トランプ政権、民間企業によるサイバー作戦を認める覚書を発表

米大統領府は両省に対し、60日以内（編注：期限は2026年10月11日）にプログラムの運用手順を定めるよう指示した。運用手順には、企業の参加基準、軍や情報機関との作戦の衝突を避ける手続き、参加企業が入手した犯罪組織に関する有用な情報の報告義務などが含まれる。覚書は「重要な能力を提供する大企業と、専門的な業務や個別の業務に適した、より小規模で機敏な企業の両方の参加を確保すべきだ」としている。

トランプ大統領は覚書で「米国企業の革新的な能力は、サイバー空間で活動する犯罪ネットワークの特定と阻止の取り組みで十分に活用されてこなかった」と述べた。その上で「連邦政府の指示と監督の下で審査済みの米国企業と提携することで、国際犯罪組織の脅威に対抗し、米国市民を狙う国際的なサイバー犯罪や詐欺などと戦う能力を強化する」と記した。

トランプ政権は国境を越えた犯罪組織への強硬な対抗策を進める一方で、巻き添え被害への懸念をあまり示していない。2026年8月上旬に米ラスベガスで開かれたセキュリティカンファレンス「Black Hat USA 2026」でハックバックが話題に上った際も、米国土安全保障省のジョセフ・アルム（Joseph Alm）氏（サイバー・インフラ・リスク・レジリエンス担当次官補）はこの概念を否定しなかった。アルム氏は「われわれの長期的な目標は、米国人を標的とする者たちを恐怖に陥れ、米国こそ世界で最悪の標的だと知らしめることだ。彼らを徹底的にたたきのめすからだ」と述べた。

条件付きの評価と強い批判

専門家の中には、プログラムを条件付きで評価する人もいる。インディアナ大学で応用サイバーセキュリティ研究センターを率いるスコット・シャックルフォード（Scott Shackelford）教授は「政権の今回の措置は、深刻化する問題への意義のある対応で、一定の安全策も講じられている」と話す。ただし「民間部門をこのような形で解き放つことには重大な疑問が残る。悪質な行為者への責任追及の仕組みがどうなるのかという問題もある」と続けた。

コロンビア大学でサイバー紛争を研究するジェイソン・ヒーリー（Jason Healey）氏（上級研究員）は、「防御を攻撃より優先する機会がまだあった10年か15年前なら、この考えを嫌っただろう」と振り返る。「だが、その機会はとうに過ぎ去った。われわれは、防げたはずの世界ではなく、今ある世界を前提に判断を下さなければならない」と語り、「民間部門にも反撃のゲームに参加させてみればいい。ただし、効果を上げているのか事態を悪化させているのかを判断できる、非常に具体的な基準が要る」と条件を付けた。

セキュリティ企業Huntressのカイル・ハンスロバン（Kyle Hanslovan）CEOは、高度な攻撃者の増加と「AIを活用した自律型の脅威」を挙げ、従来の官民連携モデルはもはや十分ではないと主張する。「唯一実現可能な解決策は、より強力な有志連合だ。われわれはその支援に積極的に取り組んできた」とも述べた。

批判はより直接的だ。DHSで政策担当次官補代理を務めたポール・ローゼンツヴァイク（Paul Rosenzweig）氏は「これは悪い考えだ。本質的に政府の機能に見えるものを立て直すするには、もっと良い方法があるはずだ」と話す。

コロンビア大学のエリカ・ロナーガン（Erica Lonergan）助教は「問題は細部に宿るだろうが、重大な懸念を抱いている」と述べる。ロナーガン氏はサイバー紛争の専門家だ。審査や目標設定、リスク軽減、監視を巡る不確実性を指摘した。その上で「民間部門が国家の敵対勢力に対して直接、攻撃的なサイバー作戦を実行できるようにする危険な前例になるのではないか」と疑問を呈した。

残る法的な疑問は？

覚書は、専門家が挙げるリスクの一部に運用手順で対処するよう求めている。参加企業は、誤って米国人や米国の情報システムを標的にした場合、直ちに作戦を止めて政府に報告する義務を負う。米司法省は、米国人を標的にするなど憲法や法律上の問題を生じ得るハッキング行為について、司法の許可を含む適用法に従って実行されることを保証しなければならない。

それでも、具体的な事件が起きるまで答えの出ない疑問は残る。犯罪組織は米国企業からデータを盗むことが多い。プログラムに参加する企業が、犯罪組織への作戦中にそうした機密データに行き当たった場合に何が起きるかは分かっていない。

軍や情報機関との調整も難題だ。政府自身のハッキング作戦は機密で、軍や情報機関の職員は、民間企業が同じ領域に踏み込まないよう警告する目的であっても、自らの活動に関する限られた情報すら共有したがらないとみられる。米サイバー軍で法務官を務めたゲイリー・コーン（Gary Corn）氏は「サイバー軍の優先事項や管轄に入る事柄と、これらの企業がやることには重複がある。同じシステム上で干渉し合い、一方が他方の作戦を意図せず妨害する事態は、政府内部でも常に課題だった。今回はその難しさが飛躍的に増すだろう」と語る。

米政府が参加企業をどこまで厳密に審査するのかも不明だ。企業に委ねる情報と権限の機密性を考えれば、これは重要な論点だ。一部の防衛関連企業は既に政府のハッキング作戦を支援しているものの、防衛産業を含む大多数の企業に、類似の活動に直接携わった経験はない。

標的の審査も課題だ。標的が本当に外国政府と無関係かどうかを、米国がどれほど慎重に確かめるのかは明らかになっていない。自称独立系のハッカー集団の中には、自国政府の隠れみのだと広く見なされている集団が存在する。イランとのつながりが指摘される「Handala」（編注4）が代表例だ。ロシアとのつながりが指摘される「Evil Corp」（編注5）のように、自国政府と密接な関係を持ち、時に支援を受けてきた集団もある。審査が不十分な作戦で誤って外国政府の職員やインフラを標的にすれば、地政学的な危機を引き起こし、実行した企業が強力な敵対国に狙われかねない。

ヒーリー氏は「こうした作戦を実行する者は誰であれ、相当な個人的法的リスクを負うことになる」と指摘する。

覚書は、ハッキングの対象を「外国政府の組織の一部ではなく、外国政府の指示の下で完全に運営されてもいない」犯罪組織に限定している。ただし、そうしたつながりを立証する明確な情報がない限り、犯罪組織は外国政府と無関係だと見なすとも定めた。コーン氏は、この規定が問題になりかねないと見る。「代理勢力の多くは、外国政府の指示に完全に従って活動しているわけではない。外国政府は必要に応じて、こうした非国家主体を利用している」と話す。同氏は現在、アメリカン大学ワシントン・カレッジ・オブ・ローで技術・法律・安全保障プログラムのディレクターを務める。国際法の下では、民間企業が規則に違反したサイバー攻撃を実行しても米政府が責任を負う、との見解を示した。

同盟国も混乱に巻き込まれる？

犯罪組織だけを標的にした作戦でも、同盟国のコンピュータインフラを混乱させる恐れがある。ローゼンツヴァイク氏は「インターネットは、米国からロシアへ直接つながるようなシームレスなものではない。何かを実行しようとすれば、多くの国の管轄下にあるシステムと関わらざるを得ない。それらの国は皆、この構想に強い拒否反応を示すだろう」と述べ、トランプ政権は「世界のサイバーエコシステムの相互接続性を誤解している」と批判する。同氏は、海賊行為の禁止は国際法で最も古い原則の一つだとし、プログラムに参加する企業がこの禁止に違反する可能性は「非常に高い」と見る。

シャックルフォード氏は、米国に続いてサイバー分野への関与を強めてきた西側諸国でさえ、民間企業をこのような形で活用したことはないと指摘する。その上で「米国の外交的孤立をさらに深め、サイバー規範づくりの取り組みを後退させかねない」と述べた。

多くのリスクがあるにもかかわらず、どれだけの企業が参加を望むのかは見通せない。作戦が秘密裏に進むため、参加企業は自社の取り組みを宣伝できないとみられる。企業が得られる利益は、サービスに対する政府からの支払いだけになる。

一方でハンスロバン氏は、プログラムの責任者が巻き添え被害などの問題を軽減する方法を見つけ出すはずだと自信を示す。「民主主義に対する明白な脅威を拒否し、機能を低下させ、妨害することにかけて、米政府が限界を押し広げようとしているのを誇りに思う」と語った。