中国のEV(電気自動車)に潜むセキュリティ リスク-米欧がコネクテッドカーを安全保障リスクとして警戒する理由

中国製EVやコネクテッドカーを巡る議論は、価格競争や自動車産業政策の枠を超え、国家安全保障の問題へ移りつつあります。

背景にあるのは、現代の自動車が単なる移動手段ではなくなったことです。GPS、カメラ、マイク、通信モジュールを備え、クラウドと常時接続しながらソフトウェアを更新する車両は、実質的には「移動するネットワーク端末」です。位置情報や走行履歴だけでなく、周辺の道路、施設、人や車両の動き、場合によっては車内の音声まで扱うため、そこから得られるデータには従来の自動車にはなかった情報価値があります。

米国はすでに、中国やロシアと一定の関係を持つ車載通信システムや自動運転ソフトウェアを米国市場から段階的に排除する規制を導入しました。EUも2026年、コネクテッド・自動運転車とそのサプライチェーンを対象にしたリスク評価を進めています。

ただし、ここで問題にされているのは「中国製EVにスパイ装置が見つかった」という単純な話ではありません。論点は、車両のデータに誰がアクセスできるのか、誰がソフトウェアを遠隔更新できるのか、通信モジュールやクラウドをどの国の企業が管理しているのか、そして地政学的な緊張が高まったときに、その管理権限を誰が行使できるのかという点にあります。

中国製コネクテッドカーを巡る安全保障上の懸念は、個々の脆弱性の有無ではなく、データと制御権を誰が持つのかというサプライチェーンの問題へ広がっています。

中国製EV・コネクテッドカーを巡るサマリー

• 米商務省は、中国・ロシアと一定の関係を持つ車両接続システム（VCS）や自動運転システム（ADS）について、データ取得や車両への干渉につながる国家安全保障上のリスクがあるとして規制しています。
• 米国ではソフトウェアに関する規制が2027年モデルから、VCSハードウェアに関する規制が2030年モデルから段階的に適用されます。
• ノルウェーの公共交通機関Ruterは、中国Yutong製バスについて、メーカーがOTA更新や診断のために車両へ直接アクセスでき、理論上は車両を停止・使用不能にできると報告しています。
• ただし、Yutongや中国政府が実際にバスを遠隔停止した事実は確認されていません。
• 米議会の公聴会では、ノルウェーで調査されたNIO車1台について、通信の約90％が中国向けだったとの研究結果が紹介されていますが、この数字を中国製EV全体へ一般化することはできません。
• 中国の国家情報法は、組織と国民に国家情報活動への支持・協力を求めています。一方、この法律だけを根拠に「中国製EVのデータがすべて中国政府へ渡っている」と断定することはできません。
• 中国自身も、軍事管理区域や政府施設周辺で自動車が取得する地理情報などを「重要データ」として扱い、国外移転を規制しています。
• 米国防総省が2026年6月に公表したSection 1260HリストにはBYD、NIO、Quectelが含まれています。ただし、リスト掲載は個々の車両や通信モジュールにバックドアが存在する証拠ではありません。
• EUもコネクテッドカーをICTサプライチェーン上の安全保障問題として評価しており、特定サプライヤーへの依存や第三国の司法管轄まで含めたリスク管理へ動いています。
• 現時点で、中国政府が海外の市販EVを使って大規模な諜報活動を行ったことや、多数の車両を一斉停止したことを裏付ける公開一次情報は確認されていません。
• 日本ではUN R155／R156を軸とする車両サイバーセキュリティ制度が導入されていますが、米国のように供給者の国籍や司法管轄まで踏み込む制度とは性格が異なります。

論点	現時点で確認できること
車両によるデータ収集	位置情報、センサー情報、映像、音声などを取得・通信できる車両が存在
中国へのデータ送信	特定のNIO車で通信の大半が中国向けだったとの研究あり
メーカーによる遠隔アクセス	YutongバスでOTA・診断用の直接アクセスをRuterが確認
遠隔停止	Yutongバスでは理論上可能と評価
大量車両の一斉停止	実際に行われた事例は確認されていない
中国政府への情報提供	国家情報法上の協力義務は存在するが、恒常的な車両データ提供とは別問題
米国の対応	中国・ロシア関連のVCS・ADSを段階的に規制
EUの対応	コネクテッドカーのサプライチェーンを安全保障リスクとして評価
日本の対応	UN R155／156を中心とした車両サイバーセキュリティ制度を運用

米国が規制したのは「EV」ではなく、車両の通信と制御

米国のConnected Vehicles Ruleを見ると、何が安全保障上の問題とされているのかが分かります。

米商務省産業安全保障局（BIS）が規制対象としたのは、EVという動力方式そのものではありません。対象は、セルラー通信、Wi-Fi、Bluetooth、衛星通信、テレマティクス制御ユニットなどを含むVCSと、高度な自動運転を担うADSです。

中国またはロシアと一定の関係を持つ事業者が設計、開発、製造、供給する対象ハードウェアやソフトウェアについて、米国は輸入や販売を段階的に制限します。ソフトウェア関連の禁止は2027年モデルから、VCSハードウェアは2030年モデルから適用されます。

この規制を「中国製EVで大規模なサイバー攻撃が確認されたから」と理解するのは正確ではありません。BIS自身も、規制の背景として将来を見据えた国家安全保障上のリスクを挙げています。

米国が警戒しているのは、外国政府から影響を受け得る企業が、将来数百万台規模に拡大する可能性のある車両の通信、データ、ソフトウェア更新へ継続的にアクセスできる構造です。平時には故障診断や機能追加のために使われる正規の遠隔管理機能も、地政学的な状況が変われば安全保障上の意味が変わります。

従来のサイバーセキュリティでは、「脆弱性があるか」「マルウェアが入っているか」が主な論点でした。コネクテッドカーでは、それに加えて「正常な管理権限を誰が持っているのか」そのものがリスク評価の対象になっています。

ノルウェーの中国製バスが示したのは「秘密のキルスイッチ」ではない

この構造を具体的に示したのが、ノルウェー・オスロ地域の公共交通機関Ruterによる電気バスのセキュリティ試験です。

Ruterは中国Yutong製バスと欧州メーカー製バスを隔離環境で調査し、Yutong車について、メーカーがソフトウェア更新や診断のためにモバイルネットワークを通じて各車両へ直接アクセスできることを確認しました。Ruterは、このアクセスによってメーカー側が理論上、バスを停止させたり使用不能にしたりできると評価しています。

ただし、これを「中国メーカーが秘密のキルスイッチを仕込み、研究者が実際に遠隔停止させた」と表現するのは行き過ぎです。確認されたのは、メーカーが正規の保守機能として車両へ継続的にアクセスできる構造であり、中国政府やYutongが実際にその機能を悪用した事実ではありません。

さらに、試験対象となったYutongバスのカメラはインターネットへ接続されておらず、Ruterは映像が外部へ送信される危険を確認していません。Ruter自身も、問題は特定メーカーや製造国だけにあるのではなく、「車両を接続可能にする技術」そのものにあると説明しています。

安全保障上の意味は、秘密機能の有無ではなく、運行事業者自身が完全には管理できない遠隔アクセス経路が存在することにあります。車両を購入した後もメーカーがどこまでアクセスできるのか、利用者側で通信を遮断できるのか、OTA基盤が停止した場合に車両がどうなるのか。今後はこうした事項が公共交通や企業フリートの調達条件になっていく可能性があります。

NIO車の「90％が中国向け」は何を意味するのか

データ収集についても、実車を使った調査があります。

2026年4月、U.S.-China Economic and Security Review Commissionの公聴会で、タフツ大学のChris Miller氏は、ノルウェーの研究者Tor Indstøy氏らが調査した中国NIO製EVについて紹介しました。

調査対象となった車両では、分析した通信のおよそ90％が中国向けだったとされています。車両が停止しているように見える状態でも通信が続き、音声コマンドも車外へ送信されていたとMiller氏は証言しています。

一方、この数字を「中国製EVはデータの90％を中国へ送る」と一般化することはできません。対象は特定のNIO車1台であり、通信の多くは暗号化されていたため、外部から内容をすべて特定できたわけでもありません。

それでも、安全保障上の論点が消えるわけではありません。位置情報だけでも、特定人物がどの施設へ通い、どの場所を定期的に訪れ、何時ごろ移動しているのかを分析できます。車外カメラやGPS、道路環境などの情報が大量かつ継続的に蓄積されれば、個別には価値の低いデータでも、地理空間情報や行動分析の材料になります。

AIによる大量データ解析が容易になった現在、リスク評価で重要なのは「1台から何が取れるか」だけではありません。数万台、数十万台のセンサーが継続的に観測することで、何を把握できるのかという視点が必要です。

中国自身も自動車データを国家安全保障上の情報として管理

中国政府自身も、自動車から取得されるデータを単なる製品改善用テレメトリとは扱っていません。

中国国家インターネット情報弁公室などが2021年に施行した「自動車データ安全管理若干規定」では、自動車が取得するデータの一部を「重要データ」と定義しています。そこには軍事管理区域、国防関連施設、一定規模以上の政府機関など重要・敏感区域の地理情報や、人・車両の流量が含まれます。条件によっては、車外映像やナンバープレートなども重要データとして扱われます。

重要データは中国国内での保存が原則とされ、国外へ提供する場合には安全評価が求められます。

つまり、「自動車のセンサーから得られる情報には国家安全保障上の価値がある」という前提自体は、中国当局も共有しています。米国側から見れば、中国国内では保護対象となる種類の情報を、中国企業の車両が海外で取得できる構造は非対称なリスクとして映ります。

国家情報法が問題になるのは「今渡しているか」ではなく「拒否できるか」

中国製ICTを巡る安全保障上の懸念では、中国企業と政府との法的な関係も繰り返し論点になります。

中国の国家情報法第7条は、組織と国民に対し、法律に基づいて国家情報活動を支持・協力することを求めています。第14条でも、国家情報活動を担う機関が関係機関や組織、国民に必要な支援や協力を求めることができるとしています。

これだけを根拠に、「中国メーカーが日常的にすべての車両データを政府へ渡している」と断定することはできません。中国には個人情報保護法をはじめとするデータ保護制度も存在します。

一方、安全保障リスクを評価する際には、企業が現在何をしているかだけでなく、政府から要請を受けた場合にどこまで独立して拒否できるかも重要になります。

クラウド、OTA署名基盤、通信モジュール、ソフトウェア更新基盤などを管理する企業が、どの国の司法管轄に置かれているのか。これは個々の製品に脆弱性があるかどうかとは別のサプライチェーンリスクです。

BYD、NIO、Quectelの1260H掲載は「バックドア発見」を意味しない

米国の警戒は完成車メーカーだけに向けられているわけではありません。

米国防総省が2026年6月8日付で公表したSection 1260Hに基づくリストには、BYDとNIOに加え、セルラーIoTモジュール大手のQuectelも掲載されています。国防総省はSection 1260Hを、中国の軍民融合戦略と関係する企業を識別するための制度として運用しています。

ただし、この指定を「BYD車にバックドアがある」「NIOが中国軍へデータを送っている」「Quectel製モジュールが遠隔操作されている」と読み替えることはできません。

1260Hは、企業と中国の軍民融合政策などとの関係についての米政府による安全保障評価であり、個別製品を技術解析した結果ではないからです。

この線引きは重要です。企業や国家との関係を理由にしたリスク評価と、実際の侵害やバックドア発見を混同すれば、インテリジェンス分析ではなく単なる疑惑になってしまいます。

EUも「高リスクサプライヤー」の考え方を自動車へ広げる

中国製コネクテッドカーへの警戒は、米国だけの対中政策とも言い切れません。

EUのNIS Cooperation Groupは2026年、欧州委員会やENISAとともに、コネクテッド・自動運転車とそのサプライチェーンに関するリスク評価を進めています。分析対象には、車両制御、通信・接続機能、クラウドバックエンド、処理・意思決定システムなどが含まれます。

EUが近年進めているICTサプライチェーン政策でも、技術的な脆弱性だけでなく、特定サプライヤーへの依存、第三国の法制度、遠隔アクセス、重要機能への支配力まで含めてリスクを判断する考え方が強まっています。

通信機器分野で先行した「高リスクサプライヤー」の考え方が、自動車産業にも広がり始めていると見ることができます。

Volt Typhoonが示す「平時のアクセス」をどう見るか

中国製コネクテッドカーについて、中国政府が将来の交通網停止に備えて秘密裏にアクセスを確保していることを示す証拠は確認されていません。

ただし、中国に関連する国家支援型サイバー活動を見ると、「平時のうちから重要インフラへアクセスし、有事に妨害へ転用できる状態を作る」という脅威モデル自体は、米政府が現実のものとして評価しています。

CISA、NSA、FBIなどはVolt Typhoonについて、米国の複数の重要インフラ組織への侵害を確認し、将来の危機や軍事衝突時に破壊的なサイバー攻撃へ利用するための事前配置を行っていると評価しています。

もちろん、これは中国製EVに同じ仕組みが存在する証拠ではありません。しかし、平時には正当な保守機能として存在する遠隔アクセスが、危機時には別の意味を持ち得るという考え方は、コネクテッドカーを評価する際にも無関係ではありません。

メーカーが持つ遠隔診断やOTA更新権限は、通常時には必要な機能です。安全保障上の論点は、そのアクセスを危機時にも海外企業が握り続ける構造を許容できるのかという点にあります。

問題は「中国ブランド」だけではなくサプライチェーン全体にある

同じ構造は、ドローンや通信機器のサプライチェーンでも先行して表面化しています。

安全保障上重要なのは完成品のブランドだけではありません。通信モジュール、半導体、GNSS、センサー、ファームウェア、クラウド、データリンクを誰が供給しているのかまで把握する必要があります。

コネクテッドカーでも、日本や欧州メーカーの完成車に中国企業が供給するVCSハードウェアやソフトウェアが組み込まれていれば、米国向け車両ではConnected Vehicles Ruleへの対応が必要になる可能性があります。

したがって、「中国ブランドの車を買わなければ解決する」という問題ではありません。ティア1だけでなく、ティア2、ティア3まで含め、誰が通信部品を設計し、誰がファームウェアを供給し、誰がOTAインフラを管理しているのかを把握できなければ、完成車の製造国だけではリスクを判断できません。

危険なのはEVではなく、外部から管理されるソフトウェア定義車両

中国製EVを巡る議論では、EVという駆動方式そのものをリスクと捉えないことも重要です。

ガソリン車であっても、カメラ、GPS、TCUを搭載し、クラウドへ常時接続され、OTAで制御ソフトウェアを書き換えられるなら、同じ種類の問題を抱えます。

反対に、中国製EVであっても外部通信を厳格に制御し、取得データ、更新権限、暗号鍵などを利用者側で管理できるなら、リスクの一部を低減できます。

したがって、実務で確認すべきなのは国籍だけではありません。どのデータを収集し、どこへ送るのか。誰がソフトウェアを書き換えられるのか。どの企業が通信モジュールを供給しているのか。外部クラウドが停止しても車両は動き続けるのか。こうした制御権と依存関係を一つずつ確認する必要があります。

「一斉停止」は未確認でも、能力の集中はリスクになる

「有事に中国が大量のEVを一斉停止する」というシナリオは、最もセンセーショナルに語られやすい論点です。

現時点で、中国政府や中国メーカーが外国で多数の市販車を意図的に一斉停止させた事例は確認されていません。

一方で、車両をソフトウェアによって使用不能にすること自体は現実離れした話ではありません。現代の車両は多くの機能をソフトウェアで制御し、OTAによってそのコードを書き換えます。RuterがYutong製バスについて理論上の遠隔停止可能性を認めたのも、この構造によるものです。

インテリジェンス上は、「中国製EVには秘密のキルスイッチがある」と評価するのではなく、「遠隔更新や重要制御へのアクセスが特定の外部主体へ集中している場合、それが危機時に利用可能な潜在能力になり得る」と整理する方が適切です。

能力が存在することと、悪用が確認されたことは別です。米国やEUが進めているのは、悪用を確認してから対処するのではなく、その前に構造的な依存を減らす政策だと見るべきです。

日本はUN R155／156を導入済み、ただし米国とは見るリスクが異なる

日本がコネクテッドカーのサイバーセキュリティへ対応していないわけではありません。

日本は国連の自動車サイバーセキュリティ規則UN R155と、ソフトウェアアップデートを扱うUN R156を国内制度へ取り込み、自動車メーカーにサイバーセキュリティ管理やソフトウェア更新管理を求めています。経済産業省と国土交通省が進めるモビリティDX政策でも、SDVの普及に伴うサイバーセキュリティ、ソフトウェア更新、データ利用は重要な政策課題になっています。

ただし、米国のConnected Vehicles Ruleとは見るリスクが異なります。

UN R155は主として、車両に対するサイバー攻撃をメーカーが組織的に管理できているかを確認する制度です。これに対して米国は、中国・ロシアとの資本関係、司法管轄、支配関係まで踏み込み、対象となるVCSやADSそのものを市場から排除します。

言い換えれば、日本は現在「その車がサイバー攻撃へ適切に備えているか」を中心に制度化しているのに対し、米国は「安全に設計されたシステムでも、その制御権を安全保障上信頼できない主体が握っていないか」という別のレイヤーまで見ています。

日本でも今後、製品の技術的安全性と、供給者や管理主体の信頼性を分けて議論する必要があります。

日本企業への示唆　社用車をIT資産として扱う

日本企業にとって、最初に必要なのは中国製EVを一律に排除することではありません。

まず、自社が保有・利用する車両がどこまで外部と接続され、誰がその接続を管理しているのかを把握する必要があります。

特に政府、防衛、電力、通信、半導体、港湾、物流、金融、研究開発などでは、人物や車両の移動履歴そのものにインテリジェンス価値が生じる可能性があります。こうした組織では、車両調達を従来の総務・管財業務だけで完結させることにリスクがあります。

調達時には、TCUやセルラー通信モジュールのメーカー、SIMと通信事業者、OTAプラットフォームの運営主体、ソフトウェア署名鍵の管理者、クラウドの所在国、車載カメラや音声・位置情報の保存先、メーカーが遠隔診断でアクセスできるECUの範囲まで確認する必要があります。

同時に、外部クラウドが停止した場合でも走行や解錠、充電を継続できるのか、OTA更新を利用企業側で延期・制限できるのか、契約終了後にデータやアクセス権限が確実に削除されるのかというBCP上の確認も欠かせません。

車両はもはや単なる機械設備ではなく、SIMを搭載し、クラウドへ接続され、ソフトウェアが更新され続けるIT資産として扱う必要があります。

日本メーカーには対米輸出上のコンプライアンス問題も生じる

日本の自動車メーカーや部品メーカーにとって、米国の規制は海外の特殊な安全保障政策では済みません。

BIS規則は完成車のブランドや最終組立国だけでなく、中国・ロシアと一定の関係を持つ事業者がVCSハードウェアや対象ソフトウェアを設計、開発、製造、供給しているかを問題にします。

日本で組み立てた日本ブランド車でも、サプライチェーンの深い層に規制対象となるソフトウェアや通信部品が含まれていれば、確認が必要になります。

このため、従来のSBOMだけでは十分とは限りません。TCU、モデム、SoC、無線チップ、GNSS、OTAクライアントなどのハードウェアについても、誰が設計し、誰がファームウェアを供給し、誰が更新インフラを管理しているのかを追跡できる状態が求められます。

これは調達部門だけで処理できる問題ではなく、設計、購買、法務、輸出管理、経済安全保障、サイバーセキュリティを横断した管理が必要な領域です。

日本で今後注視すべきインテリジェンス指標

日本への影響を判断するうえで、今後注目したいのは、日本政府がUN R155／156とは別に、コネクテッドカーの「サプライヤー信頼性」を経済安全保障政策へ取り込むかどうかです。

政府機関、自衛隊、重要インフラ事業者の車両調達で、クラウドの所在国、OTA管理主体、通信モジュールの供給者、遠隔管理権限などが調達条件へ組み込まれるかは重要なシグナルになります。

米国のConnected Vehicles Ruleがバスやトラックなど商用車へ広がるかも、日本の商用車メーカーや物流企業、部品メーカーに直接影響する可能性があります。

中国側では、対日輸出管理の追加措置、中国企業の海外データセンター配置、データ保護方針、海外向けOTA運用の変更も監視対象になります。

個別のニュースを点で追うのではなく、「通信」「自動車」「ドローン」「重要インフラ」「輸出管理」という複数分野で、サプライチェーンのブロック化が同時に進んでいるかを見る必要があります。

中国製EV問題を「スパイカー論」で終わらせてはいけない

中国製EVを「スパイカー」と呼べば、話は分かりやすくなります。しかし、その表現では実際のリスク構造を見誤ります。

公開情報から確認できるのは、コネクテッドカーが大量のデータを取得できること、車種によってはメーカーが遠隔アクセスできること、中国の法制度が企業へ国家情報活動への協力を求め得ること、そして米欧がその構造を国家安全保障上の問題として評価し始めていることです。

一方で、中国政府が市販EVを使って外国の軍事施設を大規模に監視したことや、中国メーカーが有事に大量の車両を一斉停止した事実は確認されていません。

この二つを混同する必要はありません。安全保障政策は、攻撃が成功してから証拠を集めるだけでは成立しないためです。

自動車が高度なセンサープラットフォームとなり、外部クラウドから継続的にコードを書き換えられる時代には、「現在悪意あるコードが入っているか」だけでなく、「将来、誰がそのアクセス権を行使できるのか」まで評価する必要があります。

中国製コネクテッドカーを巡る問題は、単なるEVの安全性論争ではありません。自動車が通信、クラウド、半導体、AI、データを束ねた経済安全保障上のプラットフォームへ変わったことを象徴する問題と見るべきでしょう。

関連記事

• 軍事ドローンのサプライチェーンに潜む中国依存の深刻な実態と日本の対応とデュアルユースの必要性
• なぜ企業や公的機関は中国製Webカメラやルーターなどの通信機器を排除する必要があるのか
• 中国、輸出禁止リストに20の企業を追加―日本の安全保障・産業サプライチェーンに圧力
• JPCERTがVolt Typhoonの攻撃キャンペーン「Operation Blotless」に関して注意喚起

出典

• Commerce Finalizes Rule to Secure Connected Vehicle Supply Chains from Foreign Adversary Threats – U.S. Bureau of Industry and Security
• Connected Vehicles – U.S. Bureau of Industry and Security
• Securing the Information and Communications Technology and Services Supply Chain: Connected Vehicles – Federal Register
• Comprehensive safety test of electric buses – Ruter
• Taking a Bigger Byte: China’s Expanding Strategy for Data Dominance – U.S.-China Economic and Security Review Commission
• Chris Miller Testimony – U.S.-China Economic and Security Review Commission
• 汽车数据安全管理若干规定（试行） – 中国国家互联网信息办公室
• 中华人民共和国个人信息保护法 – 中国国家互联网信息办公室
• 中华人民共和国国家情报法 – 中国政府関連公開資料
• Entities Identified as Chinese Military Companies Operating in the United States in Accordance with Section 1260H – U.S. Department of Defense
• ICT supply chain security: EU adopts a toolbox to mitigate risks – European Commission
• Toolbox to improve ICT supply chain security – European Commission
• PRC State-Sponsored Actors Compromise and Maintain Persistent Access to U.S. Critical Infrastructure – CISA
• 道路運送車両の保安基準等の一部改正 – 国土交通省
• モビリティDX戦略・モビリティDX検討会 – 経済産業省
• セキュリティ要件適合評価及びラベリング制度（JC-STAR） – IPA
• 商务部公告2026年第27号 – 中華人民共和国商務部