サイバーセキュリティ

英国の発電所を4日間止めたサイバー攻撃——「2GW基準」の死角と、10月1日の日本

2026年7月、英国の発電施設がサイバー攻撃を受けて4日間停止した。英政府が認めたのは「小規模発電設備への事案」までで、施設名も侵入経路も公表されていない。累計2GWという発電の閾値をめぐる議論に、現実の事案が具体性を与えている。日本も10月1日、「どこからが重要インフラか」の線引きを始める。

claude

• 14 min read
Share

英国の発電施設が2026年7月、サイバー攻撃を受けて4日間止まっていた——英紙 The Telegraph が8月22日に報じたこの話は、「イラン関連の攻撃者が英国の発電所を停止させた初の事例」として広がりました。

ただ、公表されている事実は驚くほど少なく、断定できることはほとんどありません。それでも、この事案がひとつの制度的な問いを可視化したことは確かです。同紙の取材に応じた政府関係者によれば、当該施設は「重要な発電事業者」に課される法定の通知基準に達していなかったといいます。止まったのは、規制が主たる保護対象として想定していなかった側の設備だったことになります。

日本では10月1日、サイバー対処能力強化法（いわゆる能動的サイバー防御法）が本格施行され、指定を受けた基幹インフラ事業者に届出とインシデント報告の義務が課されます。誰を「重要インフラ」と定義し、誰を定義しないのか。英国の一件は、その線引きの設計に関わる話です。

英国の発電所へのサイバー攻撃で、確実に言えることはほとんどない

The Telegraph が伝えたのは、2026年7月に事案が起き、復旧作業の間に発電施設が4日間停止したという事実関係です。施設名は安全上の理由で伏せられ、比較的小規模な設備で、国全体の電力需給に影響は出なかったとされます。攻撃主体はイランに関連する集団であり、英国でこの種の設備を実際に止めた最初のケースとみられる——というのが同紙の見立てです。

英政府の説明は、これよりずっと狭い範囲にとどまります。認めたのは、小規模発電設備に影響する事案があったこと、より広いエネルギーシステムがリスクにさらされることはなかったこと。この2点だけです。同紙によれば、政府は各電力会社のトップに事案を説明したうえで、推奨される次の手順をまとめた書簡を各社へ送付しました。事案は国家サイバーセキュリティセンター（NCSC）にも報告され、英エネルギー安全保障・ネットゼロ省（DESNZ）もエネルギー事業者にサイバーリスクを説明しています。

では、日本の事業者が自社に引き寄せて考えるための材料は出ているのか。ほとんど出ていません。侵入経路、悪用された脆弱性、脅威グループ名、影響を受けたネットワーク、施設の出力と燃料種——いずれも非公表です。NCSC は本件をイランに帰属させておらず、個別事案への言及自体を避けています。攻撃者が被害よりもアクセス能力の誇示を狙ったのではないか、という動機の話も、The Telegraph が示した見立てにとどまります。

「4日間」という数字も、それ単独では読み解けません。Trend Micro（TrendAI™ Research）が8月24日に公開した分析は、停止期間の長さが攻撃者による継続的な制御や広範な被害を示すとは限らない、と指摘しています。運用者が影響範囲を点検し、安全に再稼働できると確認するまで止めておいた、という説明も同じ程度に成り立つからです。広域系統への危険がなかったのであれば、慎重に戻す判断のほうがむしろ自然でしょう。

初期アクセスについて同社が挙げているのも、本件の分析結果ではなく、過去の類似事案から導いた一般論です。インターネットに公開されたサービス、脆弱な認証情報、脆弱性を残したファイアウォールや VPN ゲートウェイ。CERT Polska が報告した熱電併給施設の事案では、設定不備のあったプライベート APN が入口でした。今回同じ手法が使われた証拠はありません。

結局のところ、この事案が投げかけているのは手口の教訓ではなく、自社への問いです。外部から到達できるシステムを公開しておく必要が本当にあるのか。その対策は妥当か。それを定期的に見直しているか。

重要インフラの線は「2GW」で引かれている

グレートブリテン（イングランド・スコットランド・ウェールズ）の現行 NIS 規制は、発電分野の重要事業者を「関連する事業体を通算して少なくとも2GWの発電能力」という基準で捉えます。この基準の対象からは、原子力発電事業者と、送電系統に接続していない発電事業者が除かれています。

ただし2GW は絶対的な線ではありません。数値を下回る事業者でも、重要性に応じて指定され得るからです。すべての発電所に一律で適用される事故報告基準、というわけではない。政府関係者の説明が事実だとすれば、今回止まった施設は法定の通知義務がかかる水準に達していなかったことになりますが、その理由が出力規模だったのかどうかは、出力もライセンス状況も非公表である以上、判断できません。

押さえておきたいのは、この論点が事案の後から出てきたものではない、という点です。DESNZ と Ofgem が2026年3月27日に公表し、8月5日に更新した協議文書は、サイバーレジリエンスの要件が NIS の指定を受けた事業者だけを対象としている点を、すでに課題として挙げていました。示された方向は2段構えです。

  • グレートブリテンの全 Ofgem ライセンシーに、負担の軽い基本要件を導入する
  • そのうえで、NIS が扱うサービスと閾値そのものを見直す

背景にあるのは電源の分散化です。大規模集中型から細かく分かれていくほど、供給の強靱性（レジリエンス）は規制の外にある小さな組織の状態にも左右されるようになります。太陽光、風力、蓄電池、コージェネレーション——系統につながる主体が増えれば、「大きいものを守れば足りる」という前提は成立しにくくなる。防御の優先順位が低く置かれた場所が狙われやすいことは、一般論として繰り返し指摘されてきた点でもあります。

ここで日本側にも通じる論点がひとつあります。規制の網を広げるとき、「事業者の規模に応じてどこまで負担を求めるか」と「OT 環境に固有の要件として何を課すか」は、本来まったく別の設計課題だということです。実際、協議文書は基本要件の土台に Cyber Essentials を置く案を示す一方で、OT 側ではカバーしきれない部分が残ると断り書きを添えています。Cyber Essentials はもともと IT 環境を想定した汎用的な認証であり、産業制御の世界にそのまま持ち込めるものではないからです。認証をひとつ課せば発電設備が守られる、という単純な話にはなりません。

同じころ、米国の水道インフラで起きていたこと

英国の事案は、米国の水道インフラへの一連の攻撃が確認された時期と重なりました。2026年7月末、ミネソタ州で30を超える地域水道施設が組織的な攻撃を受けたと州の IT 当局が公表し、FBI は少なくとも7州の上下水道事業者から被害報告があったとしています。米国では同年7月、CISA を含む6つの連邦機関が共同アドバイザリ AA26-097A を更新し、インターネットからアクセス可能なプログラマブルロジックコントローラ（PLC）が継続的に悪用されていると警告しました。この件は別記事で詳しく扱っています。

ただし Trend Micro は、米国の攻撃活動と英国の事案を同じキャンペーンとみなすべきではないと明記しています。両者を結ぶ信頼できる情報源は確認されていません。共通するのは、産業インフラを支える OT 環境が標的として注目されているという傾向のほうです。

その傾向を示す数字として、NCSC は2026年6月17日、同年5月までの1年間に重要国家インフラとその支援基盤に影響した200件超のインシデントに対応し、うち約75%が国家主体との関連があるとみられると公表しました。一方、英国の National Risk Register 2026 はインフラへのサイバー攻撃を平均影響スコア3（中程度）、平均発生可能性スコア4（5〜25%）に位置づけ、電力分野の合理的最悪ケースを全国送電系統の機能不全と全国的な停電としています。1施設の停止を全国停電の前兆と読むのも、「広域リスクなし」を現場の防御が十分だった証明と読むのも、どちらも根拠を欠きます。

日本は10月1日に何を始めるのか

日本では2026年10月1日、サイバー対処能力強化法（正式名称「重要電子計算機に対する不正な行為による被害の防止に関する法律」）が本格施行されます。2025年5月16日に成立、同月23日に公布され、附則が定めた期限内での施行です。あわせて整備法が、警察官職務執行法・自衛隊法・サイバーセキュリティ基本法など既存15本の法律を一括で改正します。

義務がかかるのは、経済安全保障推進法に基づいて指定された特定社会基盤事業者、いわゆる基幹インフラ事業者です。電力・ガス・金融・通信・航空・鉄道などが該当します。これらの事業者が「特定重要電子計算機」を導入したときには製品名などを事業所管大臣に届け出る義務が生じ、サイバーインシデントの報告も法的義務になります。違反した場合は、是正命令を経て罰金が科され得ます。

発電設備を監視・制御するシステムは、この特定重要電子計算機に該当し得ます。ただし前提として、事業者が指定されていなければ届出も報告も発生しません。英国の NIS と同じく、日本の制度もまた「線の内側」に義務を置く構造です。

そして日本の系統にも、大手電力の大規模発電所だけでなく、自家発電設備、コージェネレーション、メガソーラー、蓄電池システムが、それぞれ別の主体の運用でつながっています。英国の協議文書が挙げた「小規模組織に要件が届かない」という課題は、そのまま日本の課題でもあります。

指定の外側で、いま何ができるか

制度の議論を待たなくても着手できることはあります。Trend Micro が挙げる対策も、高度な脅威インテリジェンスではなく基礎的な衛生管理が中心です。

  • インターネットに公開されている OT 資産を洗い出して可視化する（PLC、産業用コントローラ、リモートアクセスゲートウェイ、エンジニアリングワークステーション）
  • 従業員・請負業者・ベンダーが運用環境へ接続する経路を棚卸しし、不要になったアクセス権を削除する
  • デフォルトの認証情報を変更し、共有アカウントを可能な限り廃止する
  • 社内IT環境と運用システムのセグメンテーションを評価し、不要な経路がないか確認する
  • コントローラのプログラミングや設定変更など、物理プロセスに影響し得る操作を監視する
  • 検証済みバックアップと復旧手順、必要に応じて手動運転の手順を維持する

狙いは初期侵入の阻止だけではありません。IT システムや ID、リモートアクセス基盤を足がかりに、攻撃者が物理的な運用を支える環境へ横に広がっていくのを止めることです。

今後の見どころは、英国と日本で少しずれます。英国で焦点になるのは帰属の公式表明よりも制度の側で、協議文書が示した基本要件が実際にどの水準で着地するのか、指定制度と2GW基準を併存させるのか閾値そのものを動かすのか、というところです。日本は逆に、10月1日という施行日を先に決めたうえで、指定範囲の運用と、指定を受けない事業者への期待をこれから固めていくことになります。同じ問いを別の順番で解いている、とも言えます。

よくある質問

英国の発電所を止めたのはイランのハッカーだと確定しているのか

確定していません。イランに関連する主体の仕業だとしているのは The Telegraph の報道であり、英政府と NCSC は帰属を公表していません。政府がコメントとして認めたのは、小規模発電設備に影響する事案があったことと、より広いエネルギーシステムへのリスクはなかったことの2点にとどまります。攻撃者の動機についても、同紙が示した見立て以上のものは出ていません。

小規模な発電所が1つ止まるだけなら、社会的な影響は小さいのではないか

発電量という尺度で見れば、その通りです。英政府も、より広いエネルギーシステムへのリスクはなかったとしています。ただし影響が及ぶのは電力の需給だけではありません。設備を運用する企業にとっては4日間の操業停止であり、復旧作業と原因調査のコストが発生します。加えて、防御の優先順位を出力規模だけで決めると、規模の小さい設備が相対的に手薄になりやすいという構造上の問題も残ります。

日本の能動的サイバー防御法はいつから何が変わるのか

2026年10月1日に本格施行されます。経済安全保障推進法に基づいて指定された特定社会基盤事業者（基幹インフラ事業者）に対し、「特定重要電子計算機」を導入した際の届出義務と、サイバーインシデントの報告義務が課されます。違反時には是正命令を経て罰金が科され得ます。同時に整備法が、既存15本の法律を一括で改正します。

指定を受けていない小規模な発電事業者は何をすればよいか

法的義務がなくても、基礎的な対策は制度と無関係に有効です。本文で挙げた6項目、すなわち公開 OT 資産の洗い出し、リモートアクセス経路の棚卸し、デフォルト認証情報の変更、IT と OT の分離確認、エンジニアリング操作の監視、復旧手順の維持から着手できます。英国の協議文書も、まず全事業者に負担の軽い基本要件を置き、そのうえで対象範囲を見直すという順序を提案しています。

まとめ

英国で起きたことの多くは、まだ未確定です。攻撃経路も、侵害範囲も、攻撃主体の帰属も公表されていません。新しい情報が出れば、評価は変わり得ます。

それでも、2つのことは言えます。ひとつは、電力網全体に影響しなくてもサイバー攻撃が実際の操業停止を引き起こすということ。もうひとつは、その舞台が「規模が小さいから優先度が低い」と位置づけられがちな場所だったということです。

分散型電源が増えるほど、出力規模だけで防御の優先順位を決める方法は限界に近づきます。英国はその見直しを、事案が報じられる前から協議文書として始めていました。日本は10月1日、「どこからが重要インフラか」を法的に線引きする制度を動かします。線の内側を固めることと同時に、線の外側で何が起きるかを設計に織り込めるか。問われるのはそこです。

参考ソース

関連記事