英海兵隊ドローンのカメラが中国と定期通信、サプライチェーンの盲点露呈

イギリス海兵隊が導入した偵察ドローン「K3スカウト」に搭載されたカメラが、中国のIPアドレスへ定期的な通信を送っていたことが発覚した。発見したのは海兵隊自身が実施していた定期的なサイバー脆弱性評価。国防省は「データやシステムが外部に侵害された証拠はない」としつつ、該当カメラのインターネット接続機能を無効化する対応を取った。

何が起きたのか #

K3スカウトはKraken Technology Group製で、海兵隊は2026年3月から20機（調達費約1200万ポンド）を運用開始。監視・防御・攻撃任務での有人艦とのハイブリッド編成も見込まれていた矢先の発覚だった。問題のカメラは第三者サプライヤーから調達した部品で、機器の生存確認用とみられる「ハートビート信号」を中国のIPアドレスへ送信していたという。Rapid7の脅威インテリジェンス担当者は、長期スパイ活動を得意とする中国系脅威アクター「Red Menshen」の関与の可能性を指摘している。

サプライチェーンの死角 #

ドローン本体のメーカーを審査しても、内蔵カメラのような汎用IoT部品まで一つ一つファームウェア監査するケースは少ない。TP-Linkルーターの中国製ファームウェアやDJI製ドローンを巡る各国の規制論争と同じ構図で、「本体は信頼できるベンダー製でも、部品供給網のどこかにテレメトリ送信先が埋め込まれている」リスクは軍民問わず普遍的だ。しかも今回は侵害の証拠がないというだけで、平時からの常時通信自体が是正されるまで数か月気づかれなかった可能性がある。調達側にできる現実的な防御は、部品構成表(BOM)の開示要求、納入前のアウトバウンド通信の静的解析、そして本番環境でのネットワークセグメンテーションとエグレス監視の徹底だろう。「動けば良い」で導入した機材ほど、こうした盲点は後から高くつく。