電力網へのサイバー攻撃。太陽光・蓄電池の機器を守る新ルールと備え

こんにちは、株式会社TIMEWELLの濱本です。

2026年10月16日、日本経済新聞が「サイバー攻撃、日本の電力網に1億の急所　蓄電池やEV普及でリスク増」と報じました。電力インフラが止まれば、停電という形で生活への影響が大きく、攻撃の対象が1億カ所を超える、という内容です。¹ 見出しの印象が強いので、不安になった方もいると思います。

この記事では、公表されている事実と、確認できていないことを分けます。そのうえで、国が太陽光と蓄電池に求める新しいルールと、設置者、事業者、調達担当が今から備える項目を、公的資料に基づいて書きます。特定の国や企業を問題にする記事ではありません。日本の公的資料は、機器の製造国ではなく、機器のセキュリティの基準で要件を課しています。その考え方に沿って、書きます。数字や日付は、2026年10月21日までに確認できたものです。

まず、日経の「1億」について

日経の記事は、会員限定の記事です。私が無料で読めたのは、見出しと導入部までで、「攻撃対象は1億カ所を超える」という記述の根拠、つまり、何を数えて、誰が試算したのかは、有料部分にあり、確認できていません。¹ この記事では、1億という数字を、報道の見出しとして紹介するにとどめます。根拠のない数字を独り歩きさせないためです。

確認できる事実は、国の資料にあります。

国の資料で確認できる事実

国内で、実際に起きた事案

資源エネルギー庁の資料は、国内の脅威事例を載せています。2024年5月に、太陽光発電設備向けの遠隔監視機器の約800台がサイバー攻撃を受け、インターネットバンキングの不正送金の踏み台に悪用されました。遠隔監視機器の脆弱性が悪用された事案で、この脆弱性は以前から報告され、複数の攻撃実証コード(PoCコード)も公開されていました。攻撃を受けた機器のメーカーは、対象の機器には出力制御の機能がないため、系統への影響はないとしています。²

つまり、私が確認できた範囲の国内の事案は、「電力網を止めようとした攻撃」ではなく、「電力の設備についていた小さな機器が、別の犯罪の踏み台にされた」ものです。ただ、同じ構造の機器が、出力制御の機能を持っていたらどうなるか。国が対策を急ぐ理由は、ここにあります。

国の方針。2027年4月から

資源エネルギー庁は、2025年12月と2026年3月のグリッドコード検討会で、分散型電源のサイバーセキュリティ対策の要件化を示しました。要点は、次のとおりです。²³

対象	要件	適用開始(資料の記載)
太陽光、蓄電池	系統連系にあたって、JC-STAR★1を取得した製品の使用を必須とする	2027年4月
太陽光、蓄電池(低圧・50kW未満)	同上。流通在庫を考慮	2027年10月
風力	ウィンドファームと外部通信の結節点にあたる、ゲートウェイのファイアウォール(または同等の機器)から	2027年4月(案)
燃料電池	家庭用はメーカーの対応を踏まえて	2028年4月(案)

風力と燃料電池は、2026年3月の資料で、検討会に諮られた案として示されたものです。太陽光と蓄電池は、「2027年4月から必須の要件とすることとした」と書かれています。³

対象になるのは、PCS(パワーコンディショナ)やEMSなどの、IP通信を用いる製品です。要件化の背景として、資料は次の点を挙げています。50kW以上の事業用の設備には、電気設備の技術基準で、サイバーセキュリティの確保が義務づけられている。一方、50kW未満の小規模な太陽光(一般用と小規模事業用)には、サイバーセキュリティに特化した明確な技術基準が、電気事業法上ない。そこで、系統連系の手続きで、JC-STARを取得した製品の使用を要件にする方向で、検討を進めてきた、という経緯です。²

海外の動きも、資料に書かれています。米国では、分散型電源に使う電子機器のセキュリティ認証(UL 2941)が公表され、英国では、蓄電池などの機器に、セキュリティ規格(ETSI EN 303 645)への準拠を求める制度が、2027年から適用される予定です。G7でも、重要インフラ分野のIoT製品でセキュリティ対策を講じる重要性が、合意されています。²

JC-STAR★1とは何か。限界も

JC-STARは、IoT製品のセキュリティレベルを見える形にするラベリング制度で、2025年3月に、★1の申請受付が始まりました。IPAの説明では、★1は、製品に共通して求められる最低限のセキュリティ要件を定め、それを満たすことを、ベンダーが自ら宣言する方式です。ラベルは、完全なセキュリティを保証するものではないと、明記されています。ラベルの二次元バーコードから、製品の情報や問い合わせ先を確認できます。⁴

ここは、大事な点です。★1の取得は、「入口の最低限の基準」であって、設置後の安全を保証するものではありません。

機器の「出どころ」について、どう考えるか

ご質問の多いテーマなので、ここでも整理しておきます。

太陽光発電の機器、特に中国製の機器について、設計にない通信装置が入っているのではないか、という報道が、海外で出ています。2025年5月に、Reutersが、複数の匿名の情報源を引いて、中国製の一部のインバーターに、文書化されていない通信機器が見つかったと報じました。件数は、明らかにされていません。⁵

その後、米エネルギー省(DOE)が、国立研究所で検査を行い、分析結果をエネルギー分野のパートナーと共有しました。pv magazineの報道によると、約30台を検査した結果、悪意のある無線の機能があるという「確定的な証拠はない」とされました。通信の不一致は2件あり、いずれも「非悪意的」で「非意図的」と判断されています。単一のインバーターに、未文書化の通信機能があっても、系統全体への影響は「起こりにくい」とする一方、複数の拠点で協調的に操作されれば、より大きな影響が出うるとも書かれています。サプライチェーンの脅威は、依然として残る、という警告もあります。⁶

DOEが示した対策は、次のとおりです。機器の通信プロトコルを確認し、不要なものは無効にする。ファームウェアを詳しく分析する。メーカーが保証や安全のためにアクセスを維持する場合は、その条件を契約で明確にする。⁶

私は、ここから2つのことを読み取ります。1つ目は、「中国製だから危ない」とも、「中国製だから安全」とも言えない、ということです。確定的な証拠はない一方で、機器の通信を確認する価値は、あると評価されています。2つ目は、対策は、製造国を問わずに必要な内容だ、ということです。日本の国の方針も、製造国で区別せず、すべての対象機器に、同じ基準を求めています。確認した資料の範囲で、製造国による区別は書かれていません。

設置者・事業者・調達担当が備える6項目

ここから先は、公的資料を踏まえた、私の整理です。規格や公的機関が定めた手順ではありません。

1. 設備と通信機器の一覧を作る。

太陽光や蓄電池の設備について、PCS、遠隔監視装置、ゲートウェイ、EMSなど、インターネットや携帯回線につながる機器を、全部書き出します。設置場所、メーカー、型番、ファームウェアの版、管理している担当者まで書きます。2024年の事案で踏み台にされたのは、遠隔監視の機器でした。「発電設備の一部」としか認識されていない機器が、盲点になりやすいのです。

2. 初期設定を見直し、不要な通信を止める。

初期のパスワードを変更し、使っていない通信や機能を無効にします。DOEも、機器の通信プロトコルを確認し、不要なものを無効にするよう勧めています。⁶

3. 更新を、誰が担当するか決める。

2024年の事案で悪用されたのは、以前から報告され、PoCコードも公開されていた、既知の脆弱性でした。² 機器のメーカーが出す更新を、誰が確認し、いつまでに適用するか。設置後の機器は、「置いたら終わり」になりがちなので、担当者と頻度を決めておきます。

4. 調達では、ラベルと契約を、両方見る。

2027年4月以降に新しく連系する設備は、JC-STAR★1の取得製品が必須になる見通しです。調達の段階で、ラベルの有無を確認します。ただし、★1は自己適合宣言で、保証ではないので、契約で、メーカーの遠隔アクセスの条件、更新の提供期間、脆弱性が見つかったときの連絡を、書いておきます。DOEも、メーカーのアクセスを契約で明示するよう勧めています。⁶

5. ネットワークを分け、外向きの通信を絞る。

制御に使う機器のネットワークを、事務所のネットワークから分け、外部との通信の出入口(ゲートウェイ)には、ファイアウォールなどの防御を置きます。風力の資料でも、外部通信との結節点にあたるゲートウェイの防御機器が、最初の対象とされています。³ 機器が外に出す通信を、必要なものに絞ります。

6. 保守委託先のアクセスを管理する。

保守を外部に任せていると、委託先のアカウントが入口になります。誰が、どの機器に、いつ入れるか、一覧にして、使わなくなったアカウントは消します。

家庭に蓄電池や太陽光を入れている方も、同じ考え方で、初期のパスワードの変更と、更新の確認ができます。

経営者として、確認しておきたいこと

太陽光や蓄電池の事業に投資したり、設備を買収したりする場合は、設備の機器に関する、次の点を確認項目に入れておくと、あとでの手戻りが減ります。機器の一覧と版、更新の履歴、保守委託先のアクセスの範囲、JC-STAR対応の見通し。2027年4月以降に連系する設備は、ラベルがなければ、系統連系の手続きで止まる可能性があります。

まとめ

日経の「1億」という数字の根拠は、私が確認できた範囲では分かりません。確認できるのは、国内で、太陽光の遠隔監視機器が、不正送金の踏み台にされた事案が、実際にあったこと。そして、国が、2027年4月から、太陽光と蓄電池の系統連系にJC-STAR★1を必須にする方針を示していることです。

機器の出どころについては、海外で、懸念の報道と、「確定的な証拠はない」という公的機関の分析の両方があります。日本の方針は、製造国で区別せず、製品のセキュリティで要件を課すものです。

私は、小さな機器の管理こそが、電力網を守る入口だと考えています。まず今週、自社の設備の通信機器を、一覧にするところから始めてみてください。社内の点検や、調達のルールづくりについて相談したい方は、WARP SECURITYの個別相談からお声がけください。国の資料が更新されたら、この記事も更新します。

参考

Footnotes

1. サイバー攻撃、日本の電力網に1億の急所　蓄電池やEV普及でリスク増（会員限定記事・見出しと導入部のみ確認）— 日本経済新聞 — 2026年10月16日 ↩ ↩²

2. 分散型電源のサイバーセキュリティ対策の要件化について（第20回グリッドコード検討会 資料4）— 資源エネルギー庁 — 2025年12月16日 ↩ ↩² ↩³ ↩⁴ ↩⁵

3. 分散型電源のサイバーセキュリティ対策の要件化について（第21回グリッドコード検討会 資料4）— 資源エネルギー庁 — 2026年3月31日 ↩ ↩² ↩³

4. セキュリティ要件適合評価及びラベリング制度（JC-STAR）— IPA（情報処理推進機構） ↩

5. Hidden devices found in Chinese-made inverters in the US, reports Reuters（報道）— pv magazine — 2025年5月14日 ↩

6. U.S. authorities find no definitive evidence of hidden devices in Chinese solar inverters（米エネルギー省の分析を伝える報道）— pv magazine USA — 2026年1月28日 ↩ ↩² ↩³ ↩⁴