが変更されていないなどの安全上の弱点が狙われたとみられるということです。
一方で研究者らは、インフラ施設の技術的な脆弱性に加えて、盗まれたパスワードもハッカーにとって主要な侵入経路になっていると警告しており、水道業界は双方のリスクに同時に対応していく必要があるとしています。