米政府、民間企業に海外サイバー攻撃を公認。現代版「私掠船」制度が始動
米国政府が、審査済みの民間企業に海外犯罪組織への攻撃的サイバー作戦を許可する仕組みを整えた。年間3兆円超の被害を前にした「攻めの転換」は、同時に制御不能のリスクも連れてくる。
米国政府が、審査済みの民間企業に海外犯罪組織への攻撃的サイバー作戦を許可する仕組みを整えた。年間3兆円超の被害を前にした「攻めの転換」は、同時に制御不能のリスクも連れてくる。
覚書が定めた新しい戦争の形
トランプ大統領が現地時間8月12日に署名した国家安全保障大統領覚書（NSPM）は、米国のサイバー安全保障を根底から書き換える可能性がある。
骨子はこうだ。国土安全保障タスクフォース傘下のNCC（National Coordination Center）が、審査を通過した米国の民間企業に対し、海外のサイバー犯罪組織を標的とする攻撃的サイバー作戦の実行を認める。作戦は「サイバー監視作戦」と「サイバー効果作戦」の2種類に分かれ、前者は情報収集を目的とした秘密裏のシステム侵入、後者は情報システムの操作・妨害・破壊を含む。
民間企業がすべての作戦パッケージについて書面による承認と指示を受けてからでなければ行動できない、と覚書は明記している。
運営は司法省と国土安全保障省から各1名ずつ任命される共同ディレクターが担い、作戦の承認前には国務省、財務省、国防省、情報機関を含む省庁横断の調整が義務づけられる。国際法上の武力行使に相当する行為や、死傷者を出す可能性がある作戦は「重大な結果」に分類され、通常の承認プロセスでは許可できない。
参加企業には最低 100万ドル（約1億5900万円）の保証金が求められ、契約違反時には没収される。覚書が「暴走」を想定していることの裏返しだ。
208億ドルの現実が背景にある
覚書の直接の動機は、米国市民を狙うサイバー犯罪の規模そのものだ。
ホワイトハウスのファクトシートは、2025年の米国におけるサイバー犯罪被害額が 208億ドル（約3兆3000億円）を超えたと記している。FBIのIC3（インターネット犯罪苦情センター）が4月に発表した年次報告書で確認された数字で、苦情件数も初めて100万件を突破した。
米国の成人の73%が何らかのオンライン詐欺や攻撃を経験しているとされ、ランサムウェア、フィッシング、性的恐喝、なりすまし詐欺のどれをとっても、攻撃元は米国外の組織的犯罪グループであることが多い。
覚書が対象とするCE-TCO（サイバー犯罪を行う超国家的犯罪組織）は「外国政府の一部ではなく、外国政府の指示の下で完全に運営されているものでもない」組織と定義されている。つまり、対象は国家ではなく「犯罪集団」だ。
この制約は重要だ。国家が背後にいる攻撃グループ（中国のSalt Typhoonやロシアの各種APT）は、少なくとも覚書の文面上は対象外になる。「明確な情報がない限り、外国政府の一部ではないと推定する」という一文は、運用次第でグレーゾーンを広げうるが、制度の建前は民間犯罪組織に限定されている。
防御に予算を切り、攻撃に予算を注ぐ
この覚書は単体で現れたわけではない。2025年7月に成立したOne Big Beautiful Bill Act（OBBBA）は、攻撃的サイバー作戦に4年間で10億ドル（約1590億円）を配分した。予算の大半はインド太平洋軍（INDOPACOM）の能力強化に充てられ、中国を念頭に置いた構成になっている。
この法律は一方で、民間の防御的サイバーセキュリティ予算を約12億ドル削減している。攻撃に10億ドルを配分し、防御を12億ドル削る。差し引きで米国のサイバー態勢は「攻め重視」に明確に舵を切った。
2026年3月には大統領令14390（EO14390）が発出され、サイバー犯罪対策への民間セクターの関与拡大が指示された。今回の覚書はその延長線上にあり、「方針」を「運用フレームワーク」に変えたものだ。
要するに、ホワイトハウスは1年かけて「攻撃に舵を切る」法的・予算的・組織的な環境を整えてきた。この覚書は、その環境の上に「民間のオペレーター」を乗せる最後のピースにあたる。
「サイバー私掠船」という歴史の反復
この構想には前史がある。
2025年5月、米政府と業界パートナーが、かつて海賊行為を合法化するために用いられた「私掠免許状」（Letters of Marque）の概念をサイバー空間に適用できないか議論していたことが報じられた。中世の海戦で国家が民間の船に「敵国の商船を襲ってよい」と許可した仕組みだ。
| 私掠免許状（中世） | サイバー覚書（2026年） | |
|---|---|---|
| 認可主体 | 国王・女王・議会 | 司法省・国土安全保障省の 共同ディレクター |
| 実行主体 | 民間の船主・船長 | 審査済み民間企業 |
| 標的 | 敵国の商船 | 外国のサイバー犯罪組織 |
| 監督 | 海事裁判所が 戦利品を審査 | 省庁横断の調整と 書面承認 |
| 保証金 | 出航前に保証金を供託 | 最低100万ドル（約1.6億円） |
| 禁止行為 | 味方への攻撃 | 死傷者が出る行為・ 武力行使相当の行為 |
| 違反時 | 保証金没収・海賊扱い | 保証金没収・ 即時中止・政府通知 |
覚書はその言葉を使っていないが、構造は驚くほど似ている。政府が認可し、政府が監督し、民間が実行する。標的は国家ではなく犯罪組織。違反すれば保証金を没収。私掠免許状のサイバー版といっていい。
楽観と懸念が交差する3つの論点
ただし、この制度を手放しで歓迎するのは難しい。
第一に、帰属の問題がある。サイバー攻撃の発信元は偽装が容易で、誤帰属のリスクが常につきまとう。覚書は「米国人や国内システムに対する誤った攻撃が発覚した場合、即座に作戦を中止し政府に通知する」と定めているが、気づいたときには遅い場合がある。
第二に、エスカレーションだ。上院情報委員会のロン・ワイデン（Ron Wyden）議員は、One Big Beautiful Bill Actの攻撃的サイバー予算について「攻撃的サイバー作戦の大幅な拡大は、連邦機関だけでなく地方の病院や自治体、民間企業にも報復を招く」と警告している。攻撃能力を持つ者が増えれば、報復の標的も広がる。
第三に、統制の実効性だ。覚書は「連邦政府の完全な監督と管理」をうたう。しかし、セキュリティ企業が持つ技術的知見と政府の監督能力の間には非対称性がある。承認プロセスが形式化すれば、「お墨付きをもらった暴走」が起きうる。
守りを削った国に、攻めだけで足りるか
覚書の意図は理解できる。年間208億ドルの被害を防御だけで食い止めることはもう無理だ、だから攻撃側に回る。論理としては筋が通っている。
だが、守りを削ったまま攻めに転じた国がどうなるかは、サイバー以前の軍事史が繰り返し示してきた。攻撃は相手にも攻撃の口実を与える。そして報復の矛先は、攻撃能力を持つ政府機関やセキュリティ企業ではなく、パッチも当てられない地方の水道局や病院に向かう。
トランプ政権は「民間セクターの攻撃的優位性」を繰り返し強調する。その優位性が本物だとして、それを制御し続けることもまた優位でなければならない。
2025年5月 「私掠免許状」の議論が浮上 米政府と業界が私掠免許状の概念をサイバー空間に適用する可能性を議論 2025年7月 One Big Beautiful Bill Act成立 攻撃予算10億ドル配分と防御予算12億ドル削減を同時に実施 2026年3月 大統領令14390（EO14390）発出 サイバー犯罪対策への民間セクターの関与拡大を指示 2026年8月 NSPM署名：民間の攻撃的サイバー作戦を公認 審査済み民間企業が連邦政府の管理下で海外犯罪組織への攻撃を実行可能に |
覚書には分類済み別添（classified annex）があり、作戦の具体的なワークフローは非公開だ。この制度が民間のサイバー能力を国益に正しく向けるのか、それとも新たな脅威の発生源になるのか。答えが出るのは、最初の作戦結果が明らかになるときではなく、最初の「想定外」が起きたときだろう。
