UK英国AIサイバー攻撃が重要インフラを標的に：2028年警告と日本企業の対策

公開日：2026年11月3日文：クリスタルメソッド編集部監修：河合継（代表取締役）

UK 英国 AIサイバー攻撃重要インフラ 2028：NCSC長官が示した「2年後のシナリオ」

2026年11月2日、英国国家サイバーセキュリティセンター（NCSC）のリチャード・ホーン長官はロンドンで年次サイバー報告書を公表し、「英国は2028年までにAIを活用したサイバー攻撃が重要インフラに及ぶ可能性が高い」と明言した（ABC News、WRAL、KSAT報道）。同席したGCHQのアン・キースト=バトラー長官は「サイバーセキュリティは今や国家防衛の最前線の一部だ」と述べた。

この警告を将来予測に留まらせないのは、直近の実被害の積み重ねだ。2025年12月にロシアFSBはポーランドの電力網への攻撃を実行し、成功していれば冬季に50万人が停電に直面していた（ABC News、WRAL、KSAT）。2026年10月にはフランスの複数スーパーで冷蔵システムがサイバー攻撃を受け、民間インフラの脆弱性が改めて露呈した（KSAT、ABC News）。報告書は「AIは全く新しい攻撃手法を生むよりも、既存手法の強化と拡大に使われる可能性が高い」と分析しており、脅威の輪郭はすでに現実のものとして描かれている。

英国全体のサイバー被害コストは年間約200億ドル（約3兆円）に達し（ABC News、WRAL、KSAT）、英国NCSCの警告は抽象的なリスク論ではなく、計測可能な経済損失として経営の俎上に載る問題になっている。

AIを使ったサイバー攻撃で実際に起きている被害は、日本・世界のAIハッキングの主な被害一覧で説明しています。

関連記事AIによる情報漏洩とは？生成AIで漏れる原因は

AI強化型サイバー攻撃が重要インフラを標的にする構造的理由

NCSCの報告書が示す核心は、AIが「かつては想像を超えた規模」での脆弱性悪用を可能にするという点だ（ABC News、WRAL）。具体的には、ランサムウェア攻撃向けのマルウェア自動生成、標的ごとにカスタマイズされたフィッシングメールの大量生成、そして脆弱性スキャンの高速化がAIによって劇的に効率化される。

重要インフラが特に危険にさらされる理由は、物理プロセスの自動化制御システム（OT/ICS）の構造的脆弱性にある。電力切換、水施設の水門、ダム操作、製造ライン、冷暖房制御といったシステムはインターネットに接続されている一方でパッチ適用が遅れがちだ（KSAT、ABC News）。ITシステムとは異なり、OT/ICSは稼働を止めてアップデートを適用するコストが著しく高い。攻撃者にとっては、古いプロトコルと最新の接続環境が混在するこの隙間こそが狙い目になる。

さらに、報告書公表の直前にAIがウェブの70%を支えるプログラミング言語の重大脆弱性2件を発見したことも明らかにされた。未認証アクセスによるサーバー乗っ取りが理論上可能な脆弱性であり、AIが攻撃側の偵察・調査能力を根本から変えつつあることを示している（ABC News、WRAL）。

地政学的な文脈では、NCSCは中国を「最も洗練され持続的なサイバー上の脅威」と位置づけ、ロシアと中国がAIを地政学的目標のために日常的に活用していると断言した（ABC News、WRAL、KSAT）。ロシアは武力紛争の閾値を下回るサイバーキャンペーンを継続し、イランも英国への攻撃や政権批判者の標的化を継続している。ジャガー・ランドローバーは2025年のサイバー攻撃で2億6000万ドル（約390億円）超の直接損失を被った（ABC News、WRAL、KSAT）。製造業が重要インフラと同様の攻撃対象になりうることを示す数字だ。

図1：国家支援の攻撃者がAIツールを活用し、OT/ICS経由で重要インフラへ到達する4段階のプロセス。NCSCは2028年を質的変化の警戒目安として示している。

次に読む：AIセキュリティ対策とは？企業が知るべきリスク

AIセキュリティ対策とは？企業が知るべきリスクと今すぐできる対策【2026年】

日本企業の経営判断に直結する含意：UK英国AIサイバー攻撃重要インフラ2028警告が示す波及リスク

「これは英国の話だ」と距離を置くことは、現状では適切ではないと考えられる。理由は3点ある。

第一に、脅威主体は同じだ。中国・ロシア・イランといった国家支援型攻撃者はG7各国の重要インフラを戦略的に偵察・侵入しているとみられる。日本も製造業・エネルギー・通信といった分野でこれらの国家と緊張関係にあり、攻撃者の地理的優先順位が英国に留まる保証はない。

第二に、サプライチェーンの連鎖リスクがある。英国に生産拠点・調達先・取引先を持つ日系企業は、英国側の重要インフラやサプライヤーが攻撃を受けた場合、間接的な影響を受ける可能性がある。製造業へのサイバー攻撃が数百億規模の損失に直結することは、ジャガー・ランドローバーの事例が示している。

第三に、OT/ICSの脆弱性は日本でも同様の構造を抱える。国内の電力・水道・化学・鉄道といった重要インフラの制御システムも、老朽化したプロトコルをインターネット接続で補う構成が多く、NCSCが指摘した「既存手法の拡大・強化」という攻撃パターンに対して同様の脆弱性を持つ可能性がある。

ただし、過剰な解釈には慎重であるべきだ。NCSCの警告は英国固有の脅威環境（NATOの前線国家としての地政学的位置づけ）に基づいており、英国の数値をそのまま日本に転用することは根拠を欠く。日本への影響の具体的な頻度・規模は、英国のそれとは異なるとみてよい。

日本企業が今取るべき実務的な対策：優先度別アクション

経営判断として取り得る対策を、インフラ事業者・製造業・一般企業・経営層の4層に整理する。

AIサイバー攻撃への対応：日本企業の優先度別アクション
対象	優先度	具体的アクション	根拠・背景
重要インフラ事業者（電力・水道・通信）	最高	OT/ICSネットワークのセグメント分離状況確認、AIスキャン対応のパッチ管理プロセス整備	電力切換・水門・製造ラインが攻撃対象として明示（KSAT、ABC News）
製造業（英国・欧州拠点あり）	高	サプライチェーン上流のサイバーリスク評価を取引先に要求、BCP（事業継続計画）の見直し	製造業への攻撃で数百億規模の直接損失が現実化（ABC News、WRAL、KSAT）
一般企業（IT部門）	中	AIを使ったフィッシング・ソーシャルエンジニアリング対策の訓練刷新（従来の文面検出では不十分になりつつある）	AIによるマルウェア・フィッシングの自動生成が脅威として明示（ABC News、WRAL）
経営層・取締役会	中〜高	サイバーリスクを経営アジェンダに格上げ（「IT部門の問題」から「経営リスク」へ）。サイバー保険の補償範囲見直し	英国年間被害約200億ドル（約3兆円）は経営損失の規模感を示す（ABC News、WRAL、KSAT）
政策担当・規制対応部門	参考	英国AI安全サミットや経済産業省のサイバーセキュリティ政策動向を継続ウォッチ	英国の先行規制が日本の規制議論に波及する可能性がある（fmmc.or.jp）

AIサイバー攻撃への対応で最も難しいのは、「AIが使われているかどうか」を攻撃受信側が即座に判別できない点だ。NCSCが強調するように、AIは新たな攻撃手法を生むよりも既存手法の速度・精度・量を拡大する。この非対称性は、防御側が同様にAIを活用した脅威検知・異常検出を導入しない限り、スピードで劣位に置かれることを意味する。

日本のサイバーセキュリティ政策については、経済産業省が英国AI安全サミットの成果と各国の取り組みを参照しながらフロンティアAI安全に関する国際連携を進めており（fmmc.or.jp）、英国NCSCの警告はその政策議論とも連動する可能性がある。

AIとサイバーセキュリティの交差点を理解するには、AIの基本的な学習・推論の仕組みを把握しておくことが判断の精度を高める。

対応における限界と経営が認識すべき制約

AIサイバー攻撃対策には、現時点でいくつかの本質的な制約がある。正直に列挙する。

第一に、AIを使った攻撃の検知精度には限界がある。AIが生成したコードや通信パターンは正規のものと区別が難しく、誤検知率が上がれば業務への影響が出る。現時点では完全に防ぐシステムは存在しないとみてよく、「被害を最小化する前提のBCP」が不可欠だ。

第二に、コストの非対称性がある。防御側は全ての攻撃経路を塞がなければならないが、攻撃側はAIで一点突破を探せばよい。OT/ICSの刷新には多大なコストと工期がかかり、すべての中小企業が単独で対応することは現実的ではない可能性がある。セキュリティ投資の優先順位を決める際は、自社の重要インフラへの依存度とサプライチェーン上の位置づけから逆算することが現実的な出発点になる。

第三に、OT環境の特性上、パッチを即時適用できないシステムが多い。製造ラインを止めてセキュリティアップデートを適用するコストは、多くの現場で稟議が通りにくい。「セキュリティ対策の経営上の優先度と現場の現実」の乖離は、日本企業固有の課題として認識する必要がある。

英国NCSCの警告が示す「2028年」という期限は、攻撃が始まる日付ではなく、防御体制を整備するためのリードタイムとして読むべきだ。報告書の含意は「すでに始まっている脅威が、AIによって2028年頃に質的に変わる」という認識であり、今から着手しない理由にはならない。

英国NCSCが警告するAI強化型サイバー攻撃の重要インフラへの影響経路を示す概念図

参考文献

ABC News: “UK cyber chief says UK will face AI cyberattacks on critical infrastructure by 2028″（2026年11月2日）— abcnews.com
WRAL: “UK cyber chief warns of AI cyberattacks on critical infrastructure by 2028″（2026年11月2日）— wral.com
KSAT: “UK cyber chief says the UK will face AI cyberattacks on critical infrastructure by 2028″（2026年11月2日）— ksat.com
公益財団法人マルチメディア振興センター（fmmc.or.jp）:「英国AI安全サミット、フロンティアAIの安全かつ責任ある開発」— https://www.fmmc.or.jp/news/detail/itemid487-006816.html