民間企業が政府公認で海外ハッカーを「攻撃」できる時代へ#
トランプ政権は、民間セキュリティ企業が海外に拠点を置くサイバー犯罪組織に対して、政府の承認のもとでサイバー攻撃を含む作戦を実施できる新たなプログラムを創設する方針を打ち出した。これは、民間企業がオフェンシブ（攻撃的）なサイバー作戦を実施することを連邦政府が公式に許可する、初めての事例となる。
制度の概要：国家安全保障大統領覚書で方向性を提示#
トランプ大統領が署名した「国家安全保障大統領覚書」に基づき、国土安全保障タスクフォース傘下の**国家調整センター（NCC）**が、外国の越境犯罪組織（TCO）に対する特定のサイバー作戦を実施するプログラムを構築するよう指示された。司法省と国土安全保障省が監督を担う。
この制度の対象となるTCOとは、「米国政府・米国人・米国の利益に対してサイバーを利用した犯罪を行う外国のグループで、外国政府の制度的機関ではなく、外国政府の完全な指揮下にもないもの」と定義されている。
ターゲットとなる犯罪行為#
覚書に同行する形で公表されたファクトシートによると、民間企業が対象にできる活動として以下が挙げられている：
- ランサムウェア（身代金型マルウェア）
- セクストーション（性的画像による恐喝）
- フィッシングキャンペーン
- 金融詐欺
- なりすまし詐欺
許可される作戦の種類#
参加企業は「サイバー監視作戦（Cyber Surveillance Operations）」と「サイバー効果作戦（Cyber Effects Operations）」の両方を実施できるとされている。後者には、スパイウェアの使用や、犯罪組織のデータやシステムを破壊することを目的とした攻撃的な作戦も含まれ得ることが覚書から読み取れる。また、対象ネットワークを暗号化によってロックアウトする攻撃や、DDoS攻撃（分散型サービス妨害攻撃）といった手法も、覚書では明示的に除外されていない。
これまでは、裁判所の承認なしにこのような行為を民間が行うことは政府によって禁じられていた。
参加企業への条件と制約#
この制度は強力な権限を民間に与える一方で、いくつかの重要な制約も設けられている。
参加要件：
- 司法省と国土安全保障省による審査・承認が必要
- 技術的熟練度、サイバー作戦の実績、施設のセキュリティ、人員審査などの基準を満たすこと
- 100万ドル（約1億5000万円相当）をエスクロー口座に預託すること（契約に違反した場合は没収）
禁止事項： 作戦は「重大な結果」をもたらしてはならない。具体的には、死者・重傷者を出す結果、または「国際法上の武力行使または武力攻撃のレベルに達する」行為は認められない。
セキュリティ研究者の反応：期待と懸念が交錯#
独立系セキュリティ研究者のKevin Beaumontは、この覚書に対してSNS上でコメントを寄せた。「ランサムウェアグループをハッキングするというアイデア自体には確かにメリットがある。実際すでに起きていることでもある」としながらも、「正しいインセンティブ設計が不可欠だ」と指摘した。
さらに彼は、「過去5年間でランサムウェアと戦う上での最大の問題は、民間のサイバー企業が事態を変えないようにロビー活動を行ってきたことだ。多くの企業が多大な利益を上げてきたため、彼らにその阻止を任せるのは楽観的すぎると思う」とも述べた。
今後の焦点：60日以内に詳細を策定#
現時点では、このプログラムの重要な詳細の多くが未定のまま残されている。覚書は、司法省と国土安全保障省に対して今後60日以内に具体的な詳細を策定するよう指示している。プログラムの有効性と適切な運用を左右する鍵は、この未定の詳細にあると言える。
まとめ#
今回の措置は、米政府が民間セキュリティ企業に対して攻撃的なサイバー作戦を公式に許可する歴史的に前例のない動きだ。ランサムウェアなど実害の大きいサイバー犯罪への対抗手段として注目される一方、インセンティブ構造や具体的な運用ルールといった「細部」の設計次第で、その実効性と安全性が大きく変わる可能性を専門家は示唆している。
筆者の見解： 民間企業に攻撃的サイバー作戦を委ねるモデルは、民間の技術力を活用できる反面、商業的インセンティブと公共の安全目的が一致するとは限らないという構造的課題を内包している。60日間で策定される詳細なルール設計が、このプログラムの命運を握ると言っても過言ではない。
出典: Private security firms will soon be allowed to hack overseas cybercriminals
