26-25-4. 船舶を標的としたサイバー攻撃とサイバーリスク管理

9月20日、リベリア海事当局は、8月8日に大西洋を米国へ向けて航行していたリベリア籍タンカーがマルウェア攻撃を受けた事案を公表しました。同当局の調査では、攻撃の前から、衛星通信システムのファイアウォールを通じて不正なリモートアクセスが繰り返され、ほかにも複数の侵入の試みがあったことが判明しました。外部の攻撃者が船内システムにリモートで侵入してマルウェアを送り込み、それが業務用ネットワークに広がったとみられています。この攻撃では、船内のPC11台のうち8台が感染し、サーバーのOSやデータに加え、バックアップデータも削除されました。一方、船内のネットワークが分離されていたため、航海・機関など安全上重要なシステムへの感染拡大は防がれ、船舶は通常運航を継続しました。[4-1]

船内ネットワークがマルウェアに感染した同様の事案は、過去にも起きています。2019年には、米国沿岸警備隊（United States Coast Guard：USCG）が、ニューヨーク・ニュージャージー港に向かっていた大型船で、マルウェアにより船内のコンピュータシステムの機能が大きく低下した事案を公表しました。この事案においても、船舶の運航に不可欠な制御システムへの影響はありませんでした。ただし、USCGは、同船が有効なサイバー対策を講じないまま運航しており、重要な制御システムが深刻な脆弱性にさらされていた点を指摘し、ネットワーク分離などの対策を推奨しました。[4-2]

また、リベリア海事当局は今回の事案を公表する2日前の9月18日、安全管理システム（Safety Management System：SMS）へのサイバーリスク管理の組込みに関する指針を更新しました。国際海事機関（International Maritime Organization：IMO）の海事サイバーリスク管理指針にも沿い、米国国立標準技術研究所（National Institute of Standards and Technology：NIST）のサイバーセキュリティ・フレームワーク2.0と整合する、統治（Govern）、特定（Identify）、防御（Protect）、検知（Detect）、対応（Respond）、復旧（Recover）の6機能を軸とした対策を示しています。[4-3] [4-4]

同指針によると、リベリア籍船では、SMSでサイバーリスクに対処することが義務付けられています。対処していない場合は、寄港国の検査で不備を指摘され、出港前に内部監査を受けるよう求められたり、是正されるまで出港停止となったりする可能性もあります。同当局は、今回の事案の公表に際してもこの指針を参照するよう求め、サイバー攻撃を船舶への物理的な攻撃と同様に深刻に扱うべきだとしました。そのうえで、①ネットワーク分離とアクセス制御が有効に機能しているかの確認、②リモート接続の監視強化、③バックアップ・復旧手順の試験と不正アクセスからの保護などを推奨しています。[4-1] [4-3]

AIを悪用したサイバー攻撃など、新たな脅威の懸念も高まる中、船舶においても、適切な対応ができるよう、サイバーリスク管理を適切に行っていくことが重要と考えられます。

（日本海難防止協会ロンドン事務所　研究員　川上慶大）