イラン政府に関係するとされるハッカーが、イギリスの発電所へサイバー攻撃を仕掛け、4日間にわたって運転を停止させた——テレグラフ紙が報じたこのニュースは「発電所が止められた」という一点だけが独り歩きしがちだ。だが現役エンジニアの目で一次情報を追うと、本当に怖いのは「大惨事が起きたこと」ではなく「大惨事が起きなくても、こんなに簡単に止められること」のほうだと分かる。
今回は英国で何が起きたのかを整理し、日本、とりわけ原子力発電所に同じことが起こり得るのかを冷静に考える。おまけとして、たびたび話題になるスノーデン氏の「日本のインフラ警告」の真偽も切り分ける。
何が起きたのか──英国の発電所が4日間止まった
報道と各国メディアの追随記事を突き合わせると、輪郭はこうだ。2026年7月、英国の小規模な発電施設がサイバー攻撃を受けて停止し、復旧までにおよそ4日間を要した。英当局はイランの体制に関係するハッカー集団の関与を疑っている。攻撃はほぼ同時期に米国の水道インフラ（社会基盤）を狙った一連の攻撃と重なっており、複数の州で影響が出たとされる。
英国の国家サイバーセキュリティセンター（NCSC）へ通報が行われ、エネルギー各社の経営層向けに緊急ブリーフィングが開かれ、事業者へは防御を固めるための指針も配布された。攻撃を受けた施設名は、安全上の理由から明らかにされていない。
| 項目 | 報じられている内容 |
| 発生時期 | 2026年7月 |
| 被害 | 小規模発電施設が停止、復旧までおよそ4日間 |
| 攻撃者 | イランの体制に関係するとされるハッカー集団 |
| 当局対応 | 通報、経営層向け緊急説明、事業者への指針配布 |
| 関連事象 | 同時期に米国の水道インフラへ複数州で攻撃 |
冷静に読み解く──「社会が止まる」との距離感
ここは忖度なしで書く。見出しだけを見ると「英国全土が停電」を想像しかねないが、事実は少し違う。英政府の担当省庁は今回の対象を「小規模な発電機」と説明し、広域の電力システムに危険が及んだ場面は一度もなかったと明言している。英国では小規模な発電所が数多く系統につながっており、週に数時間だけ動くガス火力なども珍しくない。今回止まったのは、そうした一基だったとみられる。
ファクトチェック：確認できる事実と、していないこと
確認できる事実は「小規模施設が4日間止まった」「イラン関係が疑われている」「広域系統への実害はなかった」の三点。一方で「どの施設か」「侵入の詳しい手口」「どの集団か」は公開されていない。攻撃者の狙いや被害の全容は、まだ確定情報ではない。
つまり本件は「社会が止まった事件」ではなく「社会を止め得ることの実証」だ。恐怖を煽るのではなく、この距離感を正しく持つことが出発点になる。
なぜ破られたのか──攻撃者が狙う「低い果実」
制御システムを専門とする調査会社の専門家は、この種の攻撃対象を「もっとも低い位置になっている果実」と表現した。つまり、初期パスワードのまま放置された機器や、制御装置がそのままインターネットへ露出している小さな事業者が狙われる。高度なゼロデイ攻撃で難攻不落の要塞を破ったのではなく、鍵の開いた勝手口から入っただけ、というわけだ。
金融システムの設計で言えば、これは最小権限の原則（必要な権限だけを与える考え方）と障害の切り離し（一部の故障を全体へ波及させない設計）が効いているかどうかの問題だ。大きな中枢は堅牢でも、周縁にぶら下がる無数の小さなノードが甘ければ、そこが突破口になる。分散型電源が増えるほど、この「周縁の甘さ」は面として広がっていく。
日本で同じことは起きるのか──電力インフラの現在地
結論から言えば、構造は日本もよく似ている。太陽光のパワーコンディショナー（電力変換装置、PCS）のような分散型電源が急増し、系統につながる小さな機器が面的に広がっている。英国で狙われた「周縁の甘さ」は、日本にとっても人ごとではない。
一方で、制度の整備は近年一気に進んだ。主な動きを並べると次のとおりだ。
| 時期 | 日本での主な取り組み |
| 2025年 | 能動的サイバー防御の関連法が成立。基幹インフラの防御強化を目的に、順次施行へ |
| 2025年6月 | 電力制御システムの供給網セキュリティ対策の手引きを公表 |
| 2025年10月 | 電力大手各社が共同でサイバーレジリエンスの拠点を設立、監視を集約 |
| 2026年 | 電気事業法に基づく新たな審査の仕組みが導入される見通し |
制度は前進している。それでも「これで十分」とは誰も言えない。攻撃は日々巧妙になり、対策は追いかける立場だからだ。監査ログ（誰が何をしたかを残す記録）を残し、異常を早く見つけて切り離す——この地道な運用こそが、最後に効いてくる。
原発の危険性──「エアギャップ神話」を疑う
原子力発電所の運転制御システムは、外部のネットワークから物理的に切り離すエアギャップ（外部ネットワークとの物理的な隔離）が基本だ。だから安全、と言いたくなる。だが歴史はそう単純ではないと教えている。
エアギャップは万能ではない──スタックスネットの教訓
2010年、スタックスネット（Stuxnet、制御システムを標的にした初期の不正プログラム）は、外部ネットワークから完全に隔離されていたイランのウラン濃縮施設に侵入し、およそ8千台規模の遠心分離機を破壊した。侵入経路はインターネットではなく、内部に持ち込まれたUSBメモリーだったとされる。隔離していても、人と物の出入りがある限り、壁は貫かれ得るのだ。
英国のシンクタンクが2015年に行った研究でも、原子力の制御システムには「安全でない設計」が残り、更新作業でUSBメモリーに頼りがちな点や、古い基本ソフトが使われ続けている点が弱点として指摘された。2017年には米国で、原発運営企業の従業員を狙ったマルウェア攻撃も報告されている（この時は制御系までは到達しなかった）。
重要なのは、原発の本当の危険がインターネット直結ではなく、供給網、内部の人、そして持ち込まれる媒体という「壁の内側」にあるという点だ。日本の原発も運転系は隔離され、不正プログラムの侵入対策が講じられている。しかし今挙げた弱点は世界共通であり、日本だけが例外ということはない。忖度なしに言えば、「隔離しているから絶対に安全」という語り口こそ、いちばん危うい。
スノーデンは日本に何を警告したのか
「日本のインフラには、いつでも起動できる不正プログラムがすでに仕込まれている」——スノーデン氏の名前とともに、この話は定期的に蒸し返される。エンジニアとして、ここは出所と確度をきちんと切り分けたい。
この話の主な出所は二つある。ひとつは映画「スノーデン」の監督が来日会見で語った証言だ。「米国が同盟でなくなった瞬間にインフラを落とせるよう、日本の社会基盤へ不正プログラムが仕込んである、と本人から聞いた」という趣旨だった。
もうひとつは2017年の書籍だ。聞き手の「米国は不正プログラムを起動して日本のインフラを大混乱に陥れられるのか」という問いに、同氏は「答えはもちろんイエスだ」と応じている。
| 論点 | 確度についての見立て |
| 米国に能力があるか | 確度は高い。本人が能力の存在を認める発言をしており、大量監視の枠組みが日本へ渡ったとする報道もある |
| 特定施設に既に仕込まれているか | 確度は低い。名指しの施設に不正プログラムがあると示す公開文書は出ていない。多くは監督経由の伝聞であり、暗示にとどまる |
| 監視と破壊の混同 | 要注意。渡ったとされる枠組みは大量監視の仕組みであり、インフラ破壊用の不正プログラムとは目的が別物だ |
整理するとこうだ。「大国が同盟国のインフラを止め得る能力を持ち、そのための足場作りを行っている」という警告は、本人の発言としては存在し、警鐘として重い。一方で「日本のこの発電所に、いつでも起動できる不正プログラムが現に埋め込まれている」という具体像は、公開された証拠に裏づけられておらず、多くが伝聞と暗示の産物だ。恐れるべきは実在する能力であって、脚色された確定情報ではない。ここを混同すると、本来の備えから注意がそれてしまう。
現役エンジニアの視点──いま備えるべきこと
IT小僧のひとこと
今回の件で腹落ちしたのは、派手なゼロデイより「初期パスワードの放置」や「露出した制御機器」という当たり前の穴が、いまだに社会を止め得るという事実だ。攻撃者は最短距離を来る。だから守る側も、まず勝手口を閉めることから始めるしかない。
具体策は地味だ。初期設定のまま使わない、制御機器を無防備に外へ晒さない、監査ログを残して異常を早く切り離す、媒体の持ち込みを管理する。金融システムで当たり前にやってきた「壊れても全体を巻き込まない設計」を、電力にも徹底する。魔法の一手はない。積み重ねだけが壁になる。
まとめ
英国の一件は、大惨事ではなかったからこそ怖い。小さな施設が、ありふれた穴から、4日間も止められた。日本も構造は同じで、制度は前進しつつも追いかける立場にある。原発は隔離を基本とするが、その隔離も万能ではないと歴史が示している。スノーデン氏の警告は、能力の存在としては重く受け止めるべきで、具体的な確定情報として鵜呑みにするべきではない。煽らず、侮らず、勝手口を一つずつ閉める。結局そこに尽きる。