Quantum Systemsにサイバー攻撃、ドイツ軍がドローン運用を停止

ドイツ連邦軍（Bundeswehr）は、バイエルン州の防衛技術企業Quantum Systemsがサイバー攻撃を受けたことを受け、同社製ドローンの使用を予防措置として見合わせたとみられます。これはGolem.deが、事情に詳しい関係者の話として伝えたフィナンシャル・タイムズの報道を引用して報じたものです。機体そのものではなく、その周辺のソフトウェアが狙われた場合、最先端のドローンシステムであっても脆弱であることを示す事例です。

Quantum Systemsで何が起きたのか

通信社dpa-AFXによると、Quantum Systemsは2026年10月末に「サイバーセキュリティインシデント」が確認されたと発表しました。同社によれば、直ちに行われた社内調査で、敵対的な主体による活発なサイバー攻撃が判明したということです。Golem.deも同じ説明を伝えており、インシデントは10月末ごろに発見され、ITおよびセキュリティチームが所管当局と協力して脅威を封じ込めたとしています。

ミュンヘン近郊のギルヒングに本社を置く同社は、このインシデントを当局に報告済みで、調査は継続中だと述べています。dpa-AFXによれば、Quantum Systemsは、講じた措置とインシデントの性質から、システムの運用にあたってエンドユーザーや運用者にリスクはないとも説明しました。ベルリンでの問い合わせに対し、国防省はこの報道についてコメントしませんでした。

悪意あるコードはどう顧客に届いたのか

Golem.deが伝えた事情に詳しい人物の話では、Quantum Systemsは顧客に対し、あるサーバーを通じて悪意のあるアップデートファイルが配布されたと通知しました。このサーバーは、同社の地上管制・ミッション計画ソフトウェアであるQBaseの更新を配信しているものです。地上管制ソフトウェアとは、操作員が地上からドローンを操縦し、任務を計画するためのプログラムを指します。

このような手口はサプライチェーン攻撃と呼ばれます。攻撃者は最終顧客に直接マルウェアを仕込むのではなく、顧客が信頼している経路、ここではメーカーのアップデートサーバーに仕込みます。改ざんされたファイルが実際に顧客側へどこまでインストールされたかは、私たちが読んだ情報源には書かれていません。Golem.deによれば、今回の障害が個々の顧客にどう影響するかは今のところ不明です。

連邦軍への影響は

Golem.deが引用するフィナンシャル・タイムズによると、この措置のためにQuantum Systemsは直近の軍事演習にも参加できなかったとみられます。Quantum Systemsは偵察ドローン「Vector」を製造し、ドイツ、スペイン、オランダの陸軍など複数の欧州の軍に供給しています。スペインやオランダの軍が同様にドローンを停止しているかどうかは、読んだ情報源からは確認できません。

dpa-AFXが書いているとおり、国防省は報道を確認していません。そのため、Golem.deの記事にある「とみられる」という表現は重く受け止める必要があります。使用停止はフィナンシャル・タイムズの匿名の情報源に基づくもので、公式発表ではありません。

攻撃の背後にいるのは誰か

それは分かっていません。Golem.deは、この攻撃がロシアやその他の国家・組織と結びつくことを示す公的な証拠は今のところないと書いています。ただしドイツの国内情報機関である連邦憲法擁護庁（Verfassungsschutz）は7月、サイバー攻撃、スパイ活動、破壊工作を含め、ドイツの防衛産業に対するロシアの活動リスクが高まっていると警告していました。Golem.deによれば、この警告はとくにウクライナを支援する企業を対象としたものでした。

Quantum Systemsはまさにそうした企業です。Golem.deによれば、同社はウクライナに200人超の従業員を抱え、ウクライナ企業との合弁事業を3つ運営しています。これらの提携では、小型の攻撃用ドローン、迎撃ドローン、無人地上車両が製造されています。dpa-AFXによれば、Quantumのドローンはウクライナ軍がロシアとの防衛戦争で使用しています。

Quantum Systemsとはどんな会社か

Golem.deはQuantum Systemsを欧州で最も評価額の高い防衛スタートアップの一つに数えており、今年初めの資金調達ラウンドでは、報道によると評価額は70億ユーロでした。dpa-AFXによれば、同社は軍民両用のドローンを製造しており、これまでは偵察と監視が中心で、水上・水中ドローンは開発中です。

dpa-AFXによれば、比較的新しい製品に無人偵察システム「Reliant」があります。広い範囲を10時間以上連続で監視でき、垂直に離陸し、機上にAIを搭載しています。もう一つの開発の柱は、無人システム向け制御ソフトウェア「Mosaic」です。AI機能を備えたドローンでは、システムの価値は絶えず更新されるソフトウェアに大きく左右されます。

要点のまとめ

• 発見時期：2026年10月末。Quantum Systemsによれば、敵対的な主体による活発な攻撃（dpa-AFX、Golem.de）。
• 経路：ソフトウェアQBase用サーバーを通じて配布された悪意あるアップデートファイル（Golem.de）。
• 対応：連邦軍は予防措置としてドローンの使用を見合わせたとみられる（フィナンシャル・タイムズ、Golem.de経由）。国防省はコメントせず（dpa-AFX）。
• 攻撃者：不明。ロシアとの関連を示す公的な証拠はない（Golem.de）。
• 顧客への影響：Golem.deによれば不明。Quantum Systemsによればエンドユーザーにリスクはない（dpa-AFX）。

日本企業にとって何が変わるのか

ドローン、ロボティクス、AI搭載システムを利用または製造する日本企業にとって、この事例は、アップデートの経路そのものを独立した攻撃経路として扱うべきだという警告です。具体的には、メーカーの更新は署名された経路からのみ入手すること、展開前に検証環境で確認すること、そして供給元でインシデントが起きた際に機器を予防的に運用停止するかどうかを誰が判断するかを、あらかじめ決めておくことです。防衛や重要インフラに納入する企業は、ドイツの連邦憲法擁護庁の警告も真剣に受け止め、当局への報告経路を事前に整理しておくべきです。