米国の重要インフラを守るCISA（サイバーセキュリティ・インフラセキュリティ庁）、FBI、NSA、エネルギー省などの連邦機関が2026年6月、ガソリンスタンドや産業施設で使われる自動タンク計測装置（ATG: Automatic Tank Gauge）が900台超もインターネット上に無防備な状態で公開されており、現在進行形の攻撃を受けているとして共同勧告を発出した。

ATGシステムとは何か

ATG（Automatic Tank Gauge）とは、地下の燃料タンクや化学物質タンクの液量・液温・漏洩を遠隔監視する電子計測装置だ。ガソリンスタンドでは在庫管理・環境規制対応・漏洩検知に不可欠なシステムで、コンビニチェーンや石油会社が広く導入している。産業施設では危険な化学物質の管理にも使われる、物理インフラの「神経系」とも言える存在だ。

発見された脆弱性と攻撃の実態

インターネット監視組織Shadowserverの調査では、2026年6月5日時点でグローバルに1,061台のATGシステムがポート10001/TCPで公開状態にあり、そのうち909台が米国内に集中していた。

確認された主な脆弱性は次のとおりだ：

  • ハードコードされた認証情報（工場出荷時のパスワードが未変更）
  • 認証バイパス
  • SQLインジェクション
  • OSコマンド実行
  • 権限昇格

攻撃者はこれらの脆弱性を悪用してシステムに不正アクセスし、設定変更やコマンド実行攻撃を行っている。CISAの警告によれば、システムアラートを無効化された場合、燃料漏洩や機器故障のリスクが高まるだけでなく、タンクシステム自体に恒久的な損傷をもたらす可能性もある。

イラン系ハッカーによる先行侵害も確認済み

今回の共同勧告には具体的な侵害事例が背景にある。2026年5月のCNN報道では、イランのハッカー集団が複数のガソリンスタンドのATGシステムに侵入し、表示上の燃料残量の数値を改ざんしたことが判明した（実際の燃料量そのものは変更されていない）。イラン系ハッキンググループは以前から燃料管理システムや産業制御技術（ICS）を標的にしてきた前歴があり、米政府はこれらの事案との関連を精査している。

さらに同年4月には別の共同勧告で、Rockwell Automation製Allen-Bradley PLC（プログラマブルロジックコントローラ）への攻撃でイラン国家支援ハッカーが財務的損失と業務停止を引き起こしたと指摘。セキュリティ企業Censysの調査では、世界中でインターネット上に露出しているICSの74.6%が米国産という実態も明らかになっている。

推奨される対策

連邦機関は重要インフラ事業者に対し、以下を即時実施するよう求めている：

  • ATGシステムへのインターネットからの直接アクセスを遮断する
  • ファイアウォール・VPN・アクセス制御リストで管理されたアクセスのみに制限する
  • デフォルトパスワードを強力な認証情報に変更する
  • セキュリティアップデートを適用する
  • 不正変更を検知するシステム監視を実装する
  • 可能な範囲で多要素認証（MFA）を導入する

実務への影響

ATGシステムは日本のガソリンスタンドや化学工場にも広く導入されている。ベンダーが共通であれば同じ脆弱性を抱えている可能性があり、「対岸の火事」として見過ごすのは危険だ。

IT管理者・セキュリティ担当者がすぐ取れるアクションは明確だ：

  • 資産台帳の棚卸し: OT（運用技術）領域の機器がインターネットに直接公開されていないか洗い出す
  • 外部視点での自己診断: ShodanやCensysで自社のIPレンジを検索し、公開状態のATG・ICS機器がないか確認する
  • ネットワーク分離の徹底: OTネットワークをITネットワークから完全に分離するか、厳格なマイクロセグメンテーションを実施する

筆者の見解

ATGに限らず、インターネットに露出したまま10年以上放置されているOT機器は世界中に無数に存在する。設計当時はネットワーク接続を前提としていなかった機器に、後からリモートアクセス用のポートを開けた結果がこの惨状だ。

ゼロトラストの観点から言えば、今回の勧告で推奨されている「VPNをかませばいい」は応急処置に過ぎない。本来あるべき姿は、OT機器がインターネットから絶対に到達できない位置に置かれ、アクセスが必要な場合のみJust-In-Timeでアクセス権が付与されるアーキテクチャだ。VPNは「とりあえず今すぐできること」として価値があるが、ゴールと混同してはいけない。

イラン系グループによる「表示値だけ改ざん」という手口は一見インパクトが小さく見えるが、安全上きわめて危険だ。漏洩検知システムが誤った数値を返せば、物理的な事故の検知が遅れる。「デジタルの改ざん → 物理的な被害」という連鎖は、今後のサイバー攻撃でますます重要なベクターになる。攻撃者が今回「実害なし」で止めたのは、能力の限界ではなく意図的な判断の可能性が高い。

日本のエンタープライズ環境では、ITとOTの境界が「なんとなくセグメントされている」状態が多い。今回の勧告を、自社OT環境を改めて棚卸しするいい機会として活用してほしい。

出典: この記事は Over 900 US gas station tank gauge systems exposed to attacks の内容をもとに、筆者の見解を加えて独自に執筆したものです。