「ハッカーをハックする」——約100万ドル（約1億5,000万円）規模の保証金と60日以内の運用規則策定を条件に、米国政府が民間サイバーセキュリティ企業に「攻撃側」の役割を解禁する方向と伝えられています。Android Authorityが2026年8月14日に報じた大統領令の内容から、認可の条件と論点を整理します。

「ハッカーをハックする」プログラムの骨子

トランプ政権が発出した大統領令は、認可を受けた米国の民間企業が、外国のサイバー犯罪組織に対して監視・妨害を目的とする攻撃的サイバー作戦を実行できる連邦プログラムを新設するとされています。Android Authorityが伝えた狙いは、ランサムウェアや詐欺など米国民を標的とするサイバー犯罪への対抗です。

作戦の対象は外国の犯罪集団に限定され、外国政府は対象外とされています。米国民または米国拠点のシステムを誤って対象にした場合、企業は作戦を停止し報告する義務を負うと報じられています。

政府の関与——書面承認と保証金・エスクロー

「デジタルの暴走許可証」が渡されるわけではありません。すべての作戦には司法省（Justice Department）と国土安全保障省（Department of Homeland Security）のプログラム責任者による書面承認が必要で、企業は連邦の監督下で活動すると伝えられています。

参加企業には、約100万ドル（約1億5,000万円）を保証金またはエスクロー口座に預ける義務が課される可能性があると報じられています。ルール違反があれば没収の対象になり得るとされます。

認められる作戦の範囲は決して小さくありません。

  • コンピュータシステム・データの操作・妨害・機能低下・破壊
  • 所有者の許可なく秘密裏にシステムへアクセスして情報を収集する監視作戦

生煮え——ベテランが指摘する法的リスクと60日の猶予

米政府はこれまで、民間企業がハッカーからの防御を担うことは認めつつ、自ら攻撃を仕掛けることは想定していませんでした。今回の大統領令は、この長年のスタンスを大きく転換する内容と受け止められています。

一方で、細則はまだ固まっていません。当局には運用手続きを整備するために60日間が与えられているとされます。

サイバーセキュリティのベテランJake Williams氏はこの計画を「half-baked（生煮え）」と評したと伝えられています。関与した米国人が海外渡航時に法的トラブルや外国政府からの告発に直面する恐れがあると同氏は警告しているとされます。攻撃側に回った企業スタッフの身分と安全をどう担保するかは、今後の運用規則で問われる論点です。

読者への含意——「守る側」だったベンダーが「攻める側」に

日本のテック層にとっての含意は小さくありません。普段業務で利用している米系セキュリティベンダーや脅威インテリジェンス企業が、認可を受けて攻撃側に回る可能性が現実味を帯びてきます。攻撃対象の誤爆や、対抗措置としての報復的サイバー攻撃が国境を越えて波及した場合、日本国内のシステム運用にも影響が及ぶ余地があります。ベンダー選定や契約時の情報開示要件をどう見直すか、セキュリティ担当者は次の60日間で判明する運用規則を注視する価値があります。

60日後には、書面承認の具体的な運用フロー、保証金・エスクロー金額の下限、対象犯罪の範囲、そして関与スタッフの法的保護の枠組みが明らかになる見込みです。この点が固まるまで、実運用のリスク評価は保留せざるを得ません。

大統領令14390から国家安全保障覚書へ——制度化の流れ

今回の「攻撃側解禁」は突然の政策転換ではなく、2026年3月6日に署名された大統領令14390「Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens」の運用フォローアップと位置づけられています。同大統領令は、越境犯罪組織（TCO）対策の行動計画を120日以内に提出することを求めています。

  • 行動計画では、国家調整センター（NCC）内に新たな運用セル（operational cell）を設置します
  • 同セルの活動には、必要に応じて民間セクターを関与させることが想定されています
  • 8月12日に発出された国家安全保障大統領覚書（NSPM）は、この大統領令14390の運用フォローアップに相当します

つまり、司法省・国土安全保障省による書面承認プロセスは、NCC内の運用セルを介した連邦調整の枠組みの一部として組み込まれる構図が浮かんでいます。60日の運用規則策定期間を経て、民間関与の具体像が段階的に姿を見せる流れとなっています。

「攻撃側解禁」の背景——2025年の被害急増とCFAAの壁

方針転換の背景には、米国内サイバー犯罪被害の急拡大があります。FBIのInternet Crime Complaint Center年次報告によれば、2025年の米国サイバー犯罪被害総額は208億7,700万ドルに達し、前年の166億ドルから26%増加したとされています。

指標2024年2025年
被害総額166億ドル208.77億ドル
ランサム関連被害（FBI集計）—3,230万ドル／3,600件超
侵害事案に占めるランサム比率32%44%

ランサム関連ではAkira、Qilin、INC、BianLian、Playが主要系列として挙がっており、データ侵害に占める比率はVerizon DBIR史上最大の伸びを記録したと報じられています。一方で法的ハードルは残っており、事前の作戦別書面承認を得ずに行う攻撃はCFAA（コンピュータ詐欺・濫用防止法）の民事・刑事責任の対象で、民事の時効は5年とされます。認可枠外の「勇み足」には依然として高い法的リスクが伴います。

Q&A

Q. どの企業でも攻撃的作戦に参加できるのですか？ いいえ。事前に認可（vetting）を受けた米国企業に限られると報じられています。加えて作戦ごとに司法省・国土安全保障省のプログラム責任者による書面承認が必要で、約100万ドル（約1億5,000万円）の保証金・エスクロー拠出が求められる可能性があります。

Q. 日本企業や日本人技術者への影響はありますか？ プログラム自体は米国企業を対象としており、日本企業が直接参加する枠組みではありません。ただし米系セキュリティベンダーを利用している日本企業にとっては、取引先が攻撃側に回る可能性、および誤爆や報復攻撃の副次的影響を評価する必要が出てきます。海外渡航時の法的リスクについてはWilliams氏が警告しているとされ、関与する技術者の国籍を問わず慎重な検討が必要になりそうです。

出典