ホンダが1カ月遅れでサイバー攻撃にあった理由

　まずはホンダが公表している範囲で、事件の経緯を見てみよう。狭山工場の生産設備の一部で感染が発覚したのは6月18日のこと。当日は日曜日で工場は休みだった。

ワナクライの感染で操業を一時停止したホンダの狭山工場（写真：ロイター/アフロ）

　感染していたウイルスは「ワナクライ」。パソコンの機能を停止させて、画面上に「解除してほしければ仮想通貨を●●ドル払え」などと表示して脅迫する。ランサム（身代金）ウェアと呼ばれるウイルスの一種だ。しかし、ホンダによると、ワナクライには「感染」していたが「発症」はしていなかった。つまり、身代金要求のメッセージは出ていなかった。

　翌19日月曜日、システムを起動させて感染が拡大することを恐れたホンダは、自ら操業停止を決断。翌20日までにはウイルスの隔離や再発防止策を終え、稼働を再開したという。ミニバンの「オデッセイ」やセダンの「アコード」など約1000台分の生産が止まったことになる。同時期にホンダの海外の工場でも感染被害が出ているが、こちらも同様に20日までに対策を実施し、生産が止まる被害もなかったとしている。

　5月に起きた事件も振り返っておこう。事件は日本時間の5月12日ごろに発生したとみられる。ワナクライは既にサポートが終了した「XP」などウィンドウズの古い基本ソフト（OS）の脆弱性をついた。その直後に、一般社団法人のJPCERTコーディネーションセンターが実施した調査によると、日立製作所など国内でも被害が出て、2000台以上の端末が感染したという。

　ここでいくつかの疑問が浮かんでくる。まず、いつ狭山工場が感染したのか、ということだ。脅迫文が表示されるワナクライの感染は通常直ぐに判明するが、今回「発症」はしなかったので、詳しい感染時期は分からない。しかし、ホンダは5月の事件直後に全社システムの一斉点検も行っている。少なくとも5月の事件から1カ月間ウイルスが放置されていたとは考えづらい。

パッチが機能しない古いOS

　それならば、次の疑問は、ホンダは5月の事件を受けて対策を施していなかったとのか、ということだ。ワナクライに対応できるパッチ（修正ソフト）は3月時点でマイクロソフトが公表していた。しかし、ホンダによると、狭山工場で採用していたOSは「あまりに古いタイプだったため、修正ソフトが機能しなかった」のだという。

　これは現時点では憶測に過ぎないが、OSが「あまりに古い」ため、ワナクライが「発症」しなかった可能性もある。ある専門家によると、少なくとも高度なハッカーであれば「まずは企業の情報システムに侵入して工場の状況をチェックしてから、制御システムに攻撃を仕掛ける」のだそうだ。もし何者かが改めて6月18日の直前に、ホンダを狙い撃ちにしてワナクライを送ったのだとしたら、何ともお粗末な結果だ。今回の狭山の感染は、5月18日の感染が1カ月経ってから飛び火した、と考えるのが合理的だろう。

１カ月後に感染の謎

　それではなぜホンダが1カ月遅れで感染に到ったのかについて、電気通信大学情報工学研究科の新誠一教授に考察してもらった。新教授は制御システムのサイバーセキュリティーに関する技術研究組合の理事長を務めるなど、工場のサイバー防衛の第一人者だ。

「隔絶したシステムなんてない」

　近年、なぜ工場がサイバーセキュリティーの新たな標的となっているか。その理由の一端にあるのが「工場は外部インターネットと隔絶したシステムだから大丈夫」という企業側の油断にある。しかし、新教授によると「工場は外部とは常時つながっていないだけだ。完全な外部との遮断はあり得ない」と断じる。システムの更新やデータの共有のためには何らかの手段で外部と接続する必要があるからだ。実際、ホンダも「狭山は完全なスタンドアローン（孤立した）システムではなかった」と認めている。

　新教授が推測する今回の感染ルートの1つは、通信ポートの管理ミスだ。「XP以前のOSは通信ポートをむやみやたらに開けてしまう。プリンターの接続などで使っていたポートを見落とす事例は多い」という。ワナクライは次の感染先のパソコンを乱数によりランダムに決める。見落とされていた複雑なネットワークを通じて狭山工場に行き着くまでに、1カ月の時間を要したという可能性がある。

　もう1つ考えられる感染ルートは、外部から持ち込まれたパソコンや携帯電話、USBメモリーなどだ。悪意ある関係者がウイルスをばらまいたか、うかつな従業員が私用で持ち込んだ携帯電話が感染元であることも否定はできない。しかし、より可能性が大きいのは、メンテナンスに伴う外部機器の持ち込みによる感染だ。通常、こうした機器は持ち込み時に感染がないか検査をしなければならないが、「工場が保有しているウイルスチェックリストが最新のものに更新されていないなど、落とし穴があることは多い」（新教授）という。

　「工場が外部から遮断されているから安全」という考えは極めて危険だ。しかし、狭山工場のOSが修正ソフトを適用できないほど古い型だったことに象徴されるように、工場のサイバーセキュリティー対策は一筋縄ではいかない。

1960~70年代に作られたシステム

　5月の事件でワナクライに関するレポートを発表したロシアのカスペルスキー研究所。創業者のユージン・カスペルスキー最高経営責任者（CEO）は、事件後に日経ビジネスの取材に答え「日本の企業の被害は比較的少ない。日本のセキュリティー担当者はしっかり仕事をこなした」と評価していた。一方、ホンダの事件を予想するかのように、こうも付け加えた。「工場の防衛はより複雑な問題だ。1960〜70年代に作られたシステムが未だに温存されている」。

　新教授は「効率化を追い求めて自動化が進んだ工場は、『止める』ことを前提にしていない」と指摘する。極端な例で言えば、溶鉱炉を利用しているガラス工場などだ。溶鉱炉は一度火を止めると、一から作り直さなければいけないケースがある。半導体工場もクリーンルームの浄化設備を常時稼働する必要がある。新教授は「停電で数ミリ秒（ミリは1000分の1）設備が止まっただけで、再浄化などのため2週間生産を止めた例もある」と話す。自動車工場はこうした設備上の制約は少ないが、裾野産業が広いため、簡単には稼働率を落とせない。

　OSのアップデートは時として企業のソフトウエアに予期せぬエラーをもたらす。工場の停止を恐れる企業はアップデートを忌避し、独自のメンテナンスで目先の問題に対処する。すると、古いOSが独自の進化を続けながら温存されるというわけだ。新教授によると、こうした工場では、古いOSを外見上最新のOSにしてセキュリティーを強化する「ラッパー」などの技術を導入する対策が考えられるという。

　工場がウイルス感染により停止した事例が明らかになるのは国内では極めて珍しい。工場が停止する時点では設備の老朽化などが原因の可能性もあり、調査が必要となることが多い。「後でサイバー攻撃があったと分かっても、企業はわざわざ弱みをさらすような発表はしない。実際にはホンダ以外にも被害例は少なからずある」と新教授は指摘する。

　ホンダも当然、被害について最低限のレベルでしか取材に応じていない。それでも工場を抱える多くのメーカーは、ホンダの事例を矮小化せず、サイバーセキュリティーのリスクを再認識し、対策を練り直すことが求められている。