イランのハッカーが英国の発電所を4日止めた——ただし、規制の対象外だった発電所を

政府の声明は、嘘ではありません。小さな発電機が4日止まったところで、英国の電力網はまばたきもしない。技術的にはその通りです。

ただ、この言い方には奇妙なところがあります。攻撃側は最初から、電力網を落とすつもりがなかったのかもしれないからです。

米国の水道攻撃で使われた手口を見ると、その疑いは強まります。CISAの勧告(AA26-097A)によれば、狙われたのはロックウェル社製の産業用制御装置(PLC)——工場や水処理場で弁やポンプを動かしている、あの灰色の箱です。侵入経路は、出荷時の初期パスワードが変更されないままインターネットに露出していた機器、そして2021年に公表済みの脆弱性でした。5年前に修正パッチが出ている穴です。

つまり、国家の支援を受けたハッカーが英国のインフラを止めるのに必要だったのは、おそらくゼロデイでも天才的な暗号解読でもありません。パスワードを変えていない機械を探すことです。この非対称性は考えるほど気が滅入ります。攻撃には国家予算がかかり、防御には十分もかからなかったはずなのに、勝ったのは攻撃側でした。

そして、ここからが本題です。ここからは私見になります。

英国のインフラ防護は、2018年施行のNIS規則という法律に支えられています。この規則は「重要サービス事業者」を指定し、セキュリティ対策と当局への報告を義務づけています。ではその線引きはどこか。発電事業の場合、送電系統への供給能力が2ギガワット以上、または最終需要家25万件以上です。

これは相当に高い壁です。今回止まった「小規模な発電事業者」が2GWを超えていた可能性は、控えめに言ってもほぼありません。つまりこの発電所は、法的にはセキュリティ対策を義務づけられていなかった公算が大きい。政府が「広域の系統に危険はなかった」と言うとき、それは同時に「だから規制の対象ではなかった」と言っているに等しいのです。守らなくてよいと国が決めた施設が、実際に守られておらず、実際に止まった。制度は完璧に設計通り機能しました。

数字は状況の悪化を裏づけています。NCSCの年次報告によれば、2024年9月から2025年8月までの12か月間に扱った「国家的に重大な」インシデントは204件。前年の89件から倍以上です。うち重要サービスに深刻な影響を与えうる「極めて重大」なものは18件で、3年連続の増加でした。週に4件のペースです。

政府に弁護の余地がないわけではありません。現在審議中のサイバーセキュリティ・レジリエンス法案は、この規制の網を広げようとしています。ただ、その中身がまた示唆的で、新設される「大規模負荷制御事業者」の基準は300メガワット。発電の2GWよりはるかに低い。規制を作る側も、2ギガワットという線が現実離れしていることは分かっているわけです。分かったうえで、発電側の敷居は据え置かれています。

英国が電力供給を分散化させてきたことを思えば、この矛盾はさらに際立ちます。石炭火力の巨艦を畳み、風力・太陽光・蓄電池・小規模ガス発電へと電源を細かく散らしてきた。エネルギー安全保障としては正しい判断でした。しかしその結果、系統は「一つ落としても平気だが、標的は無数にある」構造になりました。分散化は単一障害点をなくす代わりに、攻撃対象を膨大に増やす。前者だけを勘定に入れて後者を勘定に入れなかったのが、いまの規制の姿です。

4日間というのも、妙に意味ありげな数字です。一晩なら事故で済む。一か月なら全面戦争になる。4日は、誰も報復せず、しかし相手には確実に伝わる長さです。これは攻撃というより、見積書に近い。今回は小さな発電所で、停電もなく、政府は「危険はなかった」と言えた。次にどこを選ぶかは、選ぶ側が決めます。