米国で、これまで長年にわたり禁止されてきた民間企業による「ハックバック（反撃ハッキング）」や攻撃的サイバー作戦を、一部の企業に認める新たな方針が打ち出されたと報じられています。企業がサイバー攻撃を受けた際、単に防御するだけでなく、攻撃元への能動的な対処に踏み込める可能性が出てきたことで、世界のサイバーセキュリティ政策に大きな波紋を広げそうです。
新たな命令は、民間企業が「ハックバック」攻撃や攻撃的サイバー作戦を実施することを禁じてきた、数十年にわたる米国の既存サイバーセキュリティ政策を一掃するものだ。
「ハックバック」とは何か――防御から“反撃”へ踏み込む危うい一線
ハックバックとは、サイバー攻撃を受けた企業や組織が、攻撃者のサーバーやインフラに侵入し、データの削除、攻撃基盤の無力化、情報収集などを行う行為を指します。従来のサイバーセキュリティは、ファイアウォール、EDR、SOC、脅威インテリジェンスなどを使って「侵入を防ぐ」「被害を検知する」「復旧する」ことが中心でした。
しかし、ランサムウェアや国家支援型攻撃の高度化により、防御だけでは被害を抑えきれないという声も強まっています。特に米国では、重要インフラや医療機関、金融機関、サプライチェーンを狙った攻撃が深刻化しており、攻撃者に対する抑止力をどう確保するかが長年の課題でした。
今回の報道が示す最大のポイントは、これまで政府機関の領域とされてきた「攻撃的サイバー作戦」に、一定条件下で民間企業が関与できる可能性が出てきたことです。これは単なる規制緩和ではなく、サイバー空間における国家と民間の役割分担を根本から変える動きといえます。
日本企業にも無関係ではない――サプライチェーン全体のリスクが変わる
日本では、民間企業が攻撃者に反撃するような行為は、法的にも実務的にも極めて慎重に扱われています。不正アクセス禁止法や刑法、国際法上の問題が絡むため、たとえ自社が被害者であっても、攻撃元と見られるシステムに侵入すれば違法となる可能性があります。
一方で、日本企業の多くは米国企業やグローバルクラウド、海外SaaS、半導体・自動車・金融などの国際サプライチェーンと深くつながっています。もし米国で一部の民間企業による攻撃的サイバー対応が制度化されれば、日本企業が利用するサービスや取引先のセキュリティ運用にも影響が及ぶ可能性があります。
想定される日本市場への影響
- 米国発のセキュリティ企業が、より攻撃的な脅威ハンティングやアクティブディフェンスをサービス化する可能性
- 日本企業が海外ベンダーを利用する際、契約上の責任範囲やログ提供、越境データの扱いがより重要になる
- サイバー保険やインシデント対応契約に「能動的防御」の条項が追加される可能性
- 日本政府や重要インフラ事業者のサイバー防衛議論にも影響を与える可能性
特に注意すべきは、攻撃元の特定が常に正しいとは限らない点です。サイバー攻撃では、第三国のサーバーや無関係な企業の端末が踏み台にされることが多くあります。誤った相手に反撃すれば、被害者をさらに増やし、国際的な紛争リスクを高める恐れがあります。
「民間のサイバー反撃」は抑止力になるのか、それとも新たな火種か
この方針転換が実現すれば、攻撃者に対して「攻撃すれば反撃される」という抑止効果をもたらす可能性があります。ランサムウェア集団や国家支援型ハッカーにとって、民間企業がより積極的に攻撃基盤を追跡・妨害できるようになることは、一定のプレッシャーになるでしょう。
しかし同時に、民間企業によるサイバー攻撃の容認には大きなリスクもあります。企業ごとに能力や倫理基準、判断基準が異なれば、サイバー空間での“私的制裁”が拡大しかねません。攻撃者の特定、証拠の保全、越境行為、第三者被害、国家間の緊張など、解決すべき課題は非常に多いのです。
今後の焦点は「誰に、どこまで、何を許すのか」
今後注目すべきは、米国がどのような企業に対して、どの範囲のサイバー行動を認めるのかです。対象が防衛関連企業や重要インフラ事業者に限定されるのか、政府の許可制になるのか、実行時に政府機関の監督が入るのかによって、制度の意味合いは大きく変わります。
日本にとっても、この動きは単なる海外ニュースではありません。経済安全保障、重要インフラ防護、サイバー自衛権、民間企業の責任範囲といった議論に直結します。今後、日本でも「守るだけで十分なのか」という問いが、より現実的な政策テーマとして浮上してくる可能性があります。
サイバー攻撃が国家、犯罪組織、民間インフラを横断する時代において、防御と攻撃の境界線はますます曖昧になっています。米国の今回の動きは、その境界線を再定義する大きな一歩であり、同時に世界中の企業に新たな法的・倫理的課題を突きつけるものです。
引用元: In a first, US will allow some private firms to carry out cyberattacks
