ノルウェー最大の公共交通事業者ルーター（Ruter）は10月28日、中国製電気バスに深刻なセキュリティホール（欠陥）が見つかったと発表した。

ルーターは、欧州ではシェアトップを占める中国バスメーカー、宇通（Yutong）が製造した電気バスを使用しており、ルーターは先月28日、宇通製電気バスに深刻なセキュリティホールが見つかったと発表した。セキュリティテストを行ったところ、宇通の電気バスにルーマニア製SIMカードを搭載していることが確認されたという。

技術的には、このアクセスを通じてバッテリーや電源供給制御システムなど、車両の中枢機能にも到達可能と判明。ルーターは「理論上、メーカー側が車両を運行不能にすることもできる」と述べており、サイバー攻撃による運行停止や公共の安全への影響が懸念されている。

ノルウェーでは約1300台の電気バスのうち、実に850台が宇通製であり、デンマークの運輸会社「モビア」（Movia）も、中国製電気バス469台のうち262台が宇通製である。

こうした「遠隔制御が可能な中国製品」の問題は、今回の電気バスに限ったものではない。2016年には、中国・上海のADUPS社が開発したファームウェアにバックドアが仕込まれ、ユーザーの位置情報や通話履歴、メッセージなどが定期的に中国のサーバーへ送信されていたことが明らかになった。このソフトウェアはHuaweiやZTEなどの大手ブランドを含む多数のスマートフォンに組み込まれており、全世界で7億台に及ぶと報じられた。これらの中国製の製品は表向きは正当な機能に見えるものが、実際には情報収集の経路にもなり得るという構造的リスクが存在する。

国家の重要インフラにおいても現実化している。アメリカの港湾では、物資の積み下ろしに使われるSTSクレーンの約8割が中国製であり、これらの機械がデータを外部に送信したり、遠隔で制御されたりする可能性が指摘された。バイデン政権は沿岸警備隊に港湾のサイバー管理権限を拡大し、サイバー事件の報告義務を設けるとともに、国内でのSTSクレーン製造基盤の再構築に200億ドルを投じる方針を示し、中国製品の排除と同時に、自国生産能力の回復を目指している。

また2024年後半、複数の国で中国製太陽光インバーターが遠隔から無効化される事例が発生し、電力供給の一部が停止するという事件も発生している。後にこれらの機器の内部から、マニュアルに記載のない通信モジュールが見つかり、外部との不明な通信が確認された。アメリカの電力会社はこれを受けて中国製インバーターの段階的廃止を開始し、エネルギー省もリスク評価を進めている。NATOも加盟国に対し、戦略的な依存関係の見直しを求める声明を出しており、再生可能エネルギーの分野でも「安全保障」という視点が中心テーマとなっている。

こうした中、アメリカでは、港湾クレーンの国内製造復活に加えて、通信・監視機器の安全保障審査を制度化した。2019年にはアメリカ商務省がハイクビジョンやダーファといった中国の監視カメラメーカーを国家安全保障上のリスクと認定し、政府調達から排除した。さらに2022年には連邦通信委員会（FCC）が、これら企業の製品に対して輸入や販売の認証を禁止した。英国も同年、政府庁舎などセンシティブな施設に中国製カメラを設置しないよう通達を出し、国家情報法の影響下にある中国企業の機器を段階的に排除している。

その他、ドローンも重大な懸念対象となっている。アメリカ連邦捜査局（FBI）やサイバーセキュリティ・インフラセキュリティ庁（CISA）は、中国製ドローンが撮影データや位置情報を中国当局に送信するリスクを警告し、政府関連機関による使用を禁止した。米陸軍は2017年にDJI製ドローンの購入を停止し、連邦議会でも同様の規制法案が審議された。今や「飛ぶ監視カメラ」としてのドローンも、情報戦の一部と見なされている。

日本でも、全国の国会議員の事務所が集まっている議員会館で稼働しているロボットが中国製であることを小野田紀美議員が4月9日の参院地方創生・デジタル特別委員会で指摘。「清掃ロボットが安全保障的な調達基準を満たしているか否かを誰が確認をしているのか」と尋ねたところ、両院事務局はこれまで安全保障面における調達基準はなかったと回答しており、導入時に十分な審査や責任者の明確化を行っていない実態も明らかになっている。