すべてのOT侵害には、その攻撃チェーンにおける一環が存在する：『ICS/OTの脅威動向、2024–2026年』

ここ2年間で、産業用制御システムや運用技術（OT）に対する攻撃は、単なる理論上のリスクから現実の脅威へと変化しました。国家主体の攻撃者はもはや、重要インフラ内部に潜伏しているだけではありません。彼らは実際に攻撃を実行しています。OT環境を標的とする国家支援型攻撃者にとって、ランサムウェアに代わってワイパー型マルウェアが主要な攻撃手段となっています。ほぼすべての重大なインシデントには、ある共通点があります。それは、誰も監視していなかった信頼境界を、悪意のあるファイルが突破してしまったということです。

本記事では、2024年から2026年初頭にかけてのICS/OTの脅威情勢について、単なるAPTの名称やCVE番号の羅列ではなく、一つの物語として解説します。まずは全体像、つまり何がいつ発生したのかから始めます。次に、その背後にいる犯行グループや手口について考察し、最後に特定のインシデントを詳細に分析することで、現代のICSワイパー攻撃が内部から見てどのようなものなのかを明らかにします。

主な数値

• 2025年には、119のランサムウェアグループがOT環境を標的にして活動しており、2024年の80グループから49%増加した

• ランサムウェアの被害者の3分の2以上が製造業であり、最も標的とされた業種であった

• 「Volt Typhoon」は、米国の電力会社のOTネットワーク内で300日以上にわたり、検知されることなく活動していた

• 2024年から2025年にかけてだけで、ICS／OTを標的としたサイバー攻撃が6件発生し、これは同期間における過去最多の件数である

これらの攻撃の背後にいる人物やその手口を分析する前に、時系列で把握しておくと理解が深まります。以下の表には、この期間に発生したすべての重要なICS/OTインシデントを、業種、脅威アクター、地域ごとに分類してまとめました。詳細に掘り下げる前に、全体像を把握するのに役立ててください。

その勢いは加速している。2025年だけでも、ICS（産業用制御システム）やOT（オペレーショナルテクノロジー）を標的としたサイバー攻撃は、過去いかなる年よりも顕著に増加した。地理的な広がりも拡大し、ウクライナ・ロシアの戦域にとどまらず、ポーランドなどのNATO加盟国、ノルウェーを含む西ヨーロッパ、そしてイスラエルを含む中東にまで及んでいる。また、標的となるセクターも、エネルギーや水道分野にとどまらず、医療、通信、製造業へと広がっている。

これらの攻撃は、国や業界、被害者を問わず多岐にわたりますが、その始まりはすべて同じです。つまり、誰の目にも留まらずにすり抜けたファイルから始まるのです。たった一つを開くだけで、それが破壊を目的として作られたものであることがすぐにわかります。

上記のタイムラインは情報量が多いが、無秩序なものではない。一連の事件は、それぞれ独自の動機、能力、および標的を持つ少数のグループを中心に発生している。

ロシア――依然として最も活発なICS脅威

この期間におけるICSを標的とした活動の大部分は、ロシアと関連のある主体によるものであり、これらは役割の異なる複数のグループを通じて活動している。

サンドワーム（ELECTRUM）は、依然として世界で最も手腕のあるICS（産業用制御システム）を標的とする攻撃グループである。2025年12月にポーランドの電力網に対して行われた彼らの攻撃では、コージェネレーション施設や風力・太陽光などの再生可能エネルギー制御システムを含む、約30カ所の分散型エネルギー施設が標的とされた。これは、分散型エネルギー資源を大規模に標的とした初の組織的なサイバー攻撃であった。

この攻撃で使用されたマルウェア「DynoWiper」は、エネルギーインフラを標的としたWindows PEワイパー型マルウェアであった。これは分散型エネルギー資源（DER）施設内のWindows搭載マシンを消去し、一部のOT（運用技術）およびICS（産業制御システム）機器を修復不能な状態に陥らせた。停電は発生しなかったものの、攻撃者は電力網の運用に不可欠なOTシステムへのアクセス権を獲得した。

以前、同グループは「PathWiper」キャンペーンにおいて、VBScriptドロッパーと、MFT 破壊しMFT すべてのドライブ上のファイルを上書きするPEワイパーを組み合わせて、ウクライナの重要インフラを標的にした。2024年には、Linux ELFワイパーである「AcidPour」をウクライナの通信インフラに対して展開し、エネルギーおよび水道システムを標的としたサプライチェーン攻撃を仕掛けた。

KAMACITEは、基盤となるインフラ層として機能している。2025年、このGRUと関連するグループが、米国の産業施設を対象とした偵察スキャンを行っているのが確認された。これは、過去においてELECTRUMの破壊活動に先立って行われてきた準備活動に相当するものである。

中国――忍耐強く、奥深く、そしてその影響力を拡大しつつある

中国のアプローチは、ロシアのそれとは根本的に異なる。ロシアの勢力が破壊する一方で、中国の勢力は粘り強く活動を続ける。

VOLTZITE（Volt Typhoon）が、米国の電力会社のOTネットワーク内に300日以上にわたり潜伏し、GISデータやOTシステムの設定情報を盗み出していたことが確認された。これは単なるスパイ活動ではなかった。その潜伏パターンは、将来の米国電力インフラへの妨害行為に向けた準備と一致している。

2025年、SYLVANITEの初期侵入ブローカーは、Ivanti VPNアプライアンス、F5デバイス、およびその他のエッジインフラストラクチャの脆弱性を迅速に悪用した。その後、これらの足掛かりはVOLTZITEパイプラインに組み込まれ、OTシステムへのさらなる侵入に利用された。標的は電力会社と水道事業者の両方に拡大した。

2025年に新たに確認されたグループ「AZURITE」は、中国に関連するOT（オペレーション・テクノロジー）標的型攻撃の激化を示すものである。AZURITEは、米国、オーストラリア、欧州の製造、防衛、自動車各セクターにおけるOTエンジニアリング用ワークステーションを積極的に標的としている。同グループは、ネットワーク図、アラームデータ、プロセス設定情報の窃取に重点を置いている。

イラン――一線を越え、物理的な衝突へと発展

この期間、イランの国家支援を受けたアクターは、機会主義的なアクセスから、物理的プロセスへの意図的な標的化へと、決定的な転換を図った。

CyberAv3ngers（BAUXITE / IRGC）は、2023年から2024年にかけて、米国内の複数の水道施設で75台以上のデバイスを侵害し、その中にはペンシルベニア州の増圧ステーションにおけるPLCの直接的な乗っ取りも含まれていた。同グループが使用したマルウェア「IOCONTROL」は、デバイスのファームウェア更新パッケージにMQTTベースのコマンド＆コントロール機能を組み込んだLinuxバイナリであり、OTデバイスの侵害を目的に特別に開発されたものである。 2025年、BAUXITEグループは、イスラエルのエネルギーおよび貯蔵インフラに対し、BlueWipe-SewerGooワイパーの亜種を展開した。

PYROXENE（IRGC-CEC、APT35と活動範囲が重複）は、2025年にイスラエルとアルバニアの重要インフラおよび政府ネットワークを標的とした。同グループは、ソーシャルエンジニアリングとサプライチェーン攻撃を組み合わせて、PEワイパー型ペイロードを配布した。

ハンダラは、ハクティビズムと国家主導の破壊活動との境界線が曖昧になっていることを象徴している。複数の脅威インテリジェンス企業により、イラン情報保安省の後援を受ける「ヴォイド・マンティコア」という脅威アクターのフロント組織であると評価されているこのグループは、2023年後半に活動を開始し、それ以来、イスラエルの標的に対して継続的なワイパー攻撃を展開している。

彼らの攻撃ツールキットは技術的に高度だ。流暢なヘブライ語で書かれたフィッシングメールを通じてNSISインストーラーが配信され、これがAutoITスクリプトを起動して、正規のWindowsプロセスにワイパーを注入する。最終的なペイロードは、ファイルをランダムなデータで上書きし、脆弱性のあるドライバーを利用して権限を昇格させ、データをAPI TelegramのAPI 介してシステム情報を外部へ流出させる。

このインストーラーは、ファイルが分割され、偽の名前が付けられ、実行中にコマンドが組み合わされるなど、多くの複雑な要素を含んでいます。しかし、実際にはどのステップも、単にファイルが追加で配置され、実行されるという一連の動作に過ぎません。サンプルを解析すると、ワイパーがデータを消去する前の全プロセスが明らかになります。

異なる主体、分野、地域にまたがるこれらの一連の事案を通じて、一貫した一連のパターンが浮かび上がってくる。

ワイパーは、最も主要な破壊ツールとなっている

これは、ICSおよびOTにおける脅威活動の最も顕著な傾向です。 2024年から2025年にかけてだけでも、少なくとも6つの異なるワイパー型攻撃キャンペーンが産業および重要インフラ環境を標的としました。具体的には、ポーランドのエネルギー部門を標的とした「DynoWiper」、ウクライナの重要インフラを標的とした「PathWiper」、ウクライナの通信部門を標的とした「AcidPour」、イスラエルのエネルギー部門を標的とした「BAUXITE」または「BlueWipe-SewerGoo」、イスラエルとアルバニアの政府および重要インフラを標的とした「PYROXENE」、そして世界の医療分野を標的とした「Handala」です。

ワイパー型マルウェアは、より標的を絞った攻撃を行うようになってきています。DynoWiperは、ポーランドのエネルギーインフラを標的として展開され、分散型エネルギー施設にあるWindowsベースのマシンを消去し、一部のOT機器を復旧不能な状態に陥らせました。PathWiperは、ファイルを上書きMFT MBRとMFT 破壊し、復旧を極力困難にします。AcidPourは組み込みLinuxデバイスを標的とし、OT機器で使用されているUBIボリュームやDevice Mapperパーティションを消去します。

HandalaによるStrykerへの攻撃は、これとは異なる進化の形態を示した。攻撃者は、特注のマルウェアを大規模に展開する代わりに、「Microsoft Intune」という正規の企業向け管理ツールを悪用し、登録済みのデバイス全体に対して一斉にデータ消去コマンドを発行した。これにより、組織自身のインフラが事実上、攻撃の武器へと変貌した。これらは、OT向けに転用された汎用ツールではない。それらは、影響を与える環境に合わせて設計されたり、その環境に組み込まれたりしているものである。

ICSを標的としたマルウェアは、その手口がますます巧妙化している

FrostyGoopは、重要な節目となる事例として特筆に値する。2024年1月にリヴィウの地域暖房システムに対して展開されたこのマルウェアは、実稼働環境においてModbus TCPプロトコルを直接悪用した初の事例となった。Go言語で記述され、Windows PEバイナリとしてコンパイルされたこのマルウェアは、エンジニアリングネットワークを経由して配信され、ファイル転送を通じてIT環境からOT環境へと侵入した。この攻撃により、氷点下の気温の中、600棟以上の集合住宅が2日間にわたり暖房供給を停止する事態となった。

FrostyGoopが注目される理由は、Modbus TCPが世界中の産業環境で広く利用されているためです。このマルウェアは、攻撃者がOT（オペレーション技術）に隣接するWindowsワークステーションを標的とする段階をすでに超えていることを示しています。現在、攻撃者は産業用プロトコルと直接通信するコードを作成しているのです。

FrostyGoopの目的は、それが読み込むコードそのものにあります。インポートされるライブラリは、ただ一つの目的、すなわち産業用コントローラとの通信のために存在しています。

ICSおよびOTに対する攻撃に見られる共通の傾向は、ある一貫した現実を浮き彫りにしています。すなわち、未知かつ検知を逃れる脅威がファイルとして環境内に侵入し、信頼境界を越えて、従来の防御策が反応する前に実行されてしまうという現実です。こうした攻撃を阻止するには、詳細な行動分析に加え、実行前に悪意のある意図を予測する能力の両方が必要となります。

MetaDefender 、ファイルに潜む未知の脅威や検知を回避する脅威を特定するために設計された、OPSWAT統合型ゼロデイ検知ソリューションです。適応型サンドボックス、脅威インテリジェンス、脅威スコアリング、機械学習による類似性検索を単一の検知パイプラインに統合し、すべてのファイルに対して信頼性の高い判定結果を提供します。

Aetherは、エミュレートされた環境でファイルを解析することで、ランサムウェアのロジック、コードインジェクション、分析回避手法、多段階ペイロードなど、静的解析ツールでは検出できない隠れた動作を明らかにします。さらに、これらの分析結果を数十億件に及ぶ脅威インジケーターと照合することで、リスクを特定し、亜種を洗い出し、その活動を既知の攻撃手法と関連付けます。

このアプローチにより、組織は、 sanitize（無害化）や変更が不可能な実行ファイル、スクリプト、アーカイブ、パッチファイルに含まれるゼロデイ脅威を検出できるようになります。また、動的解析が義務付けられ、ファイルの完全性を維持しなければならない規制業界におけるコンプライアンス要件にも対応しています。