「サポート切れルーターはすべて廃棄を」米CISAが異例の命令、その深刻な理由とは

2026年02月17日 07時00分更新

文● 小島寛明

参考画像

　「サポートが終了したルーターやVPNは、すべて廃棄してください」
　米国サイバーセキュリティ・インフラセキュリティ庁（CISA）が、連邦政府の「文民行政機関」に対して、こんな命令を出した。2026年2月5日に同庁がウェブサイトで公表している。この「文民行政機関」という言葉が聞き慣れないため調べると、国防総省やCIA（中央情報局）など軍事や情報に関わる機関を除く言葉のようだ。

　書き出しの文言については、だいぶ意訳したのであらためて正確に書く。CISAは政府機関に対して次のように命じている。「指定された期限内に、稼働中のエッジデバイスの資産ライフサイクルの管理を強化し、OEM（メーカー）によるサポートが終了したハードウェアおよびソフトウェアデバイスは全て削除しなければならない」

　このエッジデバイスという言葉は、政府機関の内部のネットワークと外部のネットワークの境界で使われる機器やソフトウェアを指す。つまり、政府機関は、ルーターやVPN（仮想プライベート・ネットワーク）などの機器・ソフトのサポートが終了している場合、速やかに廃棄または削除しなければならない。

　CISAが、この命令に踏み切った背景には、近年、中国やロシアなどとの関係があるとされるハッカーのグループによる、ルーターなどを狙った「環境寄生型」と呼ばれる攻撃の脅威が高まっている現状がある。国際情勢の不安定化により、政府機関や企業にとって、古くなったハードを使い続けることのリスクはこれまで以上に高まっている。

Volt Typhoonによる「環境寄生型攻撃」とは

　この環境規制型攻撃とは、どのような手法なのだろうか。Volt Typhoon（ボルト・タイフーン）と呼ばれるグループによる米国の政府機関や民間企業を狙った「環境寄生」が確認されている。2024年2月7日にCISAやNSA（国家安全保障局）などが連名で公表した報告書では、「中国が支援するサイバーグループ」と名指しされている。

　Volt Typhoonが狙ったのは、通信、エネルギー、輸送システム、上下水道といった米国の重要インフラだ。ルーターやVPNなどの機器で、メーカーのサポートが期限切れになった古い機器を使っている場合、古い機器を通じてネットワークへの侵入を図った。

　こうした機器を通じた侵入の場合、マルウェアなどを使った攻撃とちがって、システム管理者が通常のメンテナンスの作業をしているように見えるため、攻撃として検知されにくい特徴がある。特殊なハッキングのアプリは使わず、PowerShellのようなWindowsに標準装備されているコマンドラインツールを使っていた。侵入も、米国で政府機関や企業の職員が働いている、通常の業務時間に合わせて実行されるようだ。古いルーター経由の侵入に成功すると、システム管理者のIDやパスワードといった認証情報の入手を試みる。

　Volt Typhoonがやっかいなのは、侵入に成功しても、すぐに多くの情報を盗み出すといった、派手な攻撃は実行しない点だろう。長期間、特定の重要インフラのネットワークに潜み情報は入手するものの、基本的にはじっとしている。

　この報告書は、Volt Typhoonの行動は「物理的な影響を伴う後続の行動をやりやすくするための情報収集」に当たると分析している。上下水道や電気といった重要インフラに潜伏し、いざ大規模な攻撃を仕掛けて、断水や停電といった現実的な被害を出すことを想定し、静かに準備を進めているということだろう。

ポーランドの発電所で環境寄生からの攻撃事案

　2025年12月29日には、ポーランドの風力発電所や太陽光発電所など約30施設を狙った大規模なサイバー攻撃が確認されている。新年を間近に控えたポーランドは当時、低温と暴風雪の中にあったという。結果として停電は起きなかったとされるが、制御機器などの物理デバイスが使用不能になるなどの被害が生じたとされる。

　この攻撃は、中国ではなく、ロシア系のグループが実行したと見られ、やはり、ルーターなどのぜい弱なエッジデバイスから侵入、「環境寄生」の後、具体的なエネルギーの供給網をターゲットとする攻撃が実行された。

　Volt Typhoonやポーランドでの事例を受け、米CISAはサポート切れのルーターなど「古いエッジデバイスは捨ててください」という強めの命令に踏み切ったのだろう。

　この環境寄生という攻撃手法は、日本においても、かなり深刻な脅威であると受け止めるべきだろう。サポートの期間が終了しても、問題なく動いていれば、「まあいいか」と言って使い続けている企業、政府機関、あるいは個人は少なくないだろう。

　CISAのレポートでは、中小企業がターゲットにされる事例についても触れられている。たとえば、発注元の電力会社が万全なセキュリティを構築していたとしても、業務を請け負っている規模の小さな企業のぜい弱性を見つけ出し、そこから侵入を図るといった手法だ。

　重要インフラを担う政府機関や大企業だけでなく、取引先の中小企業まで対策を徹底するとなると、かなりの困難を伴うのではないか。

筆者──小島寛明

1975年生まれ、上智大学外国語学部ポルトガル語学科卒。2000年に朝日新聞社に入社、社会部記者を経て、2012年より開発コンサルティング会社に勤務し、モザンビークやラテンアメリカ、東北の被災地などで国際協力分野の技術協力プロジェクトや調査に従事した。2017年6月よりフリーランスの記者として活動している。取材のテーマは｢テクノロジーと社会｣｢アフリカと日本｣｢東北｣など。著書に『仮想通貨の新ルール』（ビジネスインサイダージャパン取材班との共著）。

ツイートする

カテゴリートップへ