飛行機の中では、高度計や速度計、オートパイロット、燃料計といった機器が、たえず数字をやりとりしています。その配線に使われている規格のひとつが「ARINC 429（アリンク・429）」で、1977年に決められ、いまも旅客機で広く使われています。
この規格には、認証も暗号もありません。受け取った側は、送られてきた数字が「本物の機器から来たものか」を確かめないまま受け取ります。長年、それでも問題ないとされてきました。ところがカリフォルニア大学サンディエゴ校などの研究チームが、その前提を実際に崩してみせました。ボーイング737の本物の部品を使い、パイロットの計器表示を書き換え、オートパイロットの行き先まで変えられることを実演したのです。この成果は、セキュリティ分野の主要な国際会議USENIX Security 2026（2026年8月）で発表されました。
ARINC 429という配線規格の前提
ARINC 429の設計は、いまの通信規格から見るとかなり素朴です。いちばんの特徴は、1本の線で数字を送れる機器は1台だけ、という点にあります。パソコンをつなぐ普通のネットワークのように、たくさんの機器が同じ線に割り込んで話す仕組みではありません。話し手は常に1台と決まっていて、残りは聞くだけ。だから「いま喋っているのは誰か」を確かめる必要がない——そういう前提で作られています。
この前提があるおかげで、これまでARINC 429への割り込みは難しいと考えられてきました。線に別の機器をつないでも、正規の送信機がそのまま喋り続けるので、偽の数字を通すには正規の送信機そのものを取り外して置き換えるしかない。飛行機の中で、正規の機器を丸ごと交換する——そんな大掛かりなことは現実的でない、というわけです。
ただ、ここには見落とされていた点がありました。ARINC 429の送信機は、線につながる手前に37.5オームの抵抗を2本はさんでいます。これは信号をきれいに保ち、ショートしたときに送信機を守るための、いわば安全装置です。この安全のための部品が、皮肉にも攻撃の入り口になりました。
抵抗を逆手に取る「バスドライバー」攻撃
研究チームがやったのは、正規の送信機を外すことではありませんでした。同じ線にもう1台つなぎ、正規の送信機よりも強い電流を流して、信号を上書きしてしまうという方法です。チームはこれを「バスドライバー攻撃」と名づけました。
なぜこれが効くのか。正規の送信機は、さきほどの抵抗のせいで流せる電流に上限があります。一方、割り込む側の装置は抵抗を挟まずに直接つなぐので、より強く押し込める。同じ線の上で「弱い正規の声」と「強い偽の声」がぶつかると、強いほうが線全体の電圧を決めてしまい、受け取る機器には偽の数字だけが届く。安全のための抵抗が、正規の送信機の「声の大きさ」に足かせをはめていた格好です。
さらに巧妙なのは、上書きしながら正規の送信機が本来送ろうとしていた中身も読み取れる点です。割り込む装置は、自分がどれだけ電流を流しているかを測ることで、正規側が「同じ数字」を送っているのか「逆の数字」を送っているのかを言い当てられます。つまり、正規のやりとりを盗み見ながら、必要なところだけを差し替えて、間に完全に割り込む——通信の世界でいう「中間者」の位置に、物理的に線の真ん中へ入り込まなくても立てる、ということです。これがこの研究の核心でした。
チームはこれを机上の計算で終わらせませんでした。サウスウエスト航空機に載っていたGE製のフライトマネジメントコンピュータ（飛行計画を計算する中枢）と、別の737機から取り外したGE製の多目的制御表示ユニット（パイロットが数値を打ち込む端末）を、ボーイングの配線図どおりにつなぎ、そこへ割り込み装置を差し込んで試しました。部品の入手にかかった費用は2万ドル未満。大学院生ひとりの手で組み上げられたものです。
差し込みは60秒、Wi-Fiで操作
攻撃の中身より、それを仕掛けられる現実味のほうが、この研究では重く扱われています。線の束に直接割り込むのは、実はかなり難しい。飛行機の中には見分けのつかない配線が何十本も走っていて、目当ての1本を探し当てて切り込むのは容易でないうえ、ARINC 429には配線の異常を検知して記録に残す仕組みもあるからです。
そこでチームが目をつけたのが、整備用に用意されているコネクタでした。737の機首まわりには電子機器室があり、そのハッチは地上から手が届く高さにあります。しかも施錠されていません。ここに整備用のポートが開いていて、問題のARINC 429の線につながっている。研究チームは、ハッチを開けて装置を差し込み、閉じるまでをおよそ60秒と見積もっています。機体が低いので、はしごすら要りません。
装置そのものは、電子工作でおなじみの小さなマイコンボード「ESP32」を使ったもので、数千円で手に入る部品です。差し込んだあとはWi-Fiでつながり、遠隔から操作できる設計になっています。コネクタからは飛行中も電源が取れるため、防塵カバーの下に隠しておけば、あとから起動して働かせることもできます。
ここで大事なのは、これが電子機器室に物理的に入れることを前提にした攻撃だという点です。空港のこうした区域は本来きびしく管理されています。研究チームは「差し迫った脅威ではない」とはっきり書き、論文の著者全員が今後も737に乗り続けると述べています。狙いは、これまで「物理的に触れる時点でお手上げなのだから、そこは考えなくてよい」とされてきた領域に、実は短時間のアクセスでも深刻な影響を与えうる隙間があると、航空業界に気づいてもらうことにあります。
書き換えられる数値と、737が残した安全余地
では、割り込んだ先で何ができるのか。研究チームが特に危険だとして挙げたのは3つです。ひとつは飛行ルートの書き換え。巡航中にオートパイロットへ新しい経由地を割り込ませ、機体をそちらへ向かわせる。本来こうした変更にはパイロットの確認ボタン操作が必要ですが、そのボタンの点灯も押下も同じ線の上の信号なので、装置が肩代わりして「押した」ことにできてしまう。しかも変更が起きた事実を画面から隠すこともできます。
残る2つは離陸性能に関わる数値です。機体の重さの入力値を書き換えれば、離陸に必要な速度や推力の計算が狂う。想定する外気温度を下げれば、離陸に使う推力の余裕が削られる。いずれも、安全に飛び立てるかどうかを左右する数字です。
ただし、ここには救いもあります。737は操縦桿とケーブルが物理的につながった旧来の方式（フライ・バイ・ケーブル）を残していて、こうした攻撃を受けてもパイロットの手動操縦がまるごと生きている。皮肉なことに、操縦を電気信号に任せる度合いが高い、より新しい機体よりも、むしろ安全側に働きうる、と研究チームは指摘しています。古い設計が生き残っていることが、ここでは守りになっているわけです。
ボーイングの見解と、直しにくさ
この研究は、いきなり公表されたものではありません。チームは2020年4月にボーイングへ内々に伝え、その後も繰り返し説明を重ね、2023年末にはボーイング自身の737試験設備で実機検証まで行っています。FAA（米連邦航空局）やDHS（国土安全保障省）などが加わる航空サイバーの協議体にも共有されました。
ボーイングは論文に声明を寄せ、研究チームの姿勢を評価したうえで、機体の設計と運用環境に備わった複数の防御層によって、現実の攻撃が成立する可能性とリスクは大きく抑えられている、との見解を示しています。一方で研究チーム側は、ボーイングが実際にどこまで手を打てたのかを外部からは確認できない、と正直に書いています。
直しにくさの背景には、この規格の根深さがあります。抵抗をコネクタ側に移す、あるいは電流を測って異常を検知する、といった対策は論文でも検討されていますが、いずれも新しい部品や仕組みが要ります。より確実なのは、軍用機で使われるMIL-STD-1553のように、変圧器で機器と線を電気的に切り離した規格に替えること。研究チームはこの方式ならバスドライバー攻撃が通りにくいことも実験で確かめています。ただ、旅客機のARINC 429をそっくり置き換えるとなると、つながっている機器すべての通信部品を作り替える話になり、費用も時間も膨大です。
なお、研究チームは脆弱なコネクタの正式な名前や位置、配線の詳しい中身、独自プロトコルの仕組みといった「そのまま攻撃に使える部分」は、論文でも意図的に伏せています。1977年に決められた素朴な設計が、いまの攻撃者と正面からぶつかったとき、どこがもろいのか——分かったのはそこまでで、現場でどこまで塞がれたかは、まだ表には出ていません。
出典
Sam Crow, Stephen Checkoway, Patrick Mercier, Pat Pannuto, Stefan Savage, Aaron Schulman.「Design and Implementation of a Physical Implant Attack on the Boeing 737」USENIX Security 2026.
論文本体（PDF・無料公開） ／ 発表ページ
Fenix Guthrie.「Researchers Hack An Airline Analog」Hackaday, 2026年8月16日.
Hackadayの記事
コメント