ドナルド・トランプ大統領は火曜日、外国の犯罪ネットワークに対する攻撃的サイバー作戦に審査済みの米国企業を動員するよう連邦政府に指示する覚書に署名した。8月12日付の大統領国家安全保障覚書は、国土安全保障タスクフォースの国家調整センター（NCC）内にプログラムを設立し、民間企業が政府の指揮の下、自らの法的・財務的リスクにおいて外国のサイバー犯罪ネットワークを妨害できるようにする。

この政策は、民間による「ハッキングバック（仕返しハッキング）」を禁じてきた米国の長年の慣行からの一線を画すものだ。他人のコンピュータへの不正アクセスはコンピュータ詐欺悪用法（CFAA）の下で連邦犯罪であり、司法省当局者は長年、被害者による自己流の報復を控えるよう促してきた。また、限定的な防御的ハッキングをCFAAの適用外とする2017年の法案「アクティブ・サイバー防御確実性法」は成立しなかった。

ホワイトハウスは命令書の目的の節で、国境を越えた犯罪組織（TCO）に言及した上で、次のように記した。「この覚書は、民間部門の創意工夫を取り入れることにより、TCOによるサイバー犯罪との闘いを拡大する」「連邦政府の指示と監督に服する審査済み米国企業と提携することで、TCOの脅威に対抗し、米国市民を標的とする国際的サイバー犯罪、詐欺、その他の搾取的手法と闘う能力を高める」

覚書によれば、「民間部門の革新的能力を含むあらゆる国家権力の手段を用いてサイバー犯罪と闘うことが米国の政策である」とされている。

プログラムの仕組み

プログラムは、司法省と国土安全保障省から1名ずつ出任する2名のエグゼクティブディレクターが運営する。いずれかの省庁と契約した民間企業は、海外で活動するこれらの犯罪ネットワークに関連するシステムへのアクセス、監視、妨害、破壊を含む作戦を提案・実行できる。司法省とDHSの組み合わせは、サイバー分野の法執行における既存の役割分担を反映している。FBIは司法省の傘下にあり、DHSにはサイバー犯罪を捜査するシークレットサービスと、民間ネットワークの防御を担うサイバーセキュリティ・インフラ安全保障局（CISA）が置かれている。

参加企業は応募して審査プロセスを経た上で、規則に違反した場合に没収される100万ドル以上の保証金またはエスクローを供託する。その後、他の企業や州・地方機関から脅威情報を収集し、国土安全保障省のNCCに作戦を提案する。プログラムのエグゼクティブディレクターが提案内容を審査し、書面による承認と指示を出すまでは何も動かない。政府が作戦の主導権を維持し、企業は政府の指示がある場合にのみ実行する。参加企業は年次審査の対象ともなる。

企業に認められる行為

覚書は、所有者の許可を得ず、または許可されたアクセス権限を超えてシステムにアクセスする「サイバー監視作戦」と、ランサムウェア、フィッシング、金融詐欺、セクストーション（性的脅迫）を背後で支えるネットワークに対するより広範な攻撃的行動を承認している。「重大な結果」を引き起こす作戦は禁止され、米国人または米国内のシステムに触れる作戦は、最小化手続きの下で直ちに停止しなければならない。

米国政府機関はこれまでも、裁判所命令の下で政府職員が実施したボットネットの摘発やサーバー押収などにより犯罪インフラを破壊してきたが、今回の覚書は運用上の役割を審査済みの請負業者にまで拡大する。

表向きの根拠：被害の規模

脅威の規模が、ホワイトハウスが示した根拠である。ホワイトハウスによると、2025年に米国人がサイバー犯罪により被った損失として報告した額は208億ドルを超えた。暗号資産詐欺だけで2025年に米国人に約807億ドルの損害を与えたと推定される。北朝鮮のハッカーは現在、盗んだ暗号資産を洗浄するより洗練され複雑な手法を用いており、政府は投資詐欺やロマンス詐欺に絡む2500万ドル超の暗号資産を既に押収している。このプログラムは、この執行モデルを民間の手で拡大するものだ。被害額は長年にわたり増加傾向にあり、FBIのインターネット犯罪苦情センター（IC3）が記録した2024年の報告損失額は166億ドルで、2023年比33%増だった。

歯止めと未解決の問題

プログラムの標的選定ルールは機密指定の別添に置かれているため、公表されている歯止めは詳細を欠いている。大統領覚書では連邦法を改正できないため、公開文書には請負業者を保護する責任免除の規定は盛り込まれていない。さらに、国外に所在するシステムへの侵入は、そのシステムが置かれた国の法律にも違反し得るというリスクがあり、これはハッキングバックをめぐる議論で長年指摘されてきた。覚書は実施指針の提示までに60日の猶予を設けており、今後の注目点は最初の審査済み企業とプログラムの年次審査サイクルとなる。

覚書の全文はホワイトハウスのウェブサイトで閲覧できる。