老朽化する水インフラとサイバー攻撃――世界と日本で何が起きていて、これから何が脅威になるのか

水道は静かに危険度が上がっているインフラ

ここ数年、「浄水場がサイバー攻撃を受けた」「水道水の汚染で煮沸勧告」といったニュースが世界各地で増えている。
ただし、感情的に怖がる前に、まず整理しておきたい事実がある。

  • サイバー攻撃によって水道水に毒物が混入され、大量死が発生したケースは、現時点では確認されていない。
  • 一方で、老朽化・投資不足・管理不備による事故や、サイバー攻撃の未遂・小規模インシデントは着実に増えている。

最近の政府報告や研究の流れを雑にまとめると、だいたいこういう構図になっている。
「古い設備」＋「レガシーIT」＋「サイバー攻撃」＋「人手不足」＋「気候変動」
＝ 個々は昔からあった問題だが、全部重なるとかなり厄介な複合リスクになる

この記事では、

  1. いま世界と日本で何が起きているのか
  2. どんな対策がすでに打たれているのか
  3. 「今後の本物の脅威」と見ているもの

を整理していく。

いま何が起きているのか：現状の「事実」

サイバー攻撃は静かに増加している

アメリカやイギリスなど、データが出ている国の情報を並べると、傾向はかなりはっきりしている。

さらに EPA 自身が、最近検査した水道システムの約70％がサイバー防御の基本要件に違反していたと公表している。

「世界全体で何件」という正確な統計は存在しないが、
少なくともアメリカだけを見ても、かなりの数の施設が危うい状態にあることは数字で裏付けられている。

実際に起きているサイバー事案

公開情報ベースで確認できる代表例をいくつか挙げる。

フロリダ州 Oldsmar 浄水場（2021）
＜米国の水処理施設の侵害＞
Compromise of U.S. Water Treatment Facility | CISA
＜Pennsylvania Public Utility Commission, Cybersecurity Advisory – Water and Wastewater Utilities, Feb. 25, 2021.＞
https://www.puc.pa.gov/media/1362/cybersecurity-water-advisory022521.doc

  • リモートアクセス経由で、苛性ソーダの注入設定が一時的に約100倍に変更される。
  • オペレーターが画面を見て異常に気づき、すぐに元に戻したため、汚染水は出ていない。
  • 意図的攻撃なのか、運用ミスを誤認したのかについては、今も議論が続いている部分がある。

イラン系ハクティビスト「CyberAv3ngers」による水施設攻撃（2023〜）
＜CISAとパートナーがIRGC関連のサイバー攻撃者によるPLCの悪用に関する共同勧告を発表＞
https://www.cisa.gov/news-events/alerts/2023/12/01/cisa-and-partners-release-joint-advisory-irgc-affiliated-cyber-actors-exploiting-plcs

  • イスラエル製PLCを狙った攻撃で、アメリカの水施設などでHMI画面が書き換えられる事案が発生。
  • 多くのケースで設備は手動運転に切り替えられ、水質への直接被害は出ていない。

イギリス・South Staffordshire Water（2022）
＜ランサムウェア攻撃によりサウススタッフウォーターの顧客データが流出＞
https://www.computerweekly.com/news/252527832/South-Staffs-Water-customer-data-leaked-after-ransomware-attack

  • ランサムウェア攻撃により顧客データが盗まれ、ダークウェブに公開される。
  • 供給される水の安全性には影響がなかったと事業者と規制当局は説明している。

現時点で言えるのは、

  • 大規模な健康被害に至ったサイバー攻撃は確認されていないが、
  • 制御系への侵入や設定変更が行われた事例は複数存在している

ということだといえる。

老朽化や管理不備による「ふつうの事故」は現実に起きている

サイバーとは別の軸として、老朽化や維持管理の不備による事故も各地で顕在化している。

イギリス・デボン州ブリクサムのクリプトスポリジウム汚染（2024）
＜DWI の声明（汚染発生と監査の公式確認）＞
Statement from the Chief Inspector of Drinking Water – May 2024 – Drinking Water Inspectorate
＜ブリクサム地域の水道供給の問題について＞
https://www.gov.uk/government/news/water-supply-issues-in-brixham-area

  • 1.6万戸以上に煮沸勧告が出され、140人以上が感染。
  • 原因は損傷したバルブや貯水タンクなどインフラ側の問題とされている。

イギリス・ペンバリー浄水場の水質事故（2025）
＜事件発生と調査開始の公式告知＞
4 December 2025 – Drinking Water Inspectorate investigating South East Water incident – Drinking Water Inspectorate
＜2024年時点の「リスク通知」（細菌・農薬など）＞
https://www.dwi.gov.uk/water-companies/improvement-programmes/south-east-water-improvement-programmes/sew-2024-00006/

  • 10日以上にわたり、周辺住民に飲用禁止・煮沸勧告。
  • 実は1年前から「細菌・農薬リスク」の警告を受けていたにもかかわらず、十分な対策がとられていなかった疑いが指摘されている。

また、国連大学の分析によれば、世界には約5万8,000基の大規模ダムがあり、その多くが20世紀に建設されたものだとされている。
2050年頃までに、人類の多くが「設計寿命を超えたダムの下流に住む」ことになるという見通しも示されている。

＜United Nations University, Ageing Dams Pose Growing Threat, 22 Jan 2021.＞
https://unu.edu/press-release/ageing-dams-pose-growing-threat

老朽化の物理リスクは、すでに現在進行形の問題になっている。

世界の対策：法律・ガイドライン・レジリエンス

アメリカ：AWIA と EPA、AWWA の役割

アメリカでは2018年のAmerica’s Water Infrastructure Act (AWIA) によって、
人口3,300人超のすべてのコミュニティ水道に対し、

  • 物理・サイバー両面を含むリスク＆レジリエンス評価（RRA）の実施
  • その結果を反映した緊急対応計画（ERP）の策定
  • 5年ごとの見直し

が義務付けられている。

＜America’s Water Infrastructure Act of 2018 (AWIA) | US EPA＞
https://www.epa.gov/ground-water-and-drinking-water/americas-water-infrastructure-act-2018-awia
＜Risk and Resilience Assessment and Emergency Response Plan Requirements for Drinking Water Utilities（EPA-817-F-19-004）＞
FACT SHEET
＜AWIA Section 2013 – Community Water System Risk and Resilience（SDWA §1433 改正文）＞
https://www.reginfo.gov/public/do/eoDownloadDocument?documentID=196743&eodoc=true&pubId=

EPA はこれを支援する形で、

  • 自己診断ツールやチェックリスト
  • 小規模事業者向け技術支援
  • 2024年の Enforcement Alert（基準違反への厳格な対応方針）

などを打ち出している。

＜AWIA Section 2013/SDWA Section 1433: Risk and Resilience Assessments and Emergency Response Plans | US EPA＞
https://www.epa.gov/waterresilience/awia-section-2013
＜Enforcement Alert: Drinking Water Systems to Address Cybersecurity Vulnerabilities | US EPA＞
https://www.epa.gov/enforcement/enforcement-alert-drinking-water-systems-address-cybersecurity-vulnerabilities

業界団体の AWWA は、

  • J100（リスク＆レジリエンス管理の標準）
  • G430 / G440（運用・緊急対応のセキュリティ実務）
  • NIST CSF と連携したサイバーセキュリティ・ガイダンスツール

といった形で、現場ベースの標準を提供している。

＜Risk & Resilience – American Water Works Association＞
https://www.awwa.org/resource/risk-resilience/

EU：NIS2 と ENISA

EUではNIS2指令によって、
水供給・配水事業は「essential entities（必須サービス）」として扱われるようになった。

  • サイバーリスク管理措置の義務化
  • 重大インシデントの通報義務
  • 監督機関による是正命令・罰則

といった枠組みが導入され、ENISAがその技術的実装ガイドを提示している。

＜Cybersecurity of network and information systems（NIS2 概要）＞
https://eur-lex.europa.eu/legal-content/en/LSU/?uri=CELEX:32022L2555

世界に共通している方向性

国や地域ごとに制度の形は違うが、共通している要素はだいたい次のようなものだ。

  • リスク評価とレジリエンス（復旧能力）をベースにした規制・標準
  • OT/ICS（制御系）のネットワーク分離、アクセス制御、ログ監視
  • インシデントの報告と情報共有のメカニズム

「やるべきこと」のフレームワーク自体は、かなり言語化が進んでいる段階にある。

日本の対策：老朽化とサイバー両面の現実

老朽化と耐震化の状況

日本の新水道ビジョンや各種資料によると、

  • 水道管路の年間更新率は1％未満（0.6〜0.7％程度）まで下がっている。
  • 耐用年数を超えた管路の割合は、今後2040年頃までに大きく増える見込みが示されている。
  • 基幹管路の耐震適合率は全国平均で4割強にとどまっている。

人口減少や節水機器の普及で水需要は減る一方、
老朽化した設備の更新需要はこれから本格化していく、というねじれた構造になっている。

＜国土交通省「水道の基盤強化に関する参考資料」＞
https://www.mlit.go.jp/common/830005261.pdf
＜厚労省「新水道ビジョンの推進について」＞
https://www.mlit.go.jp/common/830003304.pdf
＜厚生労働省「水道事業における耐震化の状況（令和４年度）」＞
https://www.mhlw.go.jp/content/10908000/001228272.pdf
＜国交省（水道事業課）資料「水道事業における適切な資産管理（アセットマネジメント）の推進について」＞
https://www.meti.go.jp/shingikai/sankoshin/chiiki_keizai/kogyoyo_suido/pdf/016_06_00.pdf

2025 年の「水道分野セキュリティガイドライン（第一版）」

サイバー面では、2025年3月に国交省が
「水道分野における情報セキュリティ確保に係る安全ガイドライン（第一版）」を公表した。

特徴をざっくり挙げると、

  • 対象範囲が広い
    浄水場・ポンプ場・水運用システムだけでなく、
    管路GIS、管網解析、検針、料金、会計、設備管理、人事システムまで、
    水道事業のバックエンド全体をセキュリティ対象として明示している。
  • 「閉域網だから安全」という考え方を否定している
    実際に閉域網で発生したインシデント事例をコラムで紹介し、
    USBや保守端末、ベンダー接続などを通じてマルウェアや不正操作が入りうることを説明している。
  • 経営層と責任者の役割を具体的に定義している
    サイバーセキュリティ責任者の任命、
    予算や人材の確保、
    サプライチェーン・クラウド利用時のリスク管理、
    インシデント対応計画・訓練の実施、
    などがガイドラインの章立てとして明確に書かれている。

このガイドラインは、内閣サイバーセキュリティセンターの
「重要インフラ行動計画」「安全基準等策定指針」を水道セクターに落とし込んだ位置付けになっている。

＜国土交通省「水道分野における情報セキュリティ確保に係る安全ガイドライン（第一版）」＞
https://www.mlit.go.jp/mizukokudo/watersupply/content/001889644.pdf
＜上下水道：水道分野におけるサイバーセキュリティ対策（国土交通省）＞
https://www.mlit.go.jp/mizukokudo/watersupply/stf_seisakunitsuite_bunya_topics_bukyoku_kenkou_suido_kikikanri_sisin.0005.html
＜事務連絡「『水道分野における情報セキュリティ確保に係る安全ガイドライン（第一版）』の送付について」＞
https://www.city.kawaguchi.lg.jp/material/files/group/89/20250305s.pdf

これから本当に脅威になっていくと見られているもの

ステルス型偽データ注入（FDIA）：バレにくい改ざん

近年の水インフラ研究で目立っているのがFDIA（False Data Injection Attack）だ。
特に2025年のJournal AWWAなどで議論が加速している。

スマート水道では、

  • 多数のセンサー（流量・圧力・水位など）を使って、
    漏水検知、需要予測、ポンプ運転の最適化を行っている。
  • 攻撃者が一部センサー値を「物理的には矛盾しない範囲」で少しだけ改ざんすると、
    状態推定や簡易な異常検知ロジックをすり抜けられることが、
    シミュレーションと理論の両方で示されている。

結果として、

  • ポンプの運転コストがジワジワ増大する
  • 特定エリアへの供給が歪む
  • 漏水や異常が長期間見落とされる

といったじわじわ効いてくるタイプの攻撃が可能になることが分かってきている。

＜Journal AWWA の FDIA 論文（2025）＞
https://doi.org/10.1002/awwa.70009
＜スマート水道の FDIA 脆弱性評価（2024）＞
https://doi.org/10.1016/j.ijcip.2023.100645
＜水システム・サイバーセキュリティの体系的レビュー（2021）＞
https://doi.org/10.3390/w13010081
＜水道ネットワークを狙う FDIA モデルの初期代表例（2021）＞
Sequential false data injection cyberattacks in water distribution systems targeting storage tanks; a bi-level optimization model – ScienceDirect
Formulating false data injection cyberattacks on pumps’ flow rate resulting in cascading failures in smart water systems – ScienceDirect

ランサムウェアとハクティビストによるOT直接攻撃

ランサムウェアとハクティビストの攻撃は、もはや理論上のリスクではなく、実際に起きている。

  • カナダのサイバーセンターなどは、
    ランサムウェアを「重要インフラに対する最も重大なサイバー脅威のひとつ」と位置づけている。
  • 実際に、インターネット上に公開されていた水タンク制御システムがハクティビストに操作され、水位異常が発生した事案も報告されている。

ここで狙われているのは、多くの場合、

  • インターネットにそのまま晒されたPLCやHMI、SCADA
  • 事務系ネットワークと制御系ネットワークの分離不足

といった、基本的なセキュリティの穴であることが多い。
超高度なサイバー技術よりも、雑に開けっぱなしの扉を狙われている状況に近い。

＜カナダの水道システムに対するサイバー脅威：評価と軽減策＞
The cyber threat to Canada’s water systems: Assessment and mitigation – Canadian Centre for Cyber Security

IoT／スマート化／クラウド化による攻撃面の拡大

スマート水道やスマートメーターに関するレビュー論文では、

  • IoTセンサーやクラウド解析によって、漏水検知・需要予測・エネルギー効率が大きく改善している一方で、
  • データ窃取、不正アクセス、サービス妨害、プライバシー侵害などのリスクが十分に管理されていないケースが多い

ことが繰り返し指摘されている。

さらに OTデバイスのインターネット露出を調査した研究では、

  • 世界で約7万台のOT機器がインターネットから直接アクセス可能な状態にある
  • その多くが古いファームウェアや既知の脆弱性を抱えたまま運用されている

という結果が出ている。

＜スマートウォーターシステムの開発について：体系的レビュー＞
https://www.mdpi.com/2073-4441/17/17/2571
＜インターネット公開OT機器 約 7 万台の一次研究＞
https://arxiv.org/html/2508.02375

AI が「守り」と「攻め」両方に使われていく

水インフラの分野でも AI 利用は急速に広がっている。

  • 運転最適化、水質予測、予兆保全などにAIを使うことで、
    エネルギー消費を大幅に削減できるという研究成果が多く報告されている。
  • 一方で、AIを用いた攻撃（自動化された侵入、偽データ設計、フィッシング高度化）や、
    AIモデル自体への攻撃（対敵的サンプル、学習データ汚染）を懸念するレビューも増えている。

現時点のコンセンサスは、AI活用を禁止するという話ではなく、
AIを含んだシステム全体をどう安全設計するかが課題だ、という方向にある。

＜水処理・脱塩におけるAI総説（エネルギー削減の定量例あり）＞
Artificial Intelligence Applications in Water Treatment and Desalination: A Comprehensive Review
＜飲料水品質と運転支援におけるAI活用レビュー＞
AI-Augmented Water Quality Event Response: The Role of Generative Models for Decision Support
＜クリティカルインフラ全般におけるAI×サイバーセキュリティ総説＞
https://www.sciencedirect.com/science/article/abs/pii/S1874548223000604

気候変動＋老朽化＋サイバーの複合リスク

気候変動とインフラ研究の分野では、

  • 豪雨や洪水の強度が、人為起源の気候変動によって増していることが
    アトリビューション研究から示されている。
  • 老朽化したダムや水路は、こうした極端事象に対して脆弱になりつつある。

最近の水インフラ研究は、

  • 洪水・渇水・停電といった自然災害
  • サイバー攻撃・設備故障・人材不足

が同時に起きうる「複合ハザード」としてシナリオ分析を行う方向に進んでいる。
単一のリスクではなく、掛け算で評価する必要がある、という発想だ。

サプライチェーンと共通コンポーネントの集中リスク

もう一つ、最近の政策文書や論文で強調されているのが、サプライチェーンの問題だ。

  • 多くの水インフラで、特定ベンダのPLC やSCADA、共通プロトコル（ModbusTCPなど）が使われている。
    つまり、1つのゼロデイ脆弱性が世界中のインフラに波及しうる構造になっている。
  • 日本でも2025年に、IT/OT/IoT機器のファームウェアやクラウドサービスを含む
    ソフトウェアサプライチェーン全体を対象にしたガイドライン案が公表されている。

ここで求められているのは、

  • SBOM（ソフトウェア部品表）による依存関係の可視化
  • 調達要件におけるセキュリティ条件（アップデート方針、サポート期間など）の明記

といった、「事業者だけでなくベンダ側も含めてセキュリティを作り込む」アプローチになっている。

結論：未来の危機は新しいリスクではなく、既存リスクの掛け算

ここまでの政府報告・論文・ガイドラインを総合すると、
水インフラに関する「これからの脅威」は、だいたい次のように整理できる。

  1. 突然まったく新しいリスクが現れるというより、
    すでに存在しているリスク（老朽化・レガシーIT・サイバー攻撃・人材不足・気候変動）が
    “掛け算”になっていくことのほうが現実的な脅威になっている。
  2. 世界も日本も、法律・ガイドライン・フレームワークの整備はかなり進んできている一方で、実装と運用は、予算・人員・時間の制約の中でまだ追いついていない。
  3. 研究コミュニティの関心は、下記のテーマに集中しており「今後の現実的なリスク」として正面から扱い始めている。
    • ステルスな偽データ注入（FDIA）
    • ランサムウェア＋ハクティビスト
    • IoT／AI／クラウド化による新しい攻撃面
    • 気候・老朽化・サプライチェーンを含む複合リスク

水インフラは派手さはないが、社会のほぼすべての活動を静かに支えている基盤だ。
コンクリートと鉄の老朽化、後付けのネットワークとソフトウェア、
それを回している現場の人と自治体の財政──
この全部をまとめて見ていく視点が、これからますます重要になっていくはずだ。

コメント

タイトルとURLをコピーしました