米民間ハック解禁へ、トランプ政権が変える対外サイバー犯罪戦略

民間サイバー攻勢へ傾くトランプ政権

トランプ政権は2026年8月12日付の国家安全保障大統領覚書で、米国企業を政府監督下の対外サイバー作戦に参加させる新制度を打ち出しました。対象は、米国民や米企業を狙う国外のサイバー対応型国際犯罪組織です。

この政策は、単なる官民連携の拡充ではありません。民間企業が脅威情報を集めるだけでなく、承認を受ければ監視や妨害を含む作戦を担う点で、米国のサイバー犯罪対策を防御中心から能動的な抑止へ動かすものです。

背景には被害の急拡大があります。FBIによると、2025年の米国のインターネット犯罪被害額は208億ドル超に達しました。暗号資産詐欺、AIを使った詐欺、ランサムウェア、企業メール詐欺が重なり、従来の捜査と制裁だけでは犯罪インフラの再生速度に追いつきにくくなっています。

覚書が設けた企業参加の条件と統制

NCCを軸にした二重の承認構造

新制度の中心に置かれるのは、国土安全保障タスクフォースの国家調整センター、NCCです。覚書はNCCに対し、参加企業を受け入れ、管理し、国外のサイバー対応型国際犯罪組織に対する「サイバー監視作戦」と「サイバー効果作戦」を認めるプログラムを作るよう命じています。

作戦の監督は司法省と国土安全保障省が担います。両省から1人ずつ置かれる共同のプログラム執行責任者が、企業の提案を調整し、承認し、政府の法的権限の下で実施させる仕組みです。ここで重要なのは、企業が勝手に報復ハッキングを行う制度ではないという点です。覚書は、作戦が米政府の監督、運用統制、法的権限の下で行われると明記しています。

一方で、実務上の裁量はかなり大きくなります。参加企業は、通常業務の中で集めた脅威情報を持つ民間企業や、連邦・州・地方・部族・準州の機関と商業契約を結べます。その情報をもとに、NCCへ作戦案を出すことが想定されています。被害企業、セキュリティ企業、政府機関が一つの作戦パイプラインにつながる構図です。

100万ドル担保と年次評価

参加企業には厳格な審査が課されます。覚書は、技術能力、過去のサイバー作戦実績、施設の安全性、人員審査、信頼性などを最低基準に含めるよう求めています。大手企業だけでなく、小規模で機動力のある企業も参加できる基準にすることも示されました。

特徴的なのは、100万ドル以上の保証金またはエスクローを求め得る点です。契約違反があれば没収される仕組みで、民間委任に伴う逸脱を抑える狙いがあります。ただし、100万ドルは大手テック企業にとっては抑止になりにくく、小規模企業にとっては参入障壁になります。制度の公平性と実効性は、今後60日以内に作られる運用手続きの中身に左右されます。

作戦案は標準化された書式で提出され、執行責任者の書面承認を得なければ実行できません。さらに、参加企業は少なくとも年1回の継続評価を受けます。プログラム全体についても、180日以内に初回報告書を出し、その後は毎年報告する設計です。

対象を国外犯罪組織に絞る設計

覚書は、対象を外国のサイバー対応型国際犯罪組織に絞っています。定義上は、米政府、米国人、米国の利益を狙う国外の犯罪集団であり、外国政府の制度的一部でも、外国政府の完全な指揮下にある組織でもないものです。

ただし、ここに大きな論点があります。覚書は「明確な情報」がない限り、対象集団を外国政府の一部ではないと推定する構造を取っています。サイバー犯罪では、ランサムウェア集団や詐欺ネットワークが国家機関と緩やかに結びつく例が多く、完全な国家指揮を証明することは容易ではありません。

また、作戦が米国人、米国内の情報システム、米国人が管理するシステムに及ぶ可能性が判明した場合、参加企業は作戦を停止し、最小化措置を取り、NCCと司法省へ即時通知する必要があります。これは米国内の権利保護を意識した条項ですが、犯罪者が第三者の端末やクラウドを経由する現実を考えると、運用上の難度は高いです。

ハックバック論争が再燃する法的境界

CFAAが残してきた民間行動の壁

米国では、民間企業によるハックバックは長く法的に危険な領域でした。議会調査局の整理では、コンピューター詐欺・不正利用防止法、CFAAは不正アクセスやコンピューターへの損害を禁じており、被害企業が攻撃者へ侵入し返す行為も原則として違法になり得ます。

このため、過去の議会では「Active Cyber Defense Certainty Act」のように、一定条件の能動的防御を認める案が出ました。しかし、誤認、第三者被害、外交摩擦、捜査妨害への懸念から、制度化は進みませんでした。今回の覚書は、CFAAそのものを改正するのではなく、政府の捜査・防護・情報活動の枠内に民間企業を組み込む発想です。

この設計は、2026年7月に公表された法学論文の問題意識とも重なります。同論文は、FBIやDHSの監督下で施設認証を受けた民間請負業者に能動的防御を委ねる案を検討していました。政権の覚書は、その理論を政策として前倒ししたようにも見えます。

政府主導作戦の実績と民間委任

米政府には、すでにサイバー犯罪インフラを能動的に崩す実績があります。2023年のHiveランサムウェア対策では、FBIがネットワークへ潜入し、復号鍵を被害者へ提供しました。司法省は、1500以上の被害組織と80カ国超に関わる犯罪網を妨害し、1億3000万ドル超の身代金支払いを防いだと説明しています。

2024年の911 S5ボットネット摘発では、1900万超のIPアドレスに感染を広げた住宅プロキシ網が解体されました。欧州主導のOperation ENDGAMEでも、米国を含む各国機関と民間パートナーが、ランサムウェアの入口となるボットネットやドロッパーの摘発に関与しています。

つまり、米国が突然「攻撃」に目覚めたわけではありません。変化は、政府機関が行ってきた妨害作戦の周辺に、米企業を制度的に配置する点です。これにより、脅威情報の発見、作戦案の作成、技術実行の速度は上がる可能性があります。反面、国家権力の行使と商業契約の境界が薄くなるため、責任の所在は複雑になります。

国家関与の判定をめぐる難所

最大のリスクは、犯罪組織と国家の境界です。ロシア、中国、イラン、北朝鮮をめぐるサイバー分析では、国家機関、準国家的な請負業者、犯罪集団、愛国的ハッカーの関係がしばしば重なります。犯罪収益を得る集団が、同時に国家に都合のよい情報収集や妨害を行うこともあります。

覚書は、外国政府の制度的一部や完全な指揮下にある組織を対象外にしています。しかし、完全な指揮命令を示す情報がない限り、犯罪組織として扱う余地を残しています。この推定は、作戦の迅速性には有利です。一方で、相手国から見れば、米政府が民間企業を使って自国領域内のシステムに侵入したと受け止められる可能性があります。

国際法上の「武力行使」や「武力攻撃」に当たる重大結果は、通常の承認ルートでは扱えません。覚書も、死亡・重傷や国際法上の武力行使に至る見込みを「重大結果」と定義しています。ただし、サイバー作戦では、意図した効果が限定的でも、医療、金融、物流、エネルギーの連鎖障害が予期せず広がることがあります。法的な線引きは、技術的な影響予測と不可分です。

同盟調整と誤認攻撃が握る成否

この制度の成否は、米国内の承認手続きだけでは決まりません。作戦対象のサーバーは、犯罪者が所有する機器とは限らず、第三国の企業、病院、学校、個人宅のルーターである場合があります。攻撃者は侵入元を偽装するため、善意の第三者インフラを踏み台にします。

そのため、米企業が政府承認を得て作戦を行っても、同盟国の国内法では不正アクセスやデータ侵害に当たる可能性があります。米国が「犯罪組織への妨害」と説明しても、影響を受けた国が「主権侵害」と見る余地は残ります。特に欧州や日本のように個人情報保護と証拠保全の規律が強い地域では、事前調整の質が問われます。

政治的にも、トランプ政権のサイバー政策は「民間の革新力を国家安全保障へ組み込む」という一貫した方向を持っています。3月のサイバー戦略、6月のAI・国家安全保障関連の覚書、7月の脆弱性調整構想は、いずれも官民連携を前面に出しました。今回の覚書は、その流れを攻勢的な犯罪対策にまで広げたものです。

ただし、政府機関の能力不足を民間で穴埋めする発想が前面に出すぎると、議会監視と司法審査が弱くなります。DHS、司法省、国務省、財務省、国防組織、情報機関の調整が実際に機能するか。そこが、単なる「サイバー私掠化」と制度的な官民作戦を分ける境界になります。

日本企業が確認すべき契約責任

日本企業にとっても、この政策は米国内だけの話ではありません。米国子会社、クラウド契約、セキュリティベンダー、サプライチェーン経由で、参加企業やNCCに脅威情報を渡す場面が出てくる可能性があります。契約上、提供情報の範囲、個人情報の扱い、越境移転、作戦失敗時の補償責任を明確にする必要があります。

特に確認すべきなのは、自社のログや被害情報が、単なる防御目的を超えて対外作戦案に使われるかどうかです。米政府承認の枠内でも、日本法、欧州規制、顧客契約に抵触する余地は残ります。取引先のセキュリティ企業が米プログラムへ参加する場合、通知義務と拒否権を契約に入れる判断が重要です。

政策面では、米国がサイバー犯罪への抑止を強めること自体は日本にも利益があります。ランサムウェアや詐欺ネットワークは国境を越え、日本企業も同じ犯罪インフラに狙われます。ただし、民間企業を攻勢作戦に組み込む制度は、技術力だけでなく法的統制と外交調整を試す政策です。読者が注視すべき次の焦点は、60日以内に示される運用手続き、180日以内の初回報告、そして議会がどこまで監視を強めるかです。

参考資料:

• Expanding Capabilities to Combat Transnational Cyber-Enabled Crime
• Fact Sheet: President Donald J. Trump Expands Capabilities to Combat Transnational Cyber-Enabled Crime
• Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens
• White House Unveils President Trump’s Cyber Strategy for America
• National Security Presidential Memorandum/NSPM-11
• National Security Presidential Memorandum/NSPM-12
• Cryptocurrency and AI Scams Bilk Americans of Billions
• Cybercrime and the Law: Primer on the Computer Fraud and Abuse Act and Related Statutes
• Delegating Hacking Back: PMC-Style, Facility-Cleared Cyber Contractors Under CFAA § 1030(F)
• U.S. Department of Justice Disrupts Hive Ransomware Variant
• 911 S5 Botnet Dismantled and Its Administrator Arrested in Coordinated International Operation
• Operation ENDGAME
• Donald Trump empowers US private companies to conduct cyber-attacks
• The Trump admin will start letting private firms launch international cyberattacks