水道インフラを狙う「見えない戦争」　米7州に広がったサイバー攻撃の衝撃 - 背後にイランの影か？

蛇口をひねれば水が出る。米国の多くの住民にとって、それは疑う必要のない日常だった。

しかし2026年7月末、その当たり前を支える水道施設のコンピューターが、外部から一斉に狙われていたことが明らかになった。

攻撃の中心として最初に公表されたのはミネソタ州だ。州当局によると、7月26日から27日にかけて、30を超える地域の水道システムで悪意あるアクセスが確認された。その後、ミシガン州でも9つの水道システムが影響を受けたことが判明。被害や関連する不審な活動は、少なくとも7州に広がっていると報じられている。

現時点で、水に有害物質が混入した、あるいは住民が危険な水を飲んだことを示す証拠は確認されていない。影響を受けた施設も、多くは安全な運転を継続した。

それでも今回の事件が米国社会に与えた衝撃は小さくない。

狙われたのは、顧客情報や職員のメールだけではない。ポンプを動かし、水圧を調整し、浄水処理に使われる設備を監視する「運用技術」だったからだ。

30を超える水道システムが一斉に標的に

ミネソタ州のIT部門は、今回の事案を「協調されたサイバー攻撃」と説明している。

影響を受けたとされる水道システムのすべてで、断水や水質異常が起きたわけではない。「影響を受けた」という表現は、施設の運用技術に対する不正アクセスや、悪意ある操作の痕跡が確認されたことを意味する。

しかし、一部の自治体では実際の運転にも支障が出た。

人口約1700人のミネソタ州ブラハムでは、水道施設の制御機能が停止し、井戸と浄水施設が一時的に稼働できなくなった。市は住民に水の使用を控えるよう要請。設備が復旧するまで、水道塔に残された水を利用して供給を維持する状況になった。

ミネアポリス近郊のプリマスでも、水道施設に関係する通信設備で障害が発生した。現場の職員は手動運転などで対応し、後に通信機能を復旧させた。

ミシガン州では、連邦政府から水道施設への攻撃に関する警告が出された後、州内の自治体から同様の不審な活動が報告された。州当局は、影響を受けた9システムについて、設備は安全に稼働し、公衆衛生上の問題は確認されていないとしている。

つまり今回の事件は、大規模な水質汚染や長期断水には至らなかった一方で、攻撃者が市民生活を支える制御システムに接触できた可能性を示した。

攻撃者が狙った「運用技術」とは

水道施設には、一般企業で使われるパソコンや業務ネットワークとは別に、物理的な機械を動かすためのシステムが存在する。

ポンプの起動と停止、水圧の調整、貯水量の監視、薬品投入量の管理、バルブの開閉などを担う設備だ。こうした仕組みは、OT、すなわち運用技術と呼ばれる。

その中心的な機器の一つが、PLCと呼ばれる小型制御装置である。あらかじめ設定されたプログラムに従い、センサーから情報を受け取り、機械に指示を出す。

工場、水道施設、発電所、交通設備など、現代社会のさまざまな場所で利用されている。

攻撃者がPLCや周辺の遠隔管理システムに侵入した場合、画面上のデータを盗むだけでなく、設備の動作そのものを変更できる可能性がある。

ポンプを停止させる。水圧を不安定にする。警報を無効にする。処理工程を混乱させる。操作履歴を書き換え、異常の発見を遅らせる。

実際にどこまでの操作が行われたかは、今後の調査を待つ必要がある。ただし、水道施設に対する攻撃が通常の情報漏えいとは性質の異なる脅威であることは明らかだ。

コンピューター上の異常が、現実世界の断水や設備破損、公衆衛生上の危険につながり得るからである。

なぜ地方の水道施設が狙われるのか

米国の水道インフラは、一つの巨大組織が全国を一括して管理しているわけではない。都市、郡、小規模自治体、地域事業者など、多数の組織がそれぞれ設備を運用している。

その中には、住民数千人程度の地域を支える小規模な施設も多い。

こうした施設では、サイバーセキュリティー専門職を常時雇用することが難しい。限られた予算は、老朽化した水道管の交換やポンプの修理、水質管理、人員確保などに優先的に使われる。

結果として、古い制御装置が長期間使用され、初期設定のパスワードが変更されていなかったり、遠隔管理機能がインターネットに直接接続されていたりするケースが生まれる。

設備を止められない事情もある。

一般的なパソコンであれば、更新のため再起動することは難しくない。しかし、水を24時間供給する設備では、ソフトウェア更新や機器交換のために簡単に運転を停止できない。

新しいセキュリティー機能を追加すると、古い機器との互換性が失われる場合もある。

攻撃者にとっては、世界的企業の高度に防御されたネットワークより、小規模な公共施設の遠隔操作装置を狙う方が簡単なことがある。

しかも水道への攻撃は、実際の被害が限定的でも、市民に強い恐怖を与えられる。

「水は飲んでも安全なのか」「突然断水するのではないか」という不安を広げるだけで、社会や行政への信頼を揺さぶることができる。その心理的効果も、重要インフラが狙われる理由の一つと考えられる。

イラン関与の可能性、ただし正式な断定はまだ

今回の攻撃について、米当局や専門家の間では、イランと関係する攻撃者が関与した可能性が調べられている。

その理由の一つは、過去にもイラン系とされる集団が、米国の水道施設や産業用制御機器を標的にしてきたことだ。

米政府機関は2026年4月、イランに関連する攻撃者が、インターネットに接続されたPLCなどを狙っているとして警告を発表した。7月には警告内容が更新され、対象となる機器メーカーや攻撃手法の範囲が広がっていることが示された。

今回の攻撃についても、標的となった設備、侵入方法、発生時期などに、過去のイラン関連活動と共通する特徴があると指摘されている。

金銭の要求が確認されていない点も、一般的なランサムウェア犯罪とは異なる。攻撃者が身代金を目的としていないなら、政治的な威嚇、報復、情報収集、社会混乱の誘発などが動機として考えられる。

一方、FBIを含む関係機関は、犯行主体を公に断定していない。

サイバー攻撃では、第三者の機器を経由したり、別の集団の手法を模倣したりすることが可能だ。攻撃に使われたプログラムや通信先だけで、背後の国家や組織を即座に特定することは難しい。

イランとの関係を疑う合理的な材料はあるものの、現段階では「イランが実行した」と確定した事実として扱うべきではない。

この慎重さは、単なる言葉の問題ではない。国家への帰属判断は、外交、制裁、報復措置、場合によっては軍事行動にもつながり得るためだ。

トランプ大統領の発言で政治問題に

技術的な調査が続く中、事件は急速に政治問題へと変化した。

トランプ大統領は記者からイランの関与について尋ねられた際、その見方を否定し、ミネソタ州側に責任があるとの趣旨の発言をした。攻撃の被害を受けた州の対応能力や、ティム・ウォルズ州知事を批判したが、その主張を裏付ける証拠は示さなかった。

これに対しウォルズ知事はXへの投稿で、大統領は誰が攻撃に責任を負うかを把握しており、他州も被害を受けたことを知っているはずだと反論。「これが現代の戦争の姿だ」と訴え、連邦政府のサイバー防御体制を弱体化させたとして政権を批判した。

本来であれば、攻撃経路の遮断、被害施設の復旧、全国の水道事業者への情報共有が最優先となる局面だ。

しかし、大統領と州知事の対立が注目を集めたことで、議論の中心は「誰が攻撃したのか」だけでなく、「誰が政治的責任を負うのか」に移り始めた。

サイバー攻撃への対応では、被害を公表した組織を責めることが、新たな危険につながる可能性もある。

被害を報告すれば政治的に攻撃されるという空気が広がれば、自治体や企業が侵入を隠すようになるからだ。情報共有が遅れれば、同じ手口による攻撃が別の施設へ拡大する。

最初に異常を検知し、公表したミネソタ州の情報が、他州による点検や被害発見につながった可能性もある。

SNSで広がった三つの反応

今回の事件はX、Bluesky、Facebook、Redditなどでも広く共有された。ただし、SNS上の投稿は世論全体を代表するものではなく、個別の公開投稿から確認できる傾向として見る必要がある。

第一に目立ったのは、生活インフラが狙われたことへの不安だ。

水道施設への攻撃という言葉から、水質汚染や毒物混入を心配する投稿が相次いだ。一方で、「システムへの侵入」と「飲料水の汚染」は同じではないとして、過度な恐怖や未確認情報の拡散を戒める声もあった。

現時点で水が危険になったことを示す証拠はなく、各自治体も必要に応じて住民向け情報を発信している。緊急時には、SNS上の推測より自治体や水道事業者の公式発表を確認することが重要となる。

第二の反応は、重要インフラへの投資を求める声だ。

セキュリティー関係者や議会関係者の投稿では、今回の攻撃を「警鐘」と位置付け、遠隔接続の制限、多要素認証の導入、初期パスワードの変更、ネットワーク分離、職員訓練などを早急に進めるべきだとの意見が示された。

一部の専門家は、特定メーカーの装置だけを問題視するのではなく、インターネット上に公開された制御機器や、使われなくなった遠隔接続を放置する運用そのものを改善すべきだと指摘している。

第三の反応は、トランプ大統領の発言をめぐる激しい政治的対立だ。

政権批判側からは、連邦機関が外国勢力の可能性を調べている段階で、被害を受けた州を非難するのは不適切だとの声が上がった。

一方、政権を支持する層からは、外国の攻撃以前に、自治体が設備の安全管理を徹底すべきだったという意見も見られた。

帰属を断定するには証拠が不十分だとして、ウォルズ知事側の強い主張にも慎重な姿勢を求める投稿もある。

SNSでは「イランの攻撃」か「州の管理不足」かという二者択一の議論になりやすい。しかし実際には、外国勢力による攻撃の可能性と、施設側の脆弱性は同時に存在し得る。

侵入した側に第一の責任があることと、防御態勢を改善する必要があることは、矛盾しない。

最大の問題は「一度の攻撃」ではない

今回、水道の安全性に重大な問題が生じなかったことは重要だ。しかし、それだけで事件を小規模だったと評価することはできない。

攻撃者が目的を達成できなかったのか、最初から限定的な混乱を狙っていたのか、より大きな攻撃に備えた偵察だったのかは、まだ分かっていない。

制御システムへの侵入では、攻撃者がすぐに設備を止めるとは限らない。内部構成を調べ、認証情報を収集し、将来利用できる接続経路を残すこともある。

平時に侵入経路を確保しておき、国家間の緊張が高まった時に一斉に利用する戦術も想定される。

水道だけが問題なのではない。

同じような遠隔制御機器は、電力、石油、ガス、交通、製造、食品、医療施設でも使われている。一つの業界で有効だった攻撃手法は、別の業界にも転用される可能性がある。

重要なのは、攻撃者の国籍だけを追うことではなく、侵入されても市民サービスを維持できる仕組みを作ることだ。

遠隔操作装置を外部ネットワークから切り離す。強固な認証を導入する。異常が発生した場合に手動運転へ切り替える。施設間で脅威情報を共有する。小規模自治体に技術者と資金を提供する。

さらに、どの設備がどのネットワークにつながり、誰がアクセスできるのかを把握する必要がある。意外なことに、組織自身が接続機器の全体像を把握できていないケースは珍しくない。

水道を守ることは、社会への信頼を守ること

今回の攻撃は、サイバー戦争が軍や情報機関だけの問題ではなくなったことを示している。

攻撃の入口となったのは、巨大な軍事施設ではない。地域住民に毎日水を届ける、小さな自治体の制御装置だった。

高度な兵器を破壊しなくても、生活に欠かせないサービスへ不安を与えることで、国家や行政への信頼を揺さぶることができる。

幸い、現時点で米国の飲料水に広範な危険が生じたことを示す情報はない。現場の職員は設備を手動で動かし、通信を復旧させ、水の供給を維持した。

しかし、次の攻撃も同じ結果になる保証はない。

攻撃主体の特定と責任追及は必要だ。それと同時に、水道事業者が攻撃されることを前提として、被害を最小限に抑える体制を整えなければならない。

安全な水は、衛生や健康だけではなく、都市、産業、医療、消防、そして社会全体の信頼を支えている。

今回の事件が突きつけたのは、単純なコンピューターの問題ではない。

「蛇口から安全な水が出る」という日常を、デジタル時代にどう守り続けるのかという、国家規模の課題である。

出典URL

The New York Times：少なくとも7州に広がった攻撃、イラン関与の可能性、トランプ大統領の発言など、記事の主要情報
https://www.nytimes.com/2026/08/01/us/politics/iran-cyberattack-water-systems.html

Minnesota IT Services：7月26～27日に30以上の地域水道システムが攻撃対象となったことを発表した州政府の一次情報
https://mn.gov/mnit/media/blog/?id=38-761869

AP通信：ミシガン州の9システム、ブラハムとプリマスの状況、FBIの調査、各施設の安全運転に関する報道
https://apnews.com/article/cyberattack-minnesota-water-systems-77d52a1d7356e608500a1ddb0ec373a6

Reuters：ミネソタ州の攻撃時期、正式な帰属判断が出ていないこと、PLCを狙う攻撃と連邦警告に関する報道
https://www.reuters.com/legal/litigation/minnesota-it-officials-disclose-coordinated-cyberattack-more-than-30-local-water-2026-07-28/

米環境保護庁（EPA）：水道・下水道施設へのイラン関連攻撃について、FBI、CISA、NSAと共同で発表した警告
https://www.epa.gov/newsreleases/epa-fbi-cisa-nsa-issue-joint-cybersecurity-advisory-water-system-regarding-iranian

米サイバーセキュリティー・インフラ安全保障庁（CISA）：イラン関連攻撃者によるPLCへの攻撃手法と対策を示した技術勧告
https://www.cisa.gov/news-events/cybersecurity-advisories/aa26-097a

ティム・ウォルズ・ミネソタ州知事のX投稿：トランプ大統領の発言への反論と、現代の戦争としてのサイバー攻撃に関する主張
https://x.com/GovTimWalz/status/2083235434168021219

米下院国土安全保障委員会共和党側のX投稿：水道施設への攻撃を警鐘と位置付け、官民の防御強化を求めた反応
https://x.com/HomelandGOP/status/2083246060244226501

Joshua Achiam氏のX投稿：過去の水道施設攻撃や、複数施設で共通利用される機器の危険性を指摘した技術者側の反応
https://x.com/jachiam0/status/2083348286006571069

プリマス市のFacebook投稿：サイバー攻撃後に水道インフラの通信機能を復旧したことを知らせた自治体発表
https://www.facebook.com/plymouthmn/posts/water-infrastructure-communications-have-been-restored-following-a-cyber-attack-/1357653646489769/

Xのトレンド情報：攻撃の拡大やトランプ大統領の発言がSNS上で主要な論点となったことを確認する参考情報
https://x.com/i/trending/2083658192181973036