針對電網的網路攻擊：日本對太陽能與儲能設備的新規定與防範

大家好，我是TIMEWELL的濱本隆太。

2026年10月16日，日本經濟新聞以「網路攻擊，日本電網有1億個要害　儲能電池與電動車普及使風險增加」為題報導。內容是：電力基礎設施若停擺，會以停電的形式對生活造成很大的影響，而攻擊的標的超過1億處。¹ 這樣的標題，會讓人感到不安。

這篇文章先把已公布的事實，與我無法確認的部分分開。接著，依據公部門的資料，整理日本政府對太陽能與儲能電池所訂的新規定，以及設置者、營運業者與採購人員現在就能準備的項目。這不是要針對特定國家或企業。日本的公部門資料，是依設備的資安標準，而不是依設備的製造國，來訂定要求，我也依這個想法來寫。數字與日期，都是截至2026年10月21日能確認到的。

先談談日經的「1億」

日經的這篇報導，是會員限定的文章。我能免費讀到的，只有標題與開頭部分，「標的超過1億處」這個說法的依據，也就是計算的是什麼、由誰估算，都在付費的部分，我無法確認。¹ 本文只把1億這個數字，當作報紙標題來介紹，以免讓一個沒有確認過依據的數字，自己到處流傳。

可以確認的事實，在政府的資料裡。

政府資料中可以確認的事實

日本國內實際發生過的事

日本資源能源廳的資料，列出了國內的威脅案例。2024年5月，約800台太陽能發電設備用的遠端監控裝置，遭到網路攻擊，被當成網路銀行詐騙轉帳的跳板。這是遠端監控裝置的弱點被利用的案件，該弱點先前就已有人通報，也已公開多個攻擊驗證程式碼（PoC）。遭攻擊的裝置的製造商表示，對象裝置沒有輸出控制功能，所以對電網沒有影響。²

也就是說，我能確認到的國內案件，並不是「想讓電網停擺的攻擊」，而是「附屬於電力設備的小型裝置，被當成另一種犯罪的跳板」。不過，如果結構相同的裝置，具備輸出控制功能的話會怎麼樣？日本政府急著訂對策，原因就在這裡。

政府的方針：從2027年4月起

日本資源能源廳在2025年12月與2026年3月的電網規範（Grid Code）研討會中，提出了把分散式電源的資安對策列為要求的方針。重點如下。²³

對象	要求	開始適用（依資料記載）
太陽能、儲能電池	併聯電網時，必須使用取得JC-STAR★1的產品	2027年4月
太陽能、儲能電池（低壓、未滿50kW）	同上。考量流通中的庫存	2027年10月
風力	先從風場與外部通訊交會點的閘道防火牆（或同等設備）開始	2027年4月（提案）
燃料電池	家用型，依製造商的因應情形	2028年4月（提案）

風力與燃料電池，在2026年3月的資料中，是提交研討會討論的提案。至於太陽能與儲能電池，資料寫的是「決定自2027年4月起，列為必須的要求」。³

對象是PCS（功率調節器）與EMS等，使用IP通訊的產品。資料所列的背景是這幾點：50kW以上的事業用設備，依電氣設備技術基準，已被要求確保資安。另一方面，未滿50kW的小型太陽能（一般用與小規模事業用），在電業法上，沒有專為資安訂定的明確技術基準。因此，一直朝著在併聯電網的手續中，把使用取得JC-STAR的產品列為要求的方向，進行檢討。²

資料中也寫到了海外的動向。美國公布了用於分散式電源的電子設備的資安認證（UL 2941），英國針對儲能電池等設備，要求符合資安規格（ETSI EN 303 645）的制度，預定從2027年起適用。G7也已就「在關鍵基礎設施領域的IoT產品上，採取資安對策的重要性」達成共識。²

JC-STAR★1是什麼，以及它的限制

JC-STAR是把IoT產品的資安等級，變得看得見的標示制度，★1的申請，在2025年3月開始受理。依IPA的說明，★1訂定產品共通要求的最低資安要件，並由廠商自行宣告符合。IPA明確寫到，這個標示並不保證完整的資安。從標示上的二維條碼，可以確認產品資訊與洽詢窗口。⁴

這一點很重要。★1是「入口處的最低標準」，並不保證設置之後的安全。

關於設備的「來源」，怎麼想

這是常被問到的主題，這裡也整理一下。

在海外，有報導指出，太陽能設備，尤其是中國製的設備，是否有設計之外的通訊裝置。2025年5月，路透社引用多位匿名消息來源報導，在部分中國製的逆變器中，發現了沒有文件記載的通訊裝置。數量並未公布。⁵

後來，美國能源部（DOE）由國家實驗室進行檢查，並把分析結果與能源領域的夥伴共享。依pv magazine的報導，檢查了約30台，結論是沒有「確定的證據」顯示有惡意的無線功能。發現2項通訊上的不一致，都被判斷為「非惡意」且「非有意」。分析寫到，單一逆變器內有沒有文件記載的通訊功能，對整個電網的影響「不太可能」發生，但如果在多個地點被協調地操控，影響可能更大。同時也警告，供應鏈的威脅依然存在。⁶

DOE提出的對策如下：確認設備的通訊協定，把不需要的停用；詳細分析韌體；製造商為了保固或安全而保留存取權時，要在合約中載明條件。⁶

我從這裡讀出2件事。第一，「中國製就危險」或「中國製就安全」，兩種說法都不對。雖然沒有確定的證據，但確認設備的通訊，被評估是有價值的。第二，不論製造國為何，這些對策都是必要的。日本政府的方針，也是不分製造國，對所有適用設備，要求相同的標準。在我確認的資料範圍內，沒有寫到依製造國做區分。

設置者、營運業者與採購人員該準備的6項

從這裡開始，是我依據公部門資料所做的整理，並不是規格或公部門訂定的程序。

1. 列出設備與通訊裝置的清單。

針對太陽能與儲能電池設施，把連到網路或行動網路的裝置全部寫出來：PCS、遠端監控裝置、閘道器、EMS等。連同設置地點、製造商、型號、韌體版本，以及負責管理的人，都寫進去。2024年被當成跳板的，是遠端監控裝置。只被當成「發電設備的一部分」的裝置，很容易成為盲點。

2. 檢視初始設定，並關閉不需要的通訊。

變更初始密碼，停用不使用的通訊與功能。DOE也建議確認設備的通訊協定，並把不需要的停用。⁶

3. 決定誰負責更新。

2024年的案件中被利用的，是先前就已通報、且PoC程式碼也已公開的已知弱點。² 製造商發布的更新，由誰確認、在何時之前套用，要事先決定好。設置完成的設備，很容易變成「放著就好」，所以要訂下負責人與頻率。

4. 採購時，標示與合約兩者都要看。

2027年4月以後新併聯的設備，預計必須使用取得JC-STAR★1的產品。在採購階段，確認有沒有標示。不過，★1是自行宣告，並不是保證，所以要在合約中載明：製造商遠端存取的條件、更新的提供期間，以及發現弱點時如何通知。DOE也建議，把製造商的存取，在合約中載明清楚。⁶

5. 分隔網路，並收緊對外通訊。

把控制設備的網路，與辦公室的網路分開，在連到外部的閘道處，設置防火牆等防護。在風力的資料中，與外部通訊交會點的閘道防護設備，也被列為最先處理的對象。³ 把設備往外送出的通訊，限縮在必要的範圍內。

6. 管理維護委外廠商的存取。

如果維護委外，委外廠商的帳號就會成為入口。列出誰、在何時、能進入哪些設備，不再使用的帳號就刪除。

家中裝有儲能電池或太陽能的人，也可以用同樣的想法，變更初始密碼，並確認更新。

經營者該確認的事

如果投資太陽能或儲能電池的事業，或是收購設備，把下列關於設備的事項列入確認項目，事後就能減少重工：設備與版本的清單、更新紀錄、維護委外廠商的存取範圍，以及JC-STAR符合性的展望。2027年4月以後併聯的設備，如果沒有標示，可能在併聯電網的手續上被卡住。

總結

日經「1億」這個數字的依據，在我能確認的範圍內並不清楚。可以確認的是：日本國內確實發生過太陽能遠端監控裝置被當成詐騙轉帳跳板的案件；以及日本政府已表明方針，自2027年4月起，太陽能與儲能電池併聯電網時，要求必須取得JC-STAR★1。

關於設備的來源，海外既有表示擔憂的報導，也有公部門「沒有確定證據」的分析。日本的方針，是不分製造國，依產品的資安來訂定要求。

我認為，管好小小的設備，就是守護電網的入口。這個星期，先從列出自家設施的通訊裝置開始吧。如果想討論公司內部的檢查，或採購規則的制定，歡迎透過WARP SECURITY的個別諮詢與我們聯絡。政府的資料有更新時，我會更新這篇文章。

參考資料

Footnotes

1. 網路攻擊，日本電網有1億個要害　儲能電池與電動車普及使風險增加（會員限定報導，僅確認標題與開頭；日文）— 日本經濟新聞 — 2026年10月16日 ↩ ↩²

2. 關於把分散式電源的資安對策列為要求（電網規範研討會第20次，資料4）（日文）— 日本資源能源廳 — 2025年12月16日 ↩ ↩² ↩³ ↩⁴ ↩⁵

3. 關於把分散式電源的資安對策列為要求（電網規範研討會第21次，資料4）（日文）— 日本資源能源廳 — 2026年3月31日 ↩ ↩² ↩³

4. 資安要件符合性評估及標示制度（JC-STAR）（日文）— IPA（日本資訊處理推進機構） ↩

5. Hidden devices found in Chinese-made inverters in the US, reports Reuters（英文，報導）— pv magazine — 2025年5月14日 ↩

6. U.S. authorities find no definitive evidence of hidden devices in Chinese solar inverters（英文，報導DOE的分析）— pv magazine USA — 2026年1月28日 ↩ ↩² ↩³ ↩⁴