イランのハッカーが英国の発電所を4日間停止、規制の対象外だった施設

政府の声明は正しい。小さな発電機が4日止まっても、英国の電力網はまばたきもしません。ただ同じ月、米ミネソタ州で30を超える水道事業体が同時に攻撃を受け、影響は12州に及びました(2026年7月26〜27日)。水圧低下、浸水、煮沸勧告——数十万人分の蛇口に実害が出ています。

狙われたのはロックウェル社製の産業用制御装置(PLC)。工場や水処理場で弁やポンプを動かす、あの灰色の箱です。肝心なのは、使われた脆弱性CVE-2021-22681には修正パッチが存在しません。暗号鍵の守りが甘く、鍵を得た者は正規の設計ツールになりすまして装置を直接動かせる。設計に埋まった欠陥なので更新プログラムでは塞げず、ロックウェル社自身が「パッチでは完全には対処できない」と認めています。CISA(米インフラ安全保障庁)が示した対策も、パッチではなく「インターネットから切り離せ」でした。

英国のインフラを止めるのに必要だったのは、天才的な暗号解読ではありません。塞げない穴の開いた機械が、外から見える場所に置かれているのを見つけることです。攻撃には国家の予算がかかり、防御に必要だったのはLANケーブルを1本抜く判断でした。それでも勝ったのは攻撃側です。

英国のインフラ防護は2018年のNIS規則に支えられ、「重要サービス事業者」に対策と報告を義務づけます。線引きは、発電事業なら供給能力2ギガワット以上。今回の「小規模な発電事業者」がこれを超えていた可能性は、まずありません。この発電所はおそらく、法的には対策を義務づけられていなかった。政府が「広域の系統に危険はなかった」と言うのは、「だから規制の対象外だった」とほぼ同義です。制度は設計通りに機能しました。

数字も悪化を裏づけます。NCSCが2024年9月から2025年8月に扱った429件のうち「国家的に重大」は204件で、前年の89件から2倍以上でした。

次に決まるのは審議中のサイバーセキュリティ・レジリエンス法案の中身です。下院を6月16日に通過し、貴族院の委員会審議は9月7日に終わって報告段階。成立は年内とも2027年春とも言われます。ただ新たに規制対象となる「大規模負荷制御事業者」の基準は300メガワットで、発電側の2GWは据え置かれます。数百メガワットが国家の関心事と分かったうえで、発電の敷居だけが2018年のまま残ります。

4日間というのも妙に意味ありげです。一晩なら事故、一か月なら戦争。4日は誰も報復せず、相手には確実に伝わる長さ。攻撃というより見積書に近い。次にどこを選ぶかは、選ぶ側が決めます。