こんにちは、株式会社TIMEWELLの濱本です。
英国のテレグラフ紙が報じた話が、日本でも「英海軍のスパイドローンが中国にデータを送っていた」という形で流れてきました。相談を何件かいただいたので、報道と英国防省の説明を並べて確認しました。
先に2つだけ訂正させてください。**これは空を飛ぶドローンではありません。**そして、送られていた中身については、報道と英国防省の説明が食い違っています。
この2つを押さえないと、話が「中国製は危ない」で終わってしまいます。それだと自社で何をすればいいのかが出てこないので、順番に整理します。
まず、これは船です
問題になったのは「K3スカウト」という機体です。無人水上艇（USV、Uncrewed Surface Vessel）、つまり人が乗らない小型の船です。
大きさを書くと想像しやすいと思います。全長8.4メートル、幅1.93メートル、最大排水量2,500キログラム。最大速力55ノット（時速およそ100キロ）で、25ノットなら650海里を走ります。ペイロード、つまり載せられる荷物や機材は600キログラム1。小型のモーターボートくらいのサイズ感です。
英海軍は「プロジェクト・ビーハイブ」という取り組みでこれを20隻調達しました。契約額は1,230万ポンド。自律システムを既存の艦艇と統合していくための試験台という位置づけで、新しいセンサーやミッションシステムを載せ替えられる設計になっています1。空撮用の小型ドローンとは、まったく別のものです。
報道で「スパイドローン」と書かれるのは、日本語の「ドローン」が無人機全般を指す言葉として広まっているからです。間違いとまでは言えませんが、頭に浮かぶ絵がだいぶ変わってしまいます。
該非判定の属人化を、AIで解消する。
経産省2024年度データによれば、外為法違反の52%は該非判定起因。TRAFEEDの機能・導入フローをまとめたサービスカタログを無料でダウンロードできます。
何が起きて、英国防省は何と言っているのか
定期的なサイバー脆弱性検査で見つかった、というのが発見の経緯です1。事故が起きてから調べたのではなく、決められた検査をやったら出てきた。ここは地味ですが大事なところで、あとでまた触れます。
見つかったのは、艇に搭載されたカメラが中国国内のIPアドレスへ通信していたという事実です。このカメラは第三者のサプライヤーから供給されたもので、中国製の部品が使われていました。艇そのものを作っているのは英国のメーカーです。
ここから先が、報道と当局で食い違います。
英国防省は、通信の内容はハートビート信号であり、機微な情報やシステムへのアクセス・移転は無かったと説明しています。そして該当するカメラからインターネット接続をすべて切り離した、としています1。
一方でテレグラフ紙の報道は、英軍関係者の姿が写った映像や、訓練・作戦に関する情報が取得されていた可能性への懸念を伝えています。
**どちらが正しいかを、私は判定できません。**公表されている情報だけでは無理です。なのでこの記事では、両方の主張を並べたうえで、どちらであっても企業がやるべきことは変わらない、という書き方をします。
輸出管理や調達の体制が今どうなっているかを先に把握したい方は、輸出管理体制の無料診断で現在地を見てから読み進めてください。
ハートビートとは何か、そしてなぜ「だけ」で済まないのか
ここは初心者の方向けに丁寧に書きます。
ハートビート（heartbeat、心拍）とは、機器が「自分は生きています」と定期的に外部へ送る短い信号のことです。ネットワーク機器やクラウドサービスではごく当たり前に使われている仕組みで、これ自体は怪しいものではありません。
たとえば家庭用の見守りカメラを思い浮かべてください。スマホのアプリで「オンライン」と表示されますよね。あれは、カメラが定期的にメーカーのサーバーへ「動いてます」と伝えているから表示できるのです。映像そのものを常時送っているわけではありません。
では英国防省の言う通り本当にハートビートだけだったとして、何も問題は無いのか。そうとも言い切れません。
信号の中身が空でも、信号が届いたという事実そのものが情報になるからです。いつ電源が入り、いつ切れたか。どのくらいの頻度で動いていたか。通信元のIPアドレスから推定できる、おおよその場所。これらが積み上がると、活動のパターンが見えてきます。中身を読まなくても、封筒の外側だけで分かることがある、という話です。
軍の運用では、これが直接的な意味を持ちます。ある海域で機器が一斉に動き出した時刻が分かるだけでも、価値のある情報になりうるからです。だから「機微なデータは送られていない」という説明が事実だったとしても、接続を切るという対処は妥当だったと思います。
悪意がなくても、同じ結果になります
ここが、この記事でいちばん書きたいところです。
「中国のIPアドレスに通信していた」と聞くと、誰かが意図的に裏口（バックドア）を仕込んだ、という絵を思い浮かべます。可能性としてはあります。ただ、もっとありふれた説明も成り立ちます。
市販のネットワークカメラの多くは、初期設定でメーカーのクラウドに接続する作りになっています。遠隔で映像を見たり、ファームウェアを更新したりするためです。メーカーが中国の会社であれば、その接続先は中国国内のサーバーになります。これは仕様どおりの動作であって、誰も悪いことをしていません。
問題は、その部品が組み込まれた製品を買った側が、その動作を知らないまま使ってしまうことです。カメラモジュールを買ったメーカーも、完成品を納入された発注者も、「このカメラは既定でどこかへ通信する」という前提を持っていなければ、気づく機会がありません。
つまり、悪意による仕込みでも、既定動作でも、結果として外部へ通信が出ているという事実は同じです。そして対処も同じで、接続を止めるか、通信先を制御するかしかありません。
ですので「中国製だから危ない」という整理は、実務的にはあまり役に立ちません。役に立つのは「自社の機器が、どこへ、何を、どのくらいの頻度で送っているかを把握しているか」という問いのほうです。これは調達先の国籍とは別の話です。
もうひとつ、この件が示している厄介さがあります。完成品を作ったメーカー自身も、おそらく気づいていなかったという点です。
現代の機器は、部品の中にさらに部品が入っています。艇を作る会社はカメラモジュールを買い、そのモジュールを作る会社は画像センサーと通信チップを買い、そのチップにはメーカーが書いたファームウェアが入っている。**どの層で「外に通信する」機能が入ったのかを、上の層から見通すのは非常に難しい。**部品表を見ても、そこに書いてあるのは型番と数量であって、通信先ではありません。
これは能力の問題ではなく、情報の構造の問題です。だから「調達先をよく選べば防げる」とも言い切れません。よく選んでも、その先の階層までは見えないからです。
じゃあ打つ手がないのかというと、そうではありません。**上流をたどるのが難しいなら、出口で見ればいい。**部品の素性を完璧に把握できなくても、その機器がネットワークに出ていく通信は、自社のネットワークの出口で観測できます。どの層の誰が仕込んだかに関係なく、そこを通るからです。今回、英海軍がこれを見つけられたのも、部品表を精査したからではなく、通信を検査したからでした。
似た構造の話は、日本国内でも起きています。ネットワーク機器の調達をめぐる論点はTP-Linkルーターと日本のサイバーセキュリティで扱いました。ソフトウェアの側でも同じことが起きていて、開発ツールが感染経路になった事例はAIツールが感染経路になる時代にまとめています。
日本企業が今日から確認できること
「うちは軍需品を扱っていないから関係ない」と思われるかもしれません。ただ、構造は同じです。工場の監視カメラ、入退室管理の端末、複合機、ネットワーク機器、実験装置の制御PC。どれも部品を寄せ集めて作られていて、どれかがどこかへ通信しています。
3つだけ挙げます。
**ひとつめ。ネットワークに出ていく通信を、宛先ごとに一度だけ見てみる。**ファイアウォールやルーターのログで、社外へ出ている通信の宛先を国別に並べるだけで構いません。想定していない国が上位に出てきたら、その機器を特定する。これは専門部署がなくてもできる作業で、たいていの会社で「知らない通信」が見つかります。
**ふたつめ。調達仕様に「通信先の開示」を入れる。**次に機器を買うとき、仕様書に一行足すだけです。この製品が外部へ通信する場合、その宛先と内容と頻度を開示してください、と。サプライヤーが答えられないなら、それ自体が判断材料になります。国籍を問うより、この質問のほうがずっと実務的です。
これは相手を疑う質問ではない、という点も添えておきます。多くのサプライヤーは、聞かれれば普通に答えます。答えられないとしたら、それは隠しているからではなく、自分たちも把握していないからであることのほうが多い。今回の件が示しているのは、まさにその状態です。ですので聞くこと自体に、相手の把握を促す効果があります。買う側が誰も聞かなければ、誰も調べません。
**みっつめ。定期検査の予定を入れる。**今回の件がそもそも見つかったのは、事故が起きたからではなく、決められた検査をやったからでした。ここは見習うべきところだと思います。年に一度でも、通信の棚卸しを予定として置いておく。予定になっていない作業は、忙しいときに必ず消えます。
なお、中国国内に拠点や出張者がいる会社は、機器の話とは別に、現地でのデータと人の扱いも見ておく必要があります。そちらは反スパイ法・国家情報法と日本企業のリスクに整理しました。
「危ない国」ではなく「見えていない経路」の問題
まとめます。英海軍が調達した無人水上艇K3スカウト20隻（契約額1,230万ポンド、プロジェクト・ビーハイブ）に搭載されたカメラが、中国国内のIPアドレスへ通信していたことが、定期的なサイバー脆弱性検査で判明しました。英国防省は通信内容をハートビート信号とし、機微な情報やシステムへのアクセス・移転は無かったと説明したうえで、該当カメラのインターネット接続を切り離しています。報道はより広い懸念を伝えており、この点は食い違ったままです。
私が引っかかっているのは、艇を作ったメーカーも、おそらくこの通信を知らなかったであろうことです。カメラは第三者のサプライヤーから来ています。組み立てる側が、部品の中の部品の挙動まで把握するのは、正直かなり難しい。そこを責めても再発は防げません。
だから問いの立て方を変えるほうがいいと思っています。「どこの国の部品か」ではなく、「どこへ通信しているかを、自分たちは知っているか」。前者は調達先を絞るだけで思考が止まりますが、後者は具体的な作業に落ちます。しかも後者をやっておくと、部品の出どころが何であれ気づけます。
取引先や調達先のリスクを構造的に把握する話は、TRAFEEDの考え方が参考になるかもしれません。自社の状況に即した相談はこちらからどうぞ。
Footnotes
-
K3スカウトの仕様（全長8.4メートル、幅1.93メートル、喫水0.8メートル、最大排水量2,500キログラム、最大速力55ノット、25ノットで航続650海里、ペイロード600キログラム、船内ディーゼル機関とスターンドライブ）、英海軍による20隻の調達と契約額1,230万ポンド、プロジェクト・ビーハイブがオープンアーキテクチャの試験台として新型センサー・ペイロード・ミッションシステムの統合能力を提供するものであること、発見が「routine cyber vulnerability assessment（定期的なサイバー脆弱性検査）」によるものであること、通信先が中国国内のIPアドレスであること、通信内容が機器の稼働を示す定期信号（heartbeat signals）とされていること、英国防省が該当カメラからインターネット接続を除去し「no sensitive data or systems were accessed or transferred」と説明していること、カメラが第三者サプライヤーから供給されたものであることは、Army Recognition の報道による。https://www.armyrecognition.com/news/navy-news/2026/british-royal-navy-k3-scout-drones-supporting-special-forces-found-communicating-with-china ／ 本件の初報は英テレグラフ紙（2026年8月）。同紙は英軍関係者の映像や訓練・作戦に関する情報が取得されていた可能性への懸念を伝えており、英国防省の説明との間に相違がある。本記事は双方の主張を併記し、いずれが正確かの判定は行わない。 ↩ ↩2 ↩3 ↩4
