Summary

  • GAOは2026年９月、FAAが航空通信への電波干渉、なりすまし、妨害を認識しながら、調査したシステムのリスク・軽減策評価と保安文書を完成させていないと報告した。
  • FAAには関連する周波数帯の脅威全体を対象とした、定義済みのリアルタイム監視・検知能力がなかった。予算制約は一部の高リスク設備への監視機器配備を遅らせていた。
  • GAOは通信リンクの継続監視やACARS・CPDLCの認証強化を含む９項目を勧告し、運輸省はFAAを代表して同意した。次の証拠は配備範囲と検知から対応までの時間だ。

危険を知る書類と、異常を聞く装置

米政府監査院（GAO）の航空サイバーセキュリティー報告によれば、FAAは１日に４万4000便を超える航空交通と約300万人の旅客を扱う。航空機、管制官、航空会社、通信事業者は電波に依存する通信リンクで位置や指示、運航情報をやり取りする。信号の異常は、通信機器だけで終わらず、人の判断に入っていく。

GAOが対象にした脅威は具体的だ。干渉は信号を乱し、妨害は届かなくし、なりすましは偽の情報を本物らしく見せる。FAAは国内空域システムと国際線での危険を認識していた。監査人は周波数帯に依存する８システムを調べ、そのうち７システムについて攻撃、なりすまし、妨害などを扱う正式なリスク評価を求めた。軽減策の検討と保安文書にも未完了の部分があった。評価は優先順位を決めるために欠かせないが、飛んでいる信号をその場で観測する作業とは違う。

GAOは、FAAに関連する電波上の脅威すべてを対象にした明確なリアルタイム監視・検知能力がないと結論づけた。FAA職員は、予算上の制約が高リスク設備への一部監視機器の現地配備を妨げたと説明した。機器のない場所では干渉、なりすまし、妨害を事前に監視できない。GAOの報告ページは、FAAが事件を報告された後に調査する状態を明記している。その報告が速く届く保証を、信号は与えてくれない。

判断を更新するには、どの通信リンクに何を検知する機器があるかを示す現行の配備表と、異常発生から警報、対応までを計った訓練結果が必要だ。今回の監査にはその連続した時間記録はない。危険の分類が完成していても、現場で見える範囲を示さなければ監視能力の証明にはならない。

文字メッセージの発信者も確かめなければならない

GAOはACARSとCPDLCという航空通信アプリケーションも調べた。前者は航空機と航空会社や運航関係者の間の情報交換を支え、後者は管制官と操縦士が許可や指示を文字で送受信する手段だ。認証、暗号化、プロトコル設計に弱点があり、傍受、偽装、改変のリスクが残る。報告書は、偽の許可取消メッセージによって遅延や安全上の問題が起こり得る例を示した。

形式の整った文面は発信者の身元を保証しない。管制官は指示が本当に正しい経路から来たかを確かめる必要があり、技術担当者は不審な電波の動きをその確認につなげる必要がある。GAOはFAAに対し、連邦・民間の関係者とともにACARSとCPDLCの認証とデータ保護を強める計画を勧告した。電波監視とメッセージ保護は別の工程だが、どちらも飛行中の判断の信頼性に結び付く。

外部との協力にも実務上の空白がある。GAOが８つの主要な連携実務を調べたところ、FAAが完全に満たしたのは２つ、残る６つは部分的だった。省庁間グループ内では役割が決まっていた一方、その外にいる民間などの相手との情報共有や調整には正式な手順がなかった。航空会社が先に異常を見つけた場合、その証拠が誰に、どの形式で届くのかを決める必要がある。それでも優先すべき問いは、FAA自身が最初に何を検知できるかだ。

GAOの９勧告にはリスク評価、継続監視、連携、通信アプリケーションの保護が並び、運輸省はFAAに代わって同意した。同意の後に見せるべきものは、設置済み機器、対象リンク、警報を受ける運用担当者、そして異常から対応までを測った訓練記録である。FAAは電波が人をだませることを知っている。今度は、だまされる前に気づける仕組みを示す番だ。

出典： GAO報告ページ、GAO原報告全文。