イランのハッカーによるものとみられる攻撃で英国の発電施設が停止に追い込まれたというニュースが週末に報じられ、英国の電力網、ひいては同国の重要インフラが破壊的なサイバー攻撃を防ぎきれるのかという疑問が浮上しています。
英国の報道機関The Telegraphの情報筋によると、この発電施設は2026年7月に4日間にわたって稼働を停止していました。これは、米国の30以上の地域水道事業体が協調的なサイバー攻撃を受けたのとほぼ同時期のことです。
これらの攻撃は、イランによる米国のエネルギー・水道・政府ネットワークを狙ったサイバー活動に関する警告が出された後に発生しました。
限定的な影響
報道によると、この事案は国家サイバーセキュリティセンター(NCSC)に報告されたものの、英国の電力供給に目立った影響は与えなかったとされています。
エネルギー安全保障・ネットゼロ省の英国国務大臣であるマイケル・シャンクス氏は、このサイバー事案が「小規模な発電事業者」に影響を及ぼしたと述べましたが、施設名は明らかにしませんでした。
「事案発生後、私たちはエネルギー各社のCEOに状況を説明し、セキュリティを維持するために講じるべき対策について各社にさらなる助言を共有しました」と同氏は付け加えています。
「私たちは業界、規制当局、国家サイバーセキュリティセンターと継続的に協力し、脅威を評価し防御を強化しています。これは、私が議長を務め業界の主要関係者が積極的に参加しているエネルギー・レジリエンス・安全保障タスクフォースなど、ここ数カ月で強化されてきた取り組みの延長線上にあるものです」
専門家の見解
UtopianKnight Consultancyの創業者で、英国の情報・保安機関GCHQの元アドバイザーでもあるジェームズ・グリフィス氏は、この事案が重要な国家インフラに関わるコミュニティ全体にとっての警鐘になると指摘しています。
「攻撃の手口についてはまだ何も公表されていませんが、興味深いのは発電施設の稼働再開までに4日間を要したという点です」と同氏は述べています。
「施設への攻撃の規模にもよりますが、これはかなり迅速な復旧と見なせるかもしれません。しかしより深刻な問題は、その発電施設が国全体の送電網とどの程度相互接続されていたか、そして攻撃者が他の領域に侵入を広げられた可能性があったかどうかです。もし情報が公開されれば、小規模な発電施設がいかに脆弱であるかを私たち全員が本当の意味で理解するために、どのような教訓が導き出されるのか注目したいところです」
Horizon3.aiのEMEAフィールドCTOであるダン・バード氏は、英国はこの攻撃を、重要インフラとそれを支えるサプライチェーンが今や標的にされて当然の存在になったという明確なメッセージとして受け止めるべきだと述べています。
「サイバー攻撃は、敵対勢力に戦争の閾値を下回るレベルで戦略的な打撃を与える手段を提供し、犯人の特定を証明することは依然として難題です」と同氏は指摘しています。
「次の攻撃は単一の拠点にとどまらないかもしれません。複数の小規模事業者を同時に狙うこともあれば、エネルギーシステムのより大きな部分を狙うこともあり得ます。だからこそ、重要なサプライチェーンに関わる英国の組織は、自分たちが標的にされるには小さすぎる、あるいは周辺的すぎると思い込んではいけません」
今優先すべきは、攻撃者よりも先に悪用可能な弱点を見つけ出すことです。
「脆弱性は常に存在するものですが、組織はそうした弱点が実際の攻撃経路を生み出しているかどうかを継続的に検証し、業務、供給、そして国家的なレジリエンスを脅かす前にそれを塞ぐ必要があります」と同氏は付け加えています。
ロンドンを拠点とするサイバーセキュリティ・ソフトウェア企業Quod Orbisの最高経営責任者(CEO)であるティム・ウィリアムズ氏は、電力やエネルギー、水道といった重要な国家インフラが今後さらに攻撃の標的になると予想しています。
「レジリエンスを左右するのは、重要な業務を守るために設計された管理体制が実際に機能しているかどうかをリアルタイムで把握すること、そして機能していない場合の責任の所在を明確にすることに尽きます」と同氏はHelp Net Securityに語りました。
「特に国家と関係のある攻撃者が、重要なサービスを支えるデジタルシステムを悪用する手段をますます探し求める中、継続的な保証(アシュアランス)を組織の運用レジリエンス管理の一環として組み込んでいく必要があります」
より広範な脅威の状況
昨年、英国政府は、公共サービスやデジタルサービスの提供事業者にデジタル防御の強化を義務付けることで、サイバー脅威に対する国の耐性を高めることを目的とした新法を導入しました。
サイバーセキュリティ・レジリエンス法案は現在議会での審議が進められており、2026年末には成立する見通しですが、実際に効果が現れるまでには数年を要するとみられています。
イランは自国が敵とみなす国(あるいはその同盟国)に対するサイバー攻撃の頻度を高めている可能性がありますが、エネルギーや熱の供給を妨害することを狙ってサイバー攻撃能力を振り向けている国はイランだけではありません。
ウクライナの電力網は、開戦当初からロシアの支援を受けるAPTグループSandwormによって繰り返し標的にされてきました。
昨年末には、ポーランド政府がポーランドのエネルギーインフラの機能停止を狙ったとみられるSandwormによる攻撃を明らかにしました。
2026年7月には、EUと英国が、多くの欧州諸国の公共サービスや重要インフラを標的にすることで欧州の不安定化を図ったとして、ロシアのサイバー活動関係者(個人・企業双方)に対して制裁を科しました。
翻訳元: https://www.helpnetsecurity.com/2026/08/24/uk-power-plant-cyberattack/
