脅威インテリジェンスグループNatto Thoughtsの新たな調査によると、中国の軍調達システムは2024年以降、同国を代表するサイバーセキュリティベンダー10数社以上を一時停止または永久追放処分にしています。
この調査結果は、軍調達ネットワークの公開通知を企業開示情報や中国メディアの報道と照合したもので、2021年から2026年にかけて、製品や技術上の不備ではなく入札不正に関連した少なくとも21件の処分事例を特定しています。
これらの処分は、人民解放軍(PLA)が用いる3段階の制度に基づいています。初期段階の懸念事項に対する非公開の警告リスト、確認済みだが限定的な違反に対する一時停止リスト、そして重大な違反に対して設けられ、関連会社や経営幹部にまで及ぶ終身追放を科すこともある公開ブラックリストです。
[ 関連記事: 中国とインドにつながるハッカー集団、同一のパキスタン警察組織を標的に ]
その一例が、TopSec Technologies Groupの間接子会社であるBeijing TopSec Network Securityです。同社は2024年、陸軍向け契約における談合入札の疑いで、特定サービスから3年間の入札停止処分を受けましたが、その後調査当局は処分範囲を全軍種に拡大しました。そして2026年1月、2年間に及ぶ調査の末、当局は科すことができる最大の処分である軍調達全体からの終身追放を言い渡しました。
Venustech Groupも同様の経過をたどりましたが、同社への影響はより軽微でした。子会社のBeijing Venustech Information Security Technologyは、2024年8月に地域軍司令部からの入札を停止され、2025年2月には全軍の入札から排除されました。2026年4月には、制裁措置が親会社自体にも拡大されました。ただし、この処分は永久追放ではなく一時停止にとどまっています。
調査で名前が挙がったその他の企業には、Qi An Xinの子会社Legendsec、デジタル証明書プロバイダーのBJCA、Kylinsec、Westone(CETC Cyber Security)、Huaru Technologiesが含まれます。これらの企業の中には、株式公開企業や、機密システム・防衛関連資格を保有する企業も複数含まれています。
これらの企業は中国のセキュリティ・エコシステムにおいて二重の役割を担っていると、チューリッヒ工科大学(ETH Zurich)で中国を専門とするサイバーセキュリティ研究者であり、Natto社のレポート(要購読)の著者でもあるEugenio Benincasa氏は指摘します。
防御面では、TopSecやVenustechのような企業が中国のファイアウォール市場を切り開いてきた一方、Qi An Xinは脅威インテリジェンス分野で強固な地位を築いてきたと、Benincasa氏はSecurityWeekに語っています。
これらの企業のいずれについても、攻撃的なハッキング集団を直接運用しているとの公的な指摘はないとBenincasa氏は述べていますが、いずれも人民解放軍や中国の治安機関と長年にわたる結びつきを持ち、訓練やサービス提供を通じて軍のサイバー作戦を支援しているといいます。Qi An Xinの場合は、中国の既知のAPT活動に関連する企業への投資を通じてもそうした関係を持っています。
Nattoの調査チームは、こうした処分件数の増加を、人民解放軍の調達監督体制における広範な変化と結びつけています。これには、軍事装備の競争入札に関する2024年の規制や、新設された中国のサイバースペース部隊が担う執行機能の拡大が含まれ、同レポートはレビューした違反事例のうち6件をこの部隊の摘発によるものとしています。
研究者らはまた、商業的な圧力も一因になっていると指摘しています。例えば、Venustechの2025年初頭の業績見通しでは、セキュリティ予算の伸び悩みと、AIおよびデータ主導型需要への市場シフトが挙げられており、TopSecも同様の変化への対応を迫られているとみられます。
こうした処分にもかかわらず、同レポートは、中国軍が依然としてこれらの企業に近代化を大きく依存していると結論づけており、今回の取り締まりは中国のサイバーセキュリティ能力が弱体化している証拠ではなく、防衛調達の専門性を高めるための取り組みだと位置づけています。
