中国の脅威はサイバー空間が主戦場、フェイク情報やインフルエンサー活用も-ノルウェー当局が指摘|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年02月10日更新日時: 2026年02月10日

ノルウェー警察保安局（PST）が公表した「National Threat Assessment 2026（国家脅威評価2026）」は、同国が直面する国家安全保障上の脅威を、国家アクター（ロシア・中国・イラン）や過激主義の動向、そして具体的な手口に分けて整理しています。

PSTは全体像として、ノルウェーが第二次世界大戦以降で「最も深刻な安全保障状況」に直面しているとの問題意識を示し、社会全体での警戒と備えを呼びかけています。

本記事では、このうち中国の脅威アクターに焦点を当て解説します。

1 中国の脅威は「サイバーが主戦場」
2 民間委託先・商用コントラクターの比重増―国家と犯罪の境界が曖昧に
3 研究協力が攻撃力を高めるリスク―中国法では脆弱性情報を「二日以内に報告」
4 人的ネットワークの構築―本人が気づかない協力者
5 国外弾圧―在外コミュニティとデジタル監視
6 北極圏への足場作り
7 影響工作偽アカウント、動画、インフルエンサーの活用
8 経済活動・調達のリスク―「中国技術の導入」が諜報機会を生むという指摘
9 企業・組織が取るべき現実的な備え（中国リスクを前提に）

中国の脅威は「サイバーが主戦場」

PSTは、中国の安全・情報機関がノルウェー国内での諜報能力を高めているとし、2026年には情報収集、ノルウェーのデジタル基盤の偵察（reconnaissance）、批判者への威嚇が含まれると見通しています。

特に重要なのは、レポートで「中国からの主要な諜報脅威はサイバードメインにある」と明記している点です。

機微情報を扱うノルウェー組織が標的となるだけでなく、ノルウェー国内のルーターやサーバーが、第三国に対する作戦の踏み台（インフラ悪用）として利用され得ると指摘されています。

民間委託先・商用コントラクターの比重増―国家と犯罪の境界が曖昧に

PSTが2026年の中国を語るうえで、

もう一つの軸が商用のサイバー契約者（commercial cybersecurity contractors）の活用です。PSTは、中国の作戦の一部が、訓練された情報要員ではない個人や商用コントラクターによって実行される可能性を示し、こうした動きが中国側のデジタル領域での能力を大きく押し上げているとしています。

さらに踏み込んで、コントラクターの中には独自のサイバー攻撃を行い、侵害して得たアクセスを販売しようとする者がいる、とも指摘しています。

結果として、ノルウェーで観測される中国由来のサイバー作戦のすべてが、必ずしも中国当局の意図を直接反映したものとは限らず国家主導・準国家・便乗犯罪が混在し得るという前提で防御側は考える必要があります。

攻撃者の属性が曖昧になるほど、侵害の「目的」が読みにくくなり、

(1) 情報窃取型、(2) 破壊・妨害型、(3) 影響工作（心理・世論）型、(4) 金銭目的型が同じ侵害経路を共有し得ます。

ログ上は同じ侵入に見えても、後段の展開が違うため、初動での封じ込めと影響範囲特定の精度が、これまで以上に重要になります。

研究協力が攻撃力を高めるリスク―中国法では脆弱性情報を「二日以内に報告」

PSTの記述で注目されるのが、研究開発（R&D）や共同研究が、中国のサイバー能力を押し上げる可能性です。中国は共同研究を軍事力や安全・情報機関の能力強化に体系的に利用している、とPSTは述べています。

中国法では「中国の研究者が発見したソフトウェア脆弱性は、発見から遅くとも2日以内に当局へ報告されなければならない」という趣旨の言及を行い、

脆弱性が中国のサイバー作戦（ノルウェー標的を含む）の重要な道具になっている、と警鐘を鳴らします。

この観点は、大学・研究機関だけでなく、共同研究を行う企業、産学連携の窓口部門、外部委託先を抱える開発組織にも影響します。

人的ネットワークの構築―本人が気づかない協力者

中国の脅威はサイバーだけではありません。PSTは、中国の情報機関がノルウェー人をリクルートし、機微情報・機密情報へのアクセスを得ようとする、と述べます。対象になりやすいのは、中国との接点（留学、職歴、友人、家族）を持つ人々で、脅迫や誘因が働きやすいとされています。

特に現代的なのが、「ソース（協力者）に自分のネットワークを作らせる」手口です。

求人サイトでの副業募集やLinkedInでの接触を通じて、間接的に協力者を増やす傾向が強まっているとPSTは指摘します。間接的にリクルートされた人物は、自分が中国情報機関に加担していると気付かない場合もあり、依頼主の正体は「シンクタンク」「国際企業」「コンサル会社」などとして隠される、とされています。

「最初は公開情報ではないが低機密な情報提供」→「徐々に具体的で高感度なタスクへ」という段階的な誘導が示されており、組織としては情報提供の小さな例外を許さないガバナンスが重要になります。

国外弾圧―在外コミュニティとデジタル監視

中国の脅威アクターが、ノルウェー国内で中国政府や人権状況を批判する個人・集団を継続的に監視し、圧力をかけると述べています。圧力は、非通知の電話が繰り返されるレベルから、死の脅迫のような深刻なものまで幅があるとされています。

また、中国国家が批判者やその家族に直接影響力を行使できない場合、インターネットが抑圧の主要な場になるとし、たとえばチベット人・ウイグル人コミュニティに訴求する正規アプリ風のモバイルアプリを通じてマルウェアを配布する、といった例を挙げています。

この分野は「企業のサイバー対策」と別物に見えがちですが、実際には、NGO、研究者、ジャーナリスト、自治体、教育機関、そして多様なディアスポラと関わる民間組織にも影響します。

北極圏への足場作り

PSTは、中国のハイ・ノース（北極圏周辺）での活動が、報道やノルウェーの国家安全保障戦略によって制約を受けている一方、依然として中国側は足場を求め続けている、と評価しています。そして、残された領域の一つとして「研究・教育セクター」を挙げ、ここが“育成（cultivation）と協力（collaboration）が可能な数少ない場”になっている、という見方を示しています。

PSTは、こうした動きが中国の研究機関や、情報機関のために動く個人によって、より秘匿的に進む可能性に言及しています。
これは研究協力が直ちに危険だと言う話ではありませんが、少なくともPSTは、地政学的に重要な地域では研究協力が「単なる学術交流」に留まらず、諜報・影響・足場作りの文脈で利用され得る、と明確に警告しています。

影響工作偽アカウント、動画、インフルエンサーの活用

PSTは、権威主義国家が2026年にノルウェーで影響工作を行う見通しを示し、ロシアと中国が、治安・情報機関、政府当局、プロキシを含む広範な影響ネットワークを持つと指摘しています。手段としては、偽アカウントの販売、動画コンテンツの作成、SNSインフルエンサーのリクルートなど、新しい方法を継続的に開発しているとしています。

企業・自治体の観点では、影響工作は「政治」だけの問題ではありません。

偽情報や世論誘導が、特定企業の信用、投資案件、研究プロジェクト、港湾・海底ケーブルのようなインフラ事業への反対運動などに波及する可能性があります。PSTが示すように、物理とデジタルの両面で作用し得る以上、危機対応広報やサプライチェーン・リスクの枠組みで捉える必要があります。

経済活動・調達のリスク―「中国技術の導入」が諜報機会を生むという指摘

PSTは、国家と結びついた投資・買収などの経済活動が2026年も国家安全保障上の脅威になり得るとし、技術へのアクセス、意思決定への影響、機微情報の収集に利用され得ると述べています。

とりわけ中国に関しては、重要インフラで中国技術を使用することが諜報活動の機会になり得るという趣旨で、企業が中国当局・情報機関への協力を法的に求められ得る点に言及しています。
この指摘は、通信機器・監視機器・クラウド・ソフトウェア供給網など、広範な領域で「コスト・機能」だけでは判断できない評価軸があることを示唆します。

またPSTは、輸出規制・制裁対象技術の不正調達において、ロシアが中国の仲介者を通じて入手を試みる可能性にも触れており、国家アクター同士の協業が、調達・迂回輸出の世界で起こり得ることを示しています。

企業・組織が取るべき現実的な備え（中国リスクを前提に）

PSTの記述を踏まえると、2026年の中国リスクは「侵入」そのものよりも、侵入後の利用目的が多様化し、担い手も拡散している点が厄介です。実務上は、次の優先度が高いと考えられます。

デジタル基盤の偵察（recon）への備え
外部公開資産（VPN、認証基盤、リモート管理、メール、IDaaS、SaaS連携）を継続棚卸しし、ログの長期保全と相関分析を前提にした監視に寄せるべきです。PSTは中国が2026年にノルウェーのデジタル基盤を偵察すると見ています。
踏み台化（ルーター／サーバー悪用）対策
境界機器のパッチ、設定監査、管理IFの閉域化、脆弱機器の計画的更新が重要です。ノルウェー機器が第三国作戦に悪用され得る、という指摘を軽く見ないことです。
研究協力・共同開発のリスク評価（脆弱性・知財・データ）
PSTは共同研究がサイバー能力を高め得ると明示しています。
産学連携では、成果物だけでなく「途中の情報共有」「バグ報告」「未公開仕様」「実験環境アクセス」まで含めて評価し、契約・運用の両面で統制する必要があります。
人的リクルート対策（採用・副業・LinkedIn接触）
「本人が気づかない間接リクルート」という前提で、情報持ち出しの例外運用をなくし、相談しやすい文化作ることが重要です。