フィルブリック: 交通インフラをサイバー脅威から守らなければなりません

San Jose Spotlight のヘッドラインを受信トレイに配信します。

2008年、10代の少年が古いテレビのリモコンを赤外線送信機に改造し、市の路面電車システムをハッキングするために使用し、スイッチを作動させたり、電車の方向を変えたりして、数千ドルの損害を与え、十数人が負傷した。 10 年後、ベイエリア高速交通機関 (BART) は、シスコが供給した 1,000 台のハードウェアデバイスの 86% に「デバイス上の隠されたバックドアと、データが米国の利益に敵対する外国に送信される持続的な「ping」を含んでいることを発見しました。」

デバイスは 72 時間以内に交換されました。しかし、この状況は危険を超えています。外国の敵対国や国内のテロリストが、たとえ我が国の交通システムの一部であっても掌握したことを想像してみてください。列車が脱線すると、数百万ドルの損害が発生し、さらには人命が失われる可能性があります。

米国最大の公共交通システムの一部にはランサムウェアやマルウェアが潜んでいることがわかっているため、重要なインフラとコミュニティを保護するために今すぐサイバーセキュリティに取り組む必要があります。

実際、今年初めに BART が再び攻撃を受け、ランサムウェアハッカーが 120,000 件の警察ファイルのコレクションを公開しました。公開されたファイルには、メンタルヘルスの記録、BARTプロジェクトに携わった請負業者の名前と運転免許証番号、さらには児童虐待の疑いを詳細に記した未編集のファイルも含まれていた。

これらのファイルは BART 内部文書の 1% にすぎず、サービスには影響しませんでしたが、サイバー攻撃者が交通機関を標的にしたのはこれが初めてではありませんでした。そして、これらの攻撃が、数百万ドルの運営予算と国土安全保障省のサイバーセキュリティアドバイザープログラムにアクセスできる公的機関であるBARTのリソースを持つ政府機関を脅かす可能性がある場合、すべての政府機関が危険にさらされます。行動を起こす時が来ました。

そしてBARTだけではありません。ここ数年、国内最大の交通システムであるニューヨーク市都市交通局を含む複数の交通機関や鉄道システムが、このような悪意のある攻撃の被害に遭っています。サンフランシスコ市交通局 (SFMTA) も、悪意のある者が身代金目的でデータを保持するために 2,000 台のサーバーに侵入した際に標的となりました。このシナリオでは、バスの運転手がルート割り当てを手書きしなければならなかったことが最悪の影響でしたが、他の同様のシナリオではサービスの中断や負傷が発生しました。

2021 年、サンタクララバレー交通局 (VTA) は、攻撃者が従業員の個人データを公開すると脅迫したサイバー侵害を回避することに成功しました。この攻撃はバスや路面電車のサービスに影響を与えなかったが、政府機関は「データへの重大な影響の可能性から守る」ためにコンピューターシステムを数日間シャットダウンした。この事件により、VTA はサイバーセキュリティの保護と備えにさらに投資することになり、その中には新しい専任のサイバーセキュリティチームの創設も含まれていました。

この目的を達成するために、VTA は今年 5 月に初のサイバーセキュリティ準備演習を開催し、関係者が潜在的なサイバーセキュリティの脅威を特定、隔離、解決できるように準備しました。具体的には、この机上演習は、「サービス妨害身代金攻撃、サイバーテロリスト、「ハクティビスト」、サイバースパイ活動などの高度で持続的な脅威」に対する政府機関の防御を構築するために開発された。

VTA はサイバー脅威から保護するために具体的な措置を講じていますが、他の機関はどうなのでしょうか? ミネタ交通研究所の報告によると、交通機関の 42% には事故対応計画がなく、36% には災害復旧計画がなく、53% には業務継続計画がありません。さらなる取り組みがなければ、サイバーセキュリティの脅威は増大する一方です。

研究員でセキュリティ専門家のスコット・ベルチャー氏は、「交通機関がより洗練され、より接続されるにつれて、犯罪者がアクセスするリスクと機会は倍増している」と述べた。「接続性を利用すればするほど、コネクテッドカーテクノロジーを利用すればするほど、インターネットにアクセスすればするほど、より脆弱になります。」

上記のような攻撃やその他の注目を集める攻撃は、サイバーセキュリティの問題が必要な注目を集め始めていることを意味します。増大する脅威に対応して、バイデン政権は米国の重要な交通インフラの保護を強化するための新しいサイバーセキュリティ要件と政策の導入を開始した。これには、大統領令、安全保障指令、2022 年の国家安全保障覚書が含まれます。この特定の大統領令は、連邦政府機関に対し、より強力で最新のサイバーセキュリティ基準を導入し、サイバーセキュリティ安全性審査委員会を設立することを求めています。