米国でサイバー犯罪の被害を受けた企業が、攻撃者へ自由に侵入して報復できるようになるわけではない。米政府は、審査を通して司法省または国土安全保障省と契約した米国の民間企業を、政府の指揮監督下に置き、外国のサイバー犯罪集団に対する攻撃的サイバー作戦に参加させる制度を新設する。
Donald Trump大統領が2026年8月12日に署名した国家安全保障大統領覚書「Expanding Capabilities to Combat Transnational Cyber-Enabled Crime」は、国家調整センター（NCC）にこのプログラムの創設、管理、維持を命じた。ここで決まったのは制度を作る指示であり、個別作戦が始まったという発表ではない。運用手順は同日から60日以内に策定される。参加企業、具体的な対象、承認済み作戦、初回の実施日もまだ公表されていない。
背景には被害規模がある。FBIの2025年IC3年次報告は、IC3へ寄せられた申告を1,008,597件、申告被害額を208億7700万ドルと集計した。被害額は前年比で26%増えたが、これは確認済みの全被害ではなく、あくまで同センターへの申告集計である。
政府契約の下で一件ずつ承認する
覚書が想定するのは、被害企業自身が判断して実行する「ハックバック」とは別の仕組みだ。プログラムは司法省と国土安全保障省から1人ずつ置く共同プログラム責任者が監督する。作戦は両責任者が調整したうえで承認し、参加企業は米政府を代理して、その監督下でのみ実行する。
すべての作戦パッケージは実施前に書面承認を受けなければならない。共同責任者は、各作戦に指示を出す。参加できるのも、審査を通り、司法省または国土安全保障省と契約した米国の民間企業に限られる。覚書は大企業から小規模企業まで参加できる基準を作るよう求めたが、企業名や選定条件の詳細は示していない。
3月に公表された米政府のサイバー戦略は、民間部門に敵対ネットワークを特定し妨害するインセンティブを与える方針を掲げていた。しかし、民間企業が政府の攻撃作戦をどの手順で実行するかは定めていなかった。今回の覚書はNCCに制度を置き、実施できる活動を定義した点で前段から進んだ。
従来にも官民が同じ犯罪基盤へ別の手段で対処する例はある。2025年5月のLummaC2阻止では、司法省が令状に基づき5ドメインを差し押さえ、Microsoftは独立した民事訴訟で2,300ドメインの停止を求めた。新制度では、政府の法的権限、統制、監督の下で、契約企業自体が対象システムに入って情報収集や妨害を担いうる。この実行主体の置き方が変わる。
監視から妨害・破壊までを二つに分ける
覚書は参加企業の活動を「Cyber Surveillance Operations」と「Cyber Effects Operations」に分けた。前者は、所有者の許可なく、または許可範囲を超えてシステムに入り、発見されないことを意図して情報やインテリジェンスを集める活動である。物理的な影響やインフラの利用可能性への影響を意図しない操作、一時的な妨害もここに含める。
後者のCyber Effects Operationsは範囲が広い。情報システムやネットワークに加え、情報システムが制御する物理・仮想インフラ、そこにあるデータへ作用する。覚書は操作や妨害、利用不能化を定義に含め、対象を劣化・破壊する活動も扱う。前者が見つからずに情報を集める活動を中心に据えるのに対し、後者は対象の機能やデータに変化を及ぼす作戦である。
対象となるのは、米政府、米国人、米国の利益に対してサイバー犯罪を行う外国のCyber-Enabled Transnational Criminal Organization（CE-TCO）である。外国政府の制度的一部である集団、または外国政府の指示で全面的に動く集団は定義から外れる。ただし、明確な情報がない限り、外国政府とのそのような結び付きはないと推定するとした。国家との結び付きをどの証拠で認定するかが、作戦対象を分ける境界になる。
作戦にも明確な上限がある。死亡や重傷、国際法上の武力行使または武力攻撃に達する可能性が高い結果は「Critical Outcomes」とされ、共同責任者はそれを生む作戦を承認できない。もっとも、この禁止はあらゆるデータ損失、事業停止、第三者被害が起きないことを保証する定義ではない。
米国人、米国内のシステム、米国人が管理するシステムを意図せず対象にした場合、参加企業は作戦を止め、最小化措置を取り、NCCへ直ちに通知する。米国人を対象にするなど、憲法・連邦法・国際法上の義務に関わる活動は司法省が審査し、必要な司法上の許可などを先に得る。
60日で決める運用、CFAAの未判例は残る
覚書は、憲法、Computer Fraud and Abuse Act（CFAA）を含む米国法、国際義務に従うと明記した。実施は予算の範囲内で行う。一方で、作戦フローと対象判定枠組みの一部は機密付属書に置かれており、公開文書だけでは実際の承認や統制を再現できない。
民間の独立したハックバックは、CFAAの18 U.S.C. 1030(a)(5)などに反するとの見解が有力だと議会調査局（CRS）は整理している。CFAA 1030(f)は、適法に許可された米法執行・情報機関の捜査、防護、情報活動を同法が禁止しないと定める。ただし、政府に雇われた民間請負企業まで同条がどこまで保護するかは、裁判所が判断していない。
Lawfareに寄稿した法律家3人は、1030(f)が独立した民間攻撃にまで広がる可能性は低いと分析した。これは裁判所の結論ではないが、覚書が政府契約、作戦ごとの書面承認、政府の統制と監督を繰り返す背景を説明する。米政府の承認が外国法上の免責を自動的に与えるわけでもない。
運用手順は契約条件として、100万ドル以上の保証金またはエスクローを企業に求められるようにする。これは求める場合の最低額であり、覚書が全参加企業に同額を直ちに預託させたという意味ではない。企業は少なくとも年1回の評価も受ける。
攻撃者の基盤を誰が見分けるのか
対象判定は、技術面でも制度の成否を左右する。The Vergeの取材に、Huntressのサイバーセキュリティ顧問チームでマネージャーを務めるベン・バーンスタイン氏は、攻撃者が脆弱なルーターや病院網など、無関係な第三者がすでに侵害された基盤を経由することがあると語った。作戦対象とされたシステムが犯罪者だけのものか、第三者の基盤を踏み台にしているのかは同じではない。
国内システムを意図せず対象にした際の停止・最小化・通知は、誤認後の被害を抑える手続きに当たる。一方、外国政府との関係が明確でない集団を非国家系と推定する枠組みは、帰属を誤れば第三者被害や外交問題を招き、外国での刑事・民事責任につながりうる。Critical Outcomesの禁止と国内巻き込み時の停止義務はあるが、対象認定で必要とする証拠の基準は公表されていない。
NCCは制度の状況を180日以内に報告し、その後は毎年報告する。まず確認すべきなのは、60日以内に出る運用手順が、どの企業を契約し、どの証拠でCE-TCOと判断し、作戦ごとの書面承認をどう記録するかである。民間企業の能力を使うという方針だけでは、実施の範囲も法的な扱いも決まらない。
