英海軍のドローン艇、カメラが中国に「生きている」と送信し続けていた

英海軍の無人水上艇に搭載されたカメラが、中国のIPアドレスへ定期的に信号を送っていた。5ヶ月間、誰も気づかなかった。問題のカメラには「米国の規制に準拠」のラベルが貼られていた。

「ハートビート」という名の信号

英海軍が運用する無人水上艇K3 Scoutのカメラが、中国のIPアドレスに向けてデータを送信していたことが明らかになった。定期的なサイバー脆弱性評価の中で発見された。

送信されていたのは「ハートビート」と呼ばれる信号だ。カメラがオンラインで正常に動作していることを確認するための、小さな自動パケット。商業施設のカメラなら日常的な機能にすぎない。

だがこれは軍用艇だ。

英国防省の広報はこう述べている。

「徹底した調査の結果、国防省のデータやシステムがアクセス、侵害、または外部に送信された証拠は見つからなかった」

ハートビートには映像は含まれない。含まれるのは機器の識別子、ネットワークアドレス、タイムスタンプ。だが数週間分のハートビートを蓄積すれば、艇がいつ稼働し、いつ停泊し、いつ整備に入っているかが見える。特殊部隊の活動パターンを推測する材料として、映像よりも有用な場合すらある。

評価額10億ドルのプラットフォーム

K3 Scoutは、英国の防衛テック企業Kraken Technology Group（クラーケン・テクノロジー・グループ）が製造する無人水上艇だ。全長8.4メートル、最高55ノット、連続30日間の海上行動が可能で、600キログラムの積載能力を持ち、任務に応じて搭載する機器を入れ替えられる。偵察、戦力防護、精密攻撃まで、1隻で複数の役割をこなせる設計だ。

英海軍はProject Beehive（無人艇の統合運用計画）の一環として約20隻を約1230万ポンド（約1660万ドル）で調達し、沿岸部隊戦隊と第47コマンドー英国海兵隊に配備した。2026年3月から運用が始まっている。

Krakenの成長は急激だ。2026年7月にはSeries Bで1億7500万ドルを調達し、評価額は10億ドルに達した。米特殊作戦軍（USSOCOM）とは4900万ドルの契約を結び、NATOのバルト海演習にも参加している。ラインメタルとの合弁会社を通じてハンブルクで量産も始まっており、年間200隻、最大1000隻の生産能力を見込む。

つまりK3 Scoutは、英国だけの話じゃない。米軍もNATO加盟国も使っている、あるいは使おうとしているプラットフォームだ。

カメラの出所

問題のカメラは、Krakenが製造したものじゃない。Krakenが外部の供給元から調達したものだ。その供給元は、カメラのセキュリティについて保証を提供していたという。

運用が始まった2026年3月から発見まで約5ヶ月間、カメラは中国のIPアドレスにハートビートを送り続けていた。一部の報道では、艇本体の電源を切った状態でもカメラがアクティブだった可能性が指摘されている。カメラのファームウェアに組み込まれたネットワーク機能が、艇の主電源系統とは独立して動作していたとすれば、オペレーターの制御が及ばない層で外部接続が維持されていたことになる。

英国防省は発見後、カメラのインターネット接続を切断し、Krakenとの合同監査を実施した。Krakenの広報は、外部から調達したカメラがNDAA準拠と表示されていたが、一部の部品が英国外から調達されていたと認めている。

「完全な監査の結果、機密情報が許可された経路の外に共有された事実はなく、潜在的な脆弱性はすべて特定・対処済みだと確信している」

英国防省も「脆弱性の早期発見は保証・テストプロセスの目的通り」と述べ、定期評価で問題を見つけたこと自体は成功だと位置づけた。

ラベルの裏側

カメラに貼られていた「NDAA準拠」のラベルが、どこまで信頼できるものなのか。NDAA Section 889（米国防授権法第889条）の仕組みを見れば、答えが出る。

この規定は、米連邦政府機関と取引する企業に対し、Hikvision（ハイクビジョン）、Dahua（ダーファ）、Huawei（ファーウェイ）、ZTE、Hytera（ハイテラ）の5社およびその関連会社が製造した機器の使用を禁じている。

禁止は製造元のレベルで適用される。この5社が作ったカメラは使えない。だが、禁止リストに載っていない企業が組み立てたカメラの中に、リスト外の中国メーカーが作ったチップや通信モジュールやファームウェアが入っていても、Section 889はそれを検出できない。

カメラの外側に貼られた「NDAA準拠」のラベルが保証するのは、完成品の製造元がリスト上の5社ではないということだけだ。中身の部品がどこの国で作られたかは、ラベルの対象外になっている。

このギャップは以前から指摘されていた。2021年には米軍の複数部門が、別のブランド名で売られていたHikvisionやDahuaのハードウェアを含むカメラを購入していたことが報じられている。規制を自ら書いた当事者が、その穴を踏んでいた。CISA（米サイバーセキュリティ・インフラ安全保障庁）も、完成品の内部に使われている個々の部品レベルで出所を検証することが、次の課題だと指摘していた。

K3 Scoutのカメラは、そのギャップを実証した形になった。

部品を追跡する仕組みはあるか

CISAは2023年にHBOM（Hardware Bill of Materials、ハードウェア部品表）フレームワークを公開している。製品の中に含まれる全部品、全チップ、全ファームウェアのバージョンと供給元を文書化するための標準規格だ。Section 889が「箱に貼られたラベル」を検査するのに対し、HBOMは「箱の中身」を検査する。

2026年7月20日には、米ホワイトハウスが防衛契約者に対して全部品の出所追跡を義務づける大統領令に署名した。K3 Scoutの問題がTelegraph紙で報じられる3週間前のことだ。

だがこの大統領令は米国の防衛契約者に適用されるもので、英国には2026年8月時点で同等の規制がない。

K3 Scoutが突きつけたのは、その不在の重みだ。20隻の無人艇はそれぞれがネットワークの端末であり、従来の有人艦に比べてはるかに多くの接続点を持つ。自律型艦隊の規模が拡大するほど、検証されていない部品が持ち込むリスクも比例して膨らむ。

保守党のアリシア・カーンズ氏（Alicia Kearns、影の国家安全保障担当大臣）は、軍用装備全体に対する中国製部品の緊急監査を求めた。下院防衛小委員会は2021年の時点で、中国とロシアの企業を英国の防衛サプライチェーンから排除するよう勧告していたが、法制化される前にこの事態が起きた。

K3 Scoutの艦隊はまだ運用中だ。カメラの接続は切断されたが、遠隔監視・管理機能も同時に失われている。30日間の自律航行を前提に設計されたプラットフォームにとって、それは軽い制約じゃない。

ラベルは中身を語らない。箱を開けて確認したのは、攻撃者じゃなく定期検査だった。それは幸運と呼ぶべきなのかもしれない。

関連記事

• FCC、中国製セルラーモジュールの禁輸を検討
• 中国発スパイウェアLightSpy、料金表付きで13カ国に展開。117台のサーバを運用
• 潰されたボットネットが4ヶ月で20万台に復活。「Dysphoria」の耐性構造
• タタへのサイバー攻撃でApple・Teslaの機密情報が流出か
• ウクライナ、鹵獲ロシア兵器のデータを同盟国に公開
• Fable 5停止、もう一つの理由。中国のMythosアクセス疑惑が浮上
• FBIがサイバー犯罪訓練用の「街」を建設。病院も発電所もある
• ポケモンGOで遊んでいた人のデータが、軍事ドローンの技術を育てていた
• ChatGPTがAIの敵に回る日。中国発の世論工作が狙った標的
• GitHubの内部コードが3,800件流出、入口は拡張機能1本だった