連邦政府は、数十年にわたり閉ざされてきた扉を開こうとしている。民間企業がハッカーに対して、防御だけでなく攻撃でも反撃することを認めようとしているのだ。トランプ政権による新たな方針の下で、審査を受けたセキュリティ企業は、オンラインで米国人を標的とする外国の犯罪ネットワークに対して米国民間サイバー作戦を開始する権限を近く与えられる可能性がある。これは、裁判所の承認なしに民間主体が攻撃的行為を行うことを禁じてきた数十年にわたる政策を覆す転換となる。
Summary
主なポイント
- 2026年8月13日付の国家安全保障大統領覚書は、国家調整センター（NCC）に対し、審査済みの民間企業が外国のサイバー犯罪者に対して攻撃的サイバー作戦を実施できるプログラムを構築するよう指示している。
- 対象となり得るのは、ランサムウェア集団、セクストーション（性的脅迫）スキーム、フィッシングキャンペーン、金融詐欺組織、および国際犯罪組織に結びついたなりすまし詐欺などである。
- 参加企業は司法省と国土安全保障省の承認を受け、厳格な技術基準と審査基準を満たし、違反時に没収される100万ドルのエスクロー預託金を差し入れなければならない。
- 作戦にはスパイウェアの展開、暗号化によるロックアウト、分散型サービス妨害（DDoS）攻撃などが含まれ得るが、生命の喪失や重傷を引き起こしたり、国際法上の「武力の行使」に該当したりしてはならない。
- 司法省と国土安全保障省は、このプログラムが実際にどのように機能するかを60日以内に明確にしなければならない。
米政府、民間セクターによる攻撃的サイバー作戦を承認
ワシントンは初めて、民間企業が連邦政府の承認の下で海外のハッカーに反撃することを認めようとしており、これまでのように防御に厳格に限定するだけではなくなっている。この覚書にはドナルド・トランプ大統領が署名しており、国土安全保障タスクフォースの下に位置する国家調整センターに対し、これらの作戦のための正式なプログラムを構築するよう指示している。監督は司法省と国土安全保障省の間で分担される。
この方針は、国境を越える犯罪組織を明確に標的としている。覚書はそれらを、他国政府の正式な一部ではないにもかかわらず、米国政府、米国人、または米国の利益に対してサイバーを利用した犯罪を行う外国主体と定義している。命令と同時に公表されたファクトシートでは、ランサムウェアオペレーター、セクストーションスキーム、フィッシングキャンペーン、金融詐欺組織、およびなりすまし詐欺が、参加企業にとって正当な標的として挙げられている。ホワイトハウスのファクトシートが引用する数字によれば、米国の消費者は2025年だけで208億ドル以上をサイバーを利用した犯罪によって失ったと報告しており、この数字はなぜ当局が従来の法執行手段を超えた対応を模索しているのかを浮き彫りにしている。
なぜこれは、政策文言を超えて重要なのか。それは、国境を越えるサイバー犯罪に対する米国の向き合い方に構造的な変化をもたらすからである。FBIの捜査、制裁、外交的圧力のみに依存するのではなく、政府が容易には手を伸ばせない法域からほぼ免責状態で活動してきた犯罪ネットワークに対抗する最前線の武器として、民間セクターの専門知識を位置づけようとしているのだ。
参加要件と作戦上の制約
どのようなセキュリティベンダーでも参加できるわけではない。参加を希望する企業は、正式な契約を結ぶ前に、司法省と国土安全保障省が共同で実施する審査プロセスを通過しなければならず、その参入ハードルは意図的に高く設定されている。
審査、基準、そして100万ドルのエスクロー
覚書は、参加企業が満たさなければならない最低基準を定めており、技術的な熟練度、サイバー作戦における実績、施設のセキュリティ、要員の身元調査、能力、および信頼性などが含まれる。プログラムの執行ディレクターは国土安全保障評議会と協力し、承認前に企業の能力に対する「高い確信」が具体的にどのような状態を指すのかを判断する。
財務面でもリスクは現実的だ。企業は少なくとも100万ドルをエスクロー口座に預託**しなければならず、この資金は契約条件に違反した場合に没収される。企業はまた、承認された範囲を超える活動、米国市民や米国内システムを誤って標的にしてしまった場合を含め、そのような活動を検知した際には直ちに作戦を停止し、NCCに通知することが求められる。この安全策は、攻撃作戦が国内ネットワークに迷い込み、味方への被害を引き起こす事態を防ぐことを目的としている。
許可されるサイバー作戦と法的境界
このプログラムは、攻撃的なデジタル戦術と、現実世界の被害を引き起こし得る行為との間に明確な一線を引いている。承認された企業は、覚書が「サイバー監視作戦」と「サイバー効果作戦」と呼ぶ活動を実施することが認められ、この用語はかなり幅広い攻撃的ツールキットの余地を残している。
許されることと禁止されること
覚書の文言に基づけば、企業はスパイウェアを展開したり、暗号化を用いて犯罪グループを自らのシステムから締め出したり、標的のインフラを妨害することを目的とした分散型サービス妨害攻撃を仕掛けたりすることができる。これまで政府は、裁判所の承認を得た場合を除き、民間セクターがこの種の攻撃的行為を行うことを一般的に禁じてきたため、この転換は注目に値する。
しかし、許される行為には明確な上限がある。作戦は覚書が「重大な結果」と呼ぶものを生み出してはならず、すなわち生命の喪失や重傷を引き起こしてはならず、また国際法上の武力の行使や武力攻撃に該当してはならない。この制約は、ハックバック作戦が武力紛争に類似した事態へとエスカレートするのを防ぐことを目的としており、その一方で、これまで政府機関にのみ与えられていたツールを民間主体に手渡すことにもなる。
今後の展開
枠組みは文書上では存在するものの、実務上の現実はまだ形作られている最中だ。司法省と国土安全保障省は、このプログラムが日々どのように機能するのか、契約がどのように構成されるのか、監督が実際にどのように執行されるのかといった詳細を60日以内に定義しなければならない。
インセンティブに対する専門家の懐疑
独立系セキュリティ研究者のケビン・ビーモントは、この構想の一部を歓迎しつつも、実務上どのように展開されるかについて重大な懸念を示した。「ランサムウェア集団をハッキングするというアイデアには確かに意義があり、実際すでに起きている（どうやって知っているかは聞かないでほしい）」と述べたうえで、「正しいインセンティブが用意されていなければならない」と付け加えた。
ビーモントはさらに踏み込み、業界で自身が観察してきたパターンを指摘した。「過去5年間、ランサムウェアと戦う上で私が抱えてきた最大の問題は、民間のサイバー企業が基本的に何も変わらないようロビー活動をしてきたことだ。多くの企業が多額の利益を上げてきたので、それを止める責任を彼らに担わせるのは楽観的に過ぎるように思える。」
この緊張関係は、この取り組み全体にのしかかる核心的な問いを浮き彫りにしている。サイバー犯罪の存続から利益を得ている企業に攻撃能力を与えることは、見かけ上は強硬なプログラムであっても、根本的なインセンティブが変わらなければ成果を上げるのに苦労する可能性がある。司法省と国土安全保障省が、今後数週間で最終的なルールを策定する際に十分な説明責任を組み込めるかどうかが、この新たな米国民間サイバー作戦の章が、国際的なハッキングネットワークに対する意味のある撹乱となるのか、それとも単なる新たな委託官僚機構の層にとどまるのかを左右するだろう。
FAQ
新プログラムの下で、民間企業はどのような種類のサイバー犯罪グループを標的にできますか？
民間企業は、ランサムウェア、セクストーション、フィッシング、金融詐欺、なりすまし詐欺に関与する外国の国際犯罪組織を標的にすることができます。
民間セキュリティ企業が実施するサイバー作戦にはどのような制限がありますか？
作戦は生命の喪失や重傷を引き起こしてはならず、国際法上の武力の行使に該当してはならず、また米国法および監督要件を順守しなければなりません。
攻撃的サイバープログラムへの参加企業はどのように選定されますか？
企業は司法省と国土安全保障省による審査と承認を受け、技術およびセキュリティ基準を満たし、100万ドルのエスクローを預託しなければなりません。
このプログラムの詳細な運用手順はいつ公表されますか？
司法省と国土安全保障省は、覚書の日付から60日以内にプログラムの詳細を定義することが求められています。
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”新プログラムの下で、民間企業はどのような種類のサイバー犯罪グループを標的にできますか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”民間企業は、ランサムウェア、セクストーション、フィッシング、金融詐欺、なりすまし詐欺に関与する外国の国際犯罪組織を標的にすることができます。”}},{“@type”:”Question”,”name”:”民間セキュリティ企業が実施するサイバー作戦にはどのような制限がありますか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”作戦は生命の喪失や重傷を引き起こしてはならず、国際法上の武力の行使に該当してはならず、また米国法および監督要件を順守しなければなりません。”}},{“@type”:”Question”,”name”:”攻撃的サイバープログラムへの参加企業はどのように選定されますか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”企業は司法省と国土安全保障省による審査と承認を受け、技術およびセキュリティ基準を満たし、100万ドルのエスクローを預託しなければなりません。”}},{“@type”:”Question”,”name”:”このプログラムの詳細な運用手順はいつ公表されますか？”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”司法省と国土安全保障省は、覚書の日付から60日以内にプログラムの詳細を定義することが求められています。”}}]}
本記事は人工知能の支援を受けて作成され、編集チームによる確認を経ています。
