欧州空港のチェックイン・ハックから考える“狙われるインフラ”と日本の備え

飛行機を予約し、空港でチェックインしようとしたらシステムが止まっていた──

2025年9月、ロンドン・ヒースロー空港をはじめとする欧州の主要空港で、チェックイン・搭乗手続きがサイバ―攻撃により麻痺するという前代未聞の事態が発生しました。
コリンズ・エアロスペース社のソフトウェアが狙われたこの事件は、“インフラ＝安心”という常識を揺るがすものです。

本稿ではまずこのケースを詳解し、なぜ空港などのインフラが狙われるのかを考察。さらに、日本での過去事例と現在の備えを比較し、必要な対策を提言します。

対象：Collins Aerospace の “MUSE” ソフトウェア（チェックイン・搭乗手続き・荷物タグ印刷などを担う）に対するサイバー攻撃。ヒースロー（ロンドン）、ベルリン・ブランデンブルク、ブリュッセルなどが影響
Reuters+2The Guardian+2
影響内容：電子チェックインや荷物ドロップが使えず、手続きがすべて手動対応に。ブラッセル空港では日曜の出発便の多くがキャンセル・遅延。ヒースロー・ベルリンでは復旧に向けた試みが進むものの混乱が続く
AP News+2The Guardian+2
原因・手掛かり：MUSE ソフトウェアの未更新セキュリティパッチが関与しており、プロバイダー側で修正バージョンがまだ配布されていなかったこと。攻撃元はいまだ明らかになっていない。
Reuters+2フィナンシャル・タイムズ+2
緊急対応：マニュアルチェックイン・手書きボーディングパスの導入、オンライン／セルフチェックインの利用促進、搭乗手続きの優先対応などで被害の拡大を抑制。
AP News+1

要因	解説
依存性と集中性	多くの航空会社・空港がチェックインや荷物処理等を Collins など少数のサプライヤーのソフトウェアに依存している。中央システムの停止が一斉に影響を及ぼす。
多段階かつ公開性のある操作	チェックイン・搭乗・荷物追跡など“お客様との接点”を持つシステムであり、攻撃による混乱が可視化されやすく、広く注目される。
価値ある脅威／報道価値	航空便の遅延・欠航は経済的コストだけでなく信用・ブランド価値の毀損が大きいため、攻撃者にとってインパクトが高い。
セキュリティ更新の遅延	プロバイダー／クライアント両者でソフトウェア更新が滞ることがあり、脆弱性が放置される。今回も MUSE ソフトに未適用パッチが関与。 Reuters+1

日本航空（JAL）のサイバー攻撃（2024 年末）：JAL のネットワークに対しトラフィック過多（DDoS 程度）と思われる攻撃があり、国内線複数便の遅延、チケット販売の一時停止などが発生。安全性への影響は否定され、数時間で復旧
euronews
港湾ターミナルや交通系インフラ：名古屋港のコンテナターミナルで通信障害。公共交通機関でもハッキング・システム障害の報告多数。具体的には、駅システム／鉄道信号／決済システムなど、部分的障害の例が複数。人材・予算・運用体制の観点での脆弱性を指摘する声あり。
Nippon.com+1
法制度の整備：日本政府は新たな Active Cyberdefense（先制的サイバー防御）法を成立させ、インフラ防護・サイバー対応能力の強化を目指している。空港・鉄道・港湾など“ライフライン”を守るための予算・制度のシフト中
The Record from Recorded Future+1

リンク

サプライヤーの選定と契約条件：サードパーティ（Collinsなど）を使うインフラでは、アップデート義務・セキュリティ監査・バックアップ代替路線の確保などを契約レベルで盛り込む必要
冗長性と手動運営の準備：電子チェックインや自動システムが使えない場合でも、手動処理で対応できる体制（スタッフ配置・紙媒体の準備など）を常備
定期的な脆弱性診断・ペネトレーションテスト：プロバイダー端だけでなく、空港内部システム・接続インターフェースも含めて検査
インシデント対応計画の明確化：遅延・キャンセル時の乗客対応／情報提供／代替手段の指示などのプロトコル整備
政府と公共機関の支援・監督：規制機関による監査義務、情報共有ネットワークの強化、国家政策としてのサイバーセキュリティ予算の拡充

5. 見通し：今後の危機と対応シナリオ

標的の拡大：チェックイン以外の“裏方システム”（荷物追跡・交通接続・清掃や給油調整など）の自動化進展により、新たな攻撃対象となり得る。
国家／組織の関与疑い：スケーラビリティや攻撃の範囲から、国家主体または高度な犯罪組織の可能性も議論されており、対策に外交・情報機関の絡む対応が増える。
規制の強化および国際協調：EU 指令、ICAO 規格などインフラ保護ルールの国境的調和の試み。日本でも Active Cyberdefense 法などで法的基盤が強化されつつある。
技術進化の追い風と逆風：AI による異常検知・自動対応システムの導入が進む一方で、IoT 化・クラウド依存・サプライチェーンの複雑化が新たな脆弱性を生む可能性。

欧州空港で起きた MUSE ソフトウェアのサプライヤーへのサイバー攻撃は、「電子化した空港インフラの集中」と「手動／代替手段の準備不備」がもたらした混乱の典型事例です。

日本も、過去の遅延事例や法整備の動きが既にありますが、対策の実効性、スタッフの訓練、契約上の義務設計、技術系統の冗長化などでさらに強化が求められています。