はじめに
2026年8月、英国海軍が使用する無人水上艇（USV）「K3 Scout」をめぐり、気になる事実が明らかになりました。
K3 Scoutに搭載されたカメラが、中国国内のIPアドレスと自動的に通信していたのです。
K3 Scoutは、英国のKraken Technology Groupが供給する高速無人艇です。英国では「Project Beehive」と呼ばれる計画のもと20隻が導入され、沿岸部隊や英海兵隊第47コマンドーによる監視、訓練、作戦などでの利用が想定されています。
問題が見つかったのは、英国国防省によるサイバー脆弱性評価でした。
調査の過程で、艇に搭載されたカメラから中国国内のIPアドレスに向けて通信が発生していることが確認されたのです。
英国国防省は、この通信について「heartbeat communications（ハートビート通信）」だったと説明しています。
ハートビート通信とは、ネットワークにつながった機器が…
- 「私はオンラインです」
- 「正常に動いています」
…といった稼働状態を、一定間隔でサーバーなどへ知らせるための通信です。
そのため、中国のIPアドレスと通信していたという事実だけをもって、「英国軍の映像が中国へ送られていた」「中国によるスパイ活動だった」と断定することはできません。
英国国防省も調査の結果、画像、音声、GPS情報、軍事計画などの機微な情報が外部へ送信された証拠は確認されなかったとしています。
問題の発覚後、カメラのインターネット接続機能は無効化されました。
英国製の無人艇なのに、なぜ中国へ？
この出来事を理解するには、K3 Scoutという完成品だけを見ていてはいけません。
艇を供給したKraken Technology Groupは英国企業ですが、問題となったカメラは第三者から調達されたものでした。同社も、一部の部品が英国国外に由来することを認めています。
現代のドローンや無人艇は、一社だけですべてを製造するわけではありません。
カメラ、センサー、通信モジュール、半導体、ストレージ、ファームウェア、ソフトウェア――。
さらにその先には、それぞれを製造する企業と、その企業へ部品を供給する企業があります。
完成品の国籍と、その内部を構成する部品やソフトウェアの出自は必ずしも一致しません。
今回の出来事は、その複雑なサプライチェーンの奥に存在していた機器の機能が、実際の運用環境で表面化した事例として見ることができます。
そして、ネット探検ラボが注目したのは、通信が存在したことだけではありません。
英国海軍は、それを「見つけた」
今回、機密情報の流出によって異常が発覚したわけではありません。
システム障害が起きたわけでもありません。
英国国防省が実施したサイバー脆弱性評価の中で、カメラの通信挙動を調べた結果として発見されたものです。
ここには、防御側から学べるものがあります。
- 仕様書に「安全」と書かれている。
- 正規の調達手続きを経ている。
- 信頼できる企業から納入されている。
それだけで確認を終わらせるのではなく、実際に装置を動かしてみる。
そして、「この機器は、どこと通信しているのか」を観測する。
そこで初めて見える問題があるということです。
今回確認された通信が、英国国防省の説明どおり機器の稼働確認だけを目的としたハートビート通信だったとしても、別の疑問は残ります。
なぜ、英国海軍の装備品に搭載されたカメラが、中国国内のIPアドレスまで到達できる状態になっていたのかということです。
この問いは、英国だけに向けられるものではありません。
海を越えて、日本へ視点を戻して診たいと思います。
実は日本でも最近、「組織の中で使用されていた小さな機器」をきっかけに、セキュリティについて考えさせられる出来事が起きています。
次に取り上げるのは、陸上自衛隊で使用されていた一本のUSBメモリです。
日本でも起きていた――陸上自衛隊のUSBメモリ問題
英国海軍の出来事を「海外の軍隊で起きた特殊な問題」と考えてしまうのは、少し早そうです。
日本でも今年、陸上自衛隊で使用されていたUSBメモリをめぐる問題が明らかになっています。
陸上自衛隊によると、中部方面総監部で2024年4月以降使用されていたUSBメモリから、2025年2月にマルウェアが検知されました。
その後の調査では、検出されたマルウェアは自己増殖の動作にとどまる古典的なもので、情報窃取や外部への通信を行うものではなかったとされています。
USBメモリを接続したシステムへの拡散も確認されず、陸上自衛隊はシステムへの影響や外部への情報流出はなかったと説明しています。
ここまでは、不幸中の幸いだったと言ってよいでしょう。
しかし、別の深刻な問題があったと考えています。
防衛省・自衛隊では、USBメモリを使用する際には例外なくウイルスチェックを行い、安全性を確認する規則が設けられていました。
ところが、このUSBメモリについては、その規則が守られていなかったことを陸上自衛隊自身が認めています。
さらに、もう一つ気になる点があります。
問題を認識してから、公表されるまでに時間を要していることです。
陸上自衛隊によると、USBメモリからマルウェアが検知されたのは2025年2月（石破内閣中谷防衛大臣）でした。
しかし、この事案が公になったのは2026年6月（高市内閣小泉防衛大臣）です。
マルウェア検知から公表まで、1年以上が経過していたことになります。
もちろん、安全保障に関わる組織では、インシデントの調査や公表について一般企業とは異なる事情も考慮する必要があります。したがって、公表まで時間を要したことだけをもって、直ちに問題だったと断定することはできません。
それでも、国の安全保障を担う組織で起きたセキュリティ事案である以上、
『なぜ公表まで1年以上を要したのか』という点は検証されるべきでしょう。
さらに陸自は、調達時には重要性や運用環境などに応じて安全性を確認し、サプライチェーンリスクに対応する規定が存在することも説明しています。
つまり、ルールが存在しなかったわけではありません。
ルールがあっても、運用されなければ防御にはならない。
この事案は、その当たり前のことを改めて突きつけたと考えます。
一件のUSB問題が、自治体を動かした
そして、この問題は陸上自衛隊の中だけでは終わりませんでした。
陸自のUSBメモリ問題が報じられると、「では、自分たちが使っているUSBメモリは大丈夫なのか」と確認する動きが自治体にも広がりました。
その一つが三重県です。
三重県は陸自のUSB問題に関する報道を受け、2026年6月26日から、公安委員会を除く県庁の全所属を対象としてUSBメモリの一斉調査を開始しました。
対象となったUSBメモリは、10,757個。
その結果――
47個のUSBメモリからマルウェアが検知され、37の所属にまたがっていました。
検知されたマルウェアはいずれも活動しておらず、感染や被害は確認されていません。
それでも、この「47個」という数字は考えさせられます。
そして同じころ、国も動き始めます。
総務省は、陸上自衛隊の事案を受け、都道府県や市区町村など全国の自治体を対象としてUSBメモリの利用実態を調査する方向で動き出しました。
さらに対象として検討されたのは、USBメモリだけではありません。
ドローン、インターネットに接続する監視カメラ、パソコン、ルーターなど――。
ここまで来ると、英国海軍で起きた問題とも重なって見えてきます。
三重県で47個が見つかったことは、日本全国の自治体すべてが同じ状態にあることを意味するものではありません。
しかし、一つの自治体が実際に調べてみたところ、これまで把握されていなかった問題が見つかった。
そして国も全国規模の確認へ動き始めた。
そう考えると、三重県の事例を単なる一自治体の問題として片付けることもできません。
調べなければ、見つからない。
英国海軍がカメラの通信を調べて中国IPへの通信を発見したように、日本でも実際に機器を確認することで、それまで認識されていなかった問題が発覚していたわけです。
USBメモリだけを警戒すればよいのか
ここで少し、USBそのものについて視野を広げてみたいと思います。
USBと聞くと、多くの人はUSBメモリを思い浮かべるでしょう。
しかしUSBは、データを保存するためだけの仕組みではありません。
キーボード、マウス、カメラ、スマートフォン、外付けストレージなど、さまざまな機器をコンピューターへ接続するためのインターフェースです。
そして、この仕組みを逆手に取った攻撃手法も存在します。
見た目は普通のUSBケーブルでも……
最近では、外見だけでは普通のUSBケーブルとほとんど見分けがつかない内部に、小型の電子回路や無線通信機能を組み込んだ機器も存在します。
こうした機器の中には、パソコンなどへ接続すると、単なるケーブルではなく「キーボード」などの入力機器として認識させることができるものがあります。
コンピューター側から見れば、人間がキーボードを接続した場合と似た状態になります。
すると、あらかじめ用意された入力操作を実行させるなど、普通のUSBケーブルでは想定しない動作が技術的に可能になります。
いわゆる「BadUSB」と呼ばれる攻撃の考え方にも通じるものです。
つまりUSBを利用した攻撃は、「USBメモリの中にウイルスが入っている」という形だけではありません。
見た目と、コンピューターから見た正体が一致するとは限らないのです。
ただし、必要以上に怖がる必要もありません。
街中に、このような細工を施したUSBケーブルがあふれているわけではありませんし、普通にUSBケーブルを使うたびに疑うような性質の問題でもありません。
むしろ、こうした機器は特定の人物や組織を狙った標的型攻撃で利用され得る手法・ツールとして認識しておけば支障ないと考えます。
その意味では、狙われる可能性の高い組織ほど注意が必要になります。
防衛機関、政府機関、重要インフラ、先端技術を扱う研究機関。そして、防衛装備や重要技術を開発する企業などです。
そこで必要になるのは、「怪しいUSBを見分ける能力」だけではありません。
- 誰が購入したのか
- どこから購入したのか
- 誰が持ち込めるのか
- どの機器への接続を許可するのか
- 組織が認めていない周辺機器を接続できないようになっているのか
道具そのものの選定から、使用方法までを管理することが防御になります。
安全保障や重要技術に関わる組織なら、当然このあたりは厳格に管理されているはずです。
……ちゃんとやっていますよね。(=o=;)
日本には、三菱重工や川崎重工をはじめ、航空機、艦艇、ミサイル、潜水艦など、日本の安全保障を支える装備品の開発・製造に携わる企業があります。
一つの防衛装備品を構成する部品は、USBケーブル一本とは比較にならないほど複雑です。
では、その膨大なサプライチェーンの中で、「何が接続され、何が動き、どこへ通信しているのか」
日本では、どこまで確認されているだろうかと少々不安にもなってきます。
日本の防衛産業は大丈夫なのか
ここまでUSBという小さな機器を見てきました。
では、もっと巨大で複雑な防衛装備ではどうでしょうか。
日本には、三菱重工や川崎重工をはじめ、艦艇、航空機、誘導機器、潜水艦など、日本の防衛を支える企業があります。
もちろん、これらの企業が英国海軍と同じ問題を抱えているという事実が確認されているわけではありません。
では、日本ではどのような対策が行われているのでしょうか。
防衛装備庁もサプライチェーンを警戒している
防衛装備庁は2022年、「装備品等及び役務の調達における情報セキュリティ基準」を整備しました。
背景として明記されているのが、サイバー攻撃リスクの増大と、防衛調達に関係するサプライチェーン全体で情報セキュリティ対策を講じる必要性です。
対象となるのは、防衛省と直接契約する大企業だけではありません。
保護すべき情報を取り扱う下請企業なども含め、防衛産業全体の情報保全能力を引き上げようとしています。
基準も作って終わりではなく、その後も改正され、2026年1月にはシステムセキュリティ実装計画書が更新されています。
防衛装備庁は2026年度にも企業向け説明会を開催しており、そこには少し印象的な言葉が掲げられています。
「みんなでやらねば意味がない！」
まさにサプライチェーン・セキュリティの性質を表した言葉でしょう。
巨大な防衛装備を作る企業一社だけを堅牢にしても、その先に連なる企業のどこかに弱点が残れば、そこが入口になる可能性があります。
川崎重工も「製品そのもの」のセキュリティへ
企業側にも取り組みがあります。
川崎重工は、2022年度に取引先向けの情報セキュリティガイドラインを制定し、2024年度から国内外の取引先を対象とした調査に情報セキュリティ項目を追加しています。
さらに注目したいのが「製品セキュリティ」です。
同社は、ネットワークやクラウドにつながる製品が増えることでサイバーリスクも高まるとして、製品・サービスの企画、設計、製造から運用まで、ライフサイクル全体でセキュリティを確保するための規定やガイドラインを整備しています。
三菱重工も、重要インフラや製造設備を対象として、制御ネットワーク上の通信やプロトコルを監視し、不審な挙動を検知するサイバーセキュリティ技術を展開しています。
日本の防衛産業が、サイバーリスクを認識していないわけではありません。
むしろ対策は着実に進められています。
それでも英国海軍の一件が残した問い
では、これで安心でしょうか。
ここで、もう一度英国海軍のK3 Scoutに戻ってみます。
問題になったのは、組織から機密情報を盗み出すために攻撃者がネットワークへ侵入した――という典型的なサイバー攻撃ではありませんでした。
装備品の中に組み込まれていたカメラが、外部のIPアドレスへ通信していました。
そして英国側は、実際の通信挙動を調べることでそれを発見しました。
ここに、日本でも考えておきたい問題があります。
- 情報を扱う企業は安全なのか
- ネットワークは守られているのか
- 従業員の端末は管理されているのか
- サプライヤーは基準を満たしているのか
それらに加えて、「完成した装備品を実際に動かしたとき、その中にある機器は何をしているのか」という確認です。
一隻の艦艇、一機の航空機、一台の車両の内部には、膨大な数の電子部品やソフトウェアが存在します。
カメラ、センサー、通信モジュール、半導体、ファームウェア、ソフトウェアライブラリ。
その一つ一つについて、製造元だけではなく、実際の通信先や更新機能まで把握することは容易ではありません。
公開されている資料からは、日本でもサプライチェーン管理、情報保全、製品セキュリティなどの取り組みが進められていることを確認できます。
一方で、英国海軍で今回行われたような実機の通信挙動をどの範囲、どの深度で継続的に検証しているのかについては、公開情報だけから全容を確認することはできません。
安全保障上、公開できない部分があるのは当然とはいえ、大丈夫なのか？と思ってしまいます。
だからこそ、ここでは疑惑ではなく、一つの問いとして残しておきたいと考えます。
英国海軍は見つけました。
日本にも、それを見つけられる仕組みはあるのだろうか。
防衛装備だけの話ではない
ここまで軍事や政府機関の話をしてきました。
しかし最後に、もっと身近な場所へ戻ってみたいと思います。
いま皆さんの部屋にも、インターネットにつながった「目」があるかもしれません。
- パソコンのWebカメラ
- 見守りカメラ
- ネットワークカメラ
- スマートフォン
- テレビ会議用のカメラ
英国海軍のK3 Scoutに搭載されていたものも、突き詰めればネットワークにつながった一台のカメラでした。
そしてWebカメラやIPカメラが第三者から不正アクセスを受け、本来とはまったく違う「目」として利用されてしまった事例は、過去に何度も確認されています。
防衛装備のサプライチェーンという大きな話から始まりましたが、最後に考えたいのは、私たち自身のプライバシーです。
そのカメラは、誰のための「目」なのか
WebカメラやIPカメラが第三者に乗っ取られ、本来とは違う「目」として利用されてしまう問題は、決して想像上の話ではありません。
過去には、家庭や事業所などに設置されたネットワークカメラの脆弱性や不適切な認証設定を悪用し、第三者が映像へアクセスできる状態になった事例が繰り返し確認されています。
米国では2013年、連邦取引委員会（FTC）がネットワークカメラメーカーTRENDnetのセキュリティ問題を取り上げました。
FTCによると、同社製カメラのソフトウェアに存在した脆弱性などによって、本来は所有者だけが見るはずだった映像を第三者が閲覧できる状態となり、約700台のカメラから取得された映像へのリンクがインターネット上に公開される事態となりました。
そこには、乳幼児が眠る部屋や、家庭内で過ごす人々の姿も含まれていました。
さらに2023年には、Amazon傘下のRingをめぐり、FTCがプライバシーとセキュリティ管理の問題を指摘しています。
FTCによれば、従業員による顧客映像への過剰なアクセスや、認証情報を悪用した第三者によるカメラへの不正アクセスなどが発生していました。
カメラが乗っ取られれば、本来は私たちが外を見るために設置したものが、逆に外部から私たちを見るための装置になってしまいます。
カメラは、ネットワークにつながったセンサー
現在では、カメラを搭載した機器は身の回りにあふれています。
- Webカメラ
- 見守りカメラ
- インターホン
- スマートフォン
- テレビ会議端末
- ロボット掃除機
- そしてドローン
便利さを支えているのは、撮影した映像を保存するだけではなく、ネットワークを通じて映像や情報をやり取りできる機能です。
しかし、便利になるということは、それだけ外部との接点も増えるということでもあります。
- パスワードは初期設定のままになっていないか
- ファームウェアは更新されているか
- メーカーによるセキュリティ更新は続いているか
- 使用していない遠隔アクセス機能が有効になっていないか
そして――
そのカメラは、どこへ通信しているのか。
英国海軍が直面した問題は、私たちの家庭にあるWebカメラと規模も重要性もまったく違います。
それでも、ネットワークにつながった機器を「購入したから安全」「正常に動いているから安全」と考えるだけでは十分ではないという点では、共通するものがあると考えます。
「信用する」から「確認する」へ
今回の記事では、英国海軍の無人艇K3 Scoutから話を始めました。
搭載されたカメラが、中国国内のIPアドレスへハートビート通信を行っていた。
英国側はサイバー脆弱性評価によってそれを発見し、カメラのインターネット接続機能を無効化しました。
日本では、陸上自衛隊で使用されていたUSBメモリからマルウェアが検知されていたことが、1年以上を経て明らかになりました。
その報道をきっかけに三重県が1万個を超えるUSBメモリを調査すると、47個からマルウェアが検知されました。
さらに視野を広げれば、一見普通のUSBケーブルの内部に電子回路を組み込み、接続先では入力機器などとして振る舞わせる技術も存在します。
そして日本の防衛産業では、防衛装備庁や企業によるサプライチェーン対策、情報セキュリティ対策、製品セキュリティ対策が進められています。
それでも、技術は変化し続けます。
今日安全だった機器が、将来のファームウェア更新や新たに発見された脆弱性によって、明日も同じ状態であるとは限りません。
だからこそ必要になるのは、一度検査して終わる安全ではなく、実際の挙動を継続して確認する安全なのだと思います。
これは、いわゆるゼロトラストの考え方にも通じます。
- 組織の中にあるから信用する
- 正規に購入したから信用する
- 有名メーカーだから信用する
そうした前提だけに頼らず、必要な範囲で確認を続けていく。
英国海軍の今回の対応から、日本が学べる最大の教訓はそこにあるのではないかと思います。
私たち自身のプライバシーを守るために
もちろん、一般家庭で軍隊と同じセキュリティ対策を行う必要はありません。
- 必要以上に機器を怖がる必要もありません。
- Webカメラなら、使わないときは物理的なカメラカバーを閉じる。
- ネットワークカメラなら、初期パスワードを変更し、ファームウェアを最新の状態に保つ。
- 長期間アップデートされていない製品なら、買い替えも検討する。
- そして機器を購入するときには、価格や画質だけでなく、メーカーがセキュリティ更新を継続しているかという視点も持つ。
私たちにもできることはあります。
英国海軍の無人艇から始まった今回の話。
しかし、その中心にあったのは一台のカメラでした。
私たちはカメラを通して外を見ています。
その一方で、カメラの向こう側から、誰かがこちらを見ていない保証はありますか？
便利な機器に囲まれて生活する時代だからこそ、ときどき、その「目」がどちらを向いているのか確認してみる。
それもまた、私たち自身のプライバシーを守るための小さなセキュリティ対策なのだと思います。
コメント