民間セキュリティ企業が外国のサイバー犯罪組織を「攻撃」できる時代に：米国新政策の中身とは

2026年8月12日、トランプ大統領は「越境サイバー犯罪対策能力の拡大（Expanding Capabilities to Combat Transnational Cyber-Enabled Crime）」と題された国家安全保障大統領覚書（NSPM）に署名しました。この覚書により、米国政府は史上初めて、厳格な審査（vetting）を通過した民間企業に対し、外国の「サイバー活用型越境犯罪組織（CE-TCO）」を標的とした攻勢サイバー作戦——監視活動やデータ・システムを破壊する妨害攻撃を含む——の実施を認める方針を打ち出しました 。この政策は、数十年にわたる米国のサイバーセキュリティ政策を根本から覆す、地殻変動とも言える転換点となります。

新政策の概要：民間企業に何が認められるのか

この覚書は、国土安全保障省傘下の**国家調整センター（NCC）**に対し、特別なプログラムの創設・管理を指示しています。このプログラムでは、「参加企業（Participating Companies）」が、米国人を標的にする外国の犯罪ネットワークに対して「サイバー影響作戦（Cyber Effects Operations）」を実施することを認めます 。「サイバー影響作戦」とは、情報システム、ネットワーク、またはデータに対して、操作、妨害、拒否、劣化、または破壊をもたらす活動と定義されています 。

認められる活動は多岐にわたります。秘密裏にスパイウェアを展開して情報収集を行う諜報活動（Cyber Surveillance Operations）や、犯罪者のデータやシステムそのものを破壊する攻撃的妨害活動などが含まれます 。

参加企業に課される厳格な条件

本プログラムは、無制限な「報復ハッキング（hack back）」を認めるものではありません。参加企業には、以下のような厳格なガードレール（安全策）が設けられています 。

• 100万ドルのエスクロー預託：参加企業は、プログラムの規則に違反した場合に没収される可能性のある100万ドルをエスクロー（第三者預託）口座に預け入れることが義務付けられます 。
• 司法省（DOJ）と国土安全保障省（DHS）の共同承認：すべての作戦は、実行前に両省から指名された「プログラム執行理事（Program Executive Directors）」による書面による承認を事前に得ることが必須です 。
• 米国人・米国内システムへの攻撃禁止：覚書は、米国市民や米国内に所在するシステムを標的とするいかなる作戦も防止するための手続きを指示しています 。
• 「重大な結果（Critical Outcomes）」の閾値：人の死亡や重傷を引き起こす可能性が高い作戦、または国際法上の「武力行使」に相当する作戦は、別途許可がない限り禁止されます 。
• 年次報告義務：プログラム執行理事は、発効後180日以内、およびその後毎年、国土安全保障担当大統領補佐官および国家サイバー局長に報告しなければなりません 。
• 契約関係の開示：参加企業は、標的となる犯罪組織との間に存在するすべての契約関係をNCCに開示する義務があります 。

法的・政策的転換：なぜこれが「歴史的」なのか

この政策の最大の意義は、数十年にわたる米国のサイバーセキュリティ政策の歴史的転換にあります。

従来、民間企業によるサイバー攻撃への対処は、「コンピュータ詐欺・濫用防止法（CFAA）」によって厳しく制限されてきました。CFAAの下では、民間企業も一般市民と同様、裁判所の令状なしにシステムへの不正アクセス、ハッキング、または妨害行為を行うことが広く禁止されていました 。歴代政権を通じて一貫した米国政府の立場は、民間部門は防御することはできても、攻撃（サイバー攻撃を自ら仕掛けること）はできない、というものでした 。

今回の覚書は、厳格な審査を受け、連邦政府の監督下にある請負業者に対して、この長年の禁止事項を一掃するものです。これにより、攻勢的なサイバー権限の一部を民間企業に委譲する、事実上の政府管理下での「ハッキング・プログラム」が創設されました 。ホワイトハウスはこの政策について、「民間部門の能力と革新性を活用する」ことで、ランサムウェア攻撃、金融詐欺、性的恐喝など、米国人を標的としたサイバー犯罪や脅威に対抗するものだと説明しています 。

批判と懸念

この新しい政策に対しては、専門家や市民団体から早くも懸念の声が上がっています。批判派は、民間企業が政府のハッキング作戦に関与すべきではないと主張し、この政策が法的な挑戦や強い反対に直面するだろうと警告しています 。

覚書自体もリスクを認識しており、違反時に没収される多額の保証金（エスクロー預託）を要求することで、参加企業の規律を強化しようとしています。しかし、批判派は、攻勢的サイバー能力を民間企業に委譲することは、権限乱用や紛争エスカレーションの新たな経路を生み出す可能性があると指摘しています 。すべての作戦は連邦政府の承認を必要としますが、その監視が実効的に機能するかどうかは未知数です。

この政策は、サイバー空間における国家と民間の役割を根本的に問い直すものであり、今後の運用実績と国際社会の反応が注目されます。

---

【参照元】
: ホワイトハウス 大統領覚書本文
: TechCrunch「In a first, US will allow some private firms to carry out cyberattacks」（2026年8月13日）
: Yahoo News / BleepingComputer 関連報道
: RuntimeWire「Trump enlists private cyber contractors...」（2026年8月13日）
: TechDogs「US Will Let Private Firms Launch Cyberattacks Under Federal Supervision」（2026年8月14日）
: Yahoo News「White House authorizes private companies...」（2026年8月15日）