エグゼクティブ サマリー
数十年にわたり、日本の製造工場やクリーンルーム、自動組立ラインを支えてきた運用技術（OT）システムは、「エアギャップ（物理的隔離）」による安全性の確保を不可欠な前提として運用されてきました。工作機械や産業用ロボット、MES、SCADA等の監視制御システムを外部ネットワークから遮断することは、物理的な障害を引き起こすサイバー攻撃に対する絶対的な境界防御と位置付けられていたためです。この「非接続環境による安全神話」こそが、従来のOTセキュリティにおける防衛の根幹を形成していました。
しかし、国内でデジタル変革（DX）が加速するにつれ、レガシーなOT環境は産業用イーサネット、クラウド、データ分析基盤、リモート保守ツールを介して、エンタープライズ（IT）ネットワークへ急速に統合されつつあります。産業標準モデルである「パデューモデル」の構造上、こうした相互接続は、上位層（IT）から物理プロセスを直接制御する下位層（OT）への潜在的な攻撃経路を不可避的に創出します。
その結果、アタックサーフェス（攻撃対象領域）は拡大・複雑化し、攻撃者が侵害したIT環境を足がかりに運用システムへとラテラルムーブメント（横展開）を遂行することが容易な環境を生み出しています。
現代における現実：物理的隔離（エアギャップ）という幻想
現代の製造現場は、もはや完全に独立した「孤島」ではありません。稼働率の最大化や運用効率の最適化、予知保全の推進を目指し、多くの産業組織が現場の物理資産をITネットワークへと急速に統合してきました。このIT/OT融合は未曾有の生産性向上をもたらした反面、アタックサーフェス（攻撃対象領域）をかつてない規模へと拡大させています。Palo Alto NetworksのOT脅威リサーチラボ、シーメンス、アイダホ国立研究所（INL）の共同研究による『インテリジェンス主導型アクティブ ディフェンス
レポート 2026年版』は、このデジタル露出の深刻な実態を浮き彫りにしています。
『インテリジェンス主導型アクティブ ディフェンスレポート 2026年版』
世界規模で爆発する露出リスク
2024年のグローバル・インターネットスキャンにおいて、外部に露出したOTデバイスは1億1,000万件以上検知され、前年比138%増を記録しました。
特定された高精度の標的
同スキャンにより、1,960万台の固有なOTデバイスおよびサービスが確実に識別（フィンガープリント）され、パブリック環境へ露出していることが判明しました。これは2023年比で332%増という著しい急増です。
ITを経由した侵入経路の確立
物理的な安全性は、もはやネットワーク境界のみでは担保できません。過去のインシデントデータ分析によれば、OTサイバー攻撃の70%以上が企業のIT環境を起点としています。攻撃者はフィッシング等でIT端末に足がかりを得ると、境界の脆弱性を突いてIT/OT非武装地帯（DMZ）を突破し、制御用の自動化サブネットへ直接侵入します。
このOT露出リスクは欧米に限られた問題ではなく、日本企業の経営層にとっても極めて深刻な脅威です。日本国内でインターネット上に確認される固有のOTデバイス数は92万2,598台に達し、世界で5番目の多さを記録しています。この突出した露出レベルは、産業システムにおいて不審な挙動を運用へ影響が出る前に検知・遮断する動的な防御体制の確立が不可欠であることを物語っています。
OT攻撃における「経済性」の構造変化
今日のOT脅威環境が持つ緊急性を正しく把握するには、産業サイバー攻撃における「経済性（費用対効果）」と「技術的障壁」の劇的な変化を検証する必要があります。
かつてのStuxnetは、極めて特異な事例でした。イランのナタンズ濃縮施設を標的とした同作戦には、複数のゼロデイ脆弱性、盗用されたデジタル証明書、シーメンス製制御技術の専門知識、高度なPLC制御、物理プロセスの内部インテリジェンス、そして膨大な開発とテスト期間を要しました。報告によれば、事前検証用に実機同型の遠心分離機まで準備されていたとされ、こうした攻撃は国家主導のリソースがあって初めて成立するものでした。
しかし15年を経た現在、攻撃者が産業運用を停止させるためにStuxnet級の高度な攻撃を再現する必要はありません。パブリックインターネットに露出したPLC、HMI、産業用ゲートウェイ、リモートアクセス基盤の存在が、過去とは根本的に異なるアタックサーフェスを形成しているためです。
公表された脆弱性情報、容易に入手できる探索スキャンツール、再利用可能なエクスプロイトコード、サイバー犯罪用の汎用ツール、普及した産業用プロトコルの知見により、OT環境へ侵入・攻撃するための技術的ハードルとリソースコストは劇的に低下しています。
近年のインシデント事例は、この構造変化を如実に物語っています。脅威アクター（攻撃者）は、弱小な認証情報やデフォルト設定のまま露出したPLCを直接標的としています。さらに「FrostyGoop」などのマルウェアは、Modbus TCPをはじめとする標準的な産業用プロトコルを悪用し、物理的な制御プロセスを直接操作可能であることを実証しました。ここで留意すべき最も重大な変化は、「Stuxnet級の兵器が数百ドルで手に入るようになったこと」ではありません。多くの運用環境において、攻撃者が深刻な業務停止を引き起こすにあたり、もはや国家レベルの特注された高度な攻撃能力（TTPs）を一切必要としなくなったという現実そのものにあります。
「サイレント・ウィンドウ」：185日間に及ぶ攻撃前兆と防衛機会
初期侵入が、即座に生産停止などの実害へ繋がるとは限りません。多くのOT侵害において、攻撃者はネットワーク構造の把握や認証情報の窃取、物理制御プロセスの解読に相応の時間を費やします。この前兆活動は、防衛側にとって絶好の検知・阻止の機会となります。Palo Alto NetworksのOT脅威リサーチラボ、シーメンス、およびアイダホ国立研究所（INL）が「CyOTE™」手法に基づき過去20年間のインシデントを分析した調査によれば、重大な物理障害の発生に先立ち、攻撃者は長期間にわたり環境内に潜伏していることが実証されています。
前兆フェーズへの集中
攻撃活動全体の実に82.8%が、長期にわたる「前兆フェーズ」で発生しています。これは、攻撃者が侵入やラテラルムーブメント（横展開）を精力的に進めつつも、まだ致命的な物理破壊や稼働停止を引き起こしていない潜伏期間を指します。
185日間の猶予期間
攻撃者は侵害した環境内に侵入後、最終的な攻撃を実行に移すまで、平均して「185日間」滞留しています。
この185日間という「サイレント・ウィンドウ」は、脅威が制御システムへ到達する前に、不正な認証情報利用や異常なリモート接続、内部スキャン等を検知・遮断するための貴重な猶予となります。この好機を活かすには、IT/OT境界全体の可視化と、稼働へ影響が及ぶ前に不正活動を即座に制御・遮断できる防御ポイントの確立が不可欠です。
「百聞は一見に如かず」が示す真の意義
客観的データがリスクを明示しているにもかかわらず、産業セキュリティの対応が遅れる背景には、根深い「文化的分断」が存在します。数十年にわたり、ITセキュリティチームとOTエンジニアは相反する価値観のもと、組織のサイロ化を維持してきました。IT側がデータの機密性やパッチ適用を重視する一方、OT側は物理的安全性、設備稼働率、人命保護を最優先します。精緻に稼働する生産ラインを揺るがしかねないIT主導の対策に対し、現場責任者が強い警戒感を抱くのは当然の帰結と言えます。この溝を埋めるには、理論上の議論を超えた、直感的かつ物理的な証拠の提示が不可欠です。
これこそが、OT脅威リサーチラボが「Tokyo OT CyberWall」を開設した背景にある理念です。脅威研究を抽象的なレポートから実体ある物理的現実へと引き上げるため、CyberWallではHMI、マルチベンダーPLC、産業用スイッチ、ファイアウォール、ロボットアーム等の実機環境を構築しました。サイバー攻撃の展開プロセスと、エッジ主導のアクティブ・セグメンテーションによるリアルタイム遮断を精密に実証しています。
単一のIT侵害がロボットアームの誤作動を引き起こす現実を目の当たりにさせることで、日本の産業防衛に必要な「意識の共有」が醸成されます。エアギャップが形骸化し、攻撃ツールが浸透する現代の製造現場において、実態を直視することこそが意識改革への唯一の道筋となります。
本ブログの日本語版のレビューにご協力いただいた西村克治氏に感謝いたします。