トランプ政権は2026年8月12日、政府の監督下で民間企業が外国の犯罪組織をハッキングできるようにする新プログラムの策定を、司法省と国土安全保障省（DHS）に指示する大統領覚書に署名した。参加企業は犯罪組織に侵入し、スパイ活動や妨害活動を実行できるようになる。米国が年間数千億ドルの被害を受けるサイバー犯罪への対策に役立つと、トランプ大統領は説明する。
覚書の内容と条件
覚書は、予期せぬ事態を防ぐための制約も設けた。両省の共同事項局長が提案されたすべての作戦を審査し、承認した作戦には書面で許可を出す。参加企業には技術的な能力や人材の審査といった要件を課し、規律違反があった際に罰するペナルティとして、100万ドル以上の保証金の事前提出を求める。人を殺傷する作戦や、国際法上の武力行使や武力攻撃に該当する作戦は承認されない。
専門家の評価が割れる理由
プログラムの対象となるのは国家ではなく犯罪組織だ。それでも専門家の評価は割れている。否定的意見として挙がっているのは次の6点だ。
- 本来政府が担うべき機能：攻撃的なサイバー作戦は本来政府が担う仕事で、民間に委ねる以外に良い方法がある
- 報復とエスカレーションへの懸念：従来は政府職員に限られていた外国からの報復に民間企業がさらされ、誤って外国政府の職員やインフラを標的にすれば地政学的な危機を招く恐れがある
- 法的リスク：規律に違反した攻撃でも国際法上は米政府が責任を負い、作戦を実行する企業や個人も大きな法的リスクを抱える
- 審査の不確実性：参加企業と標的をどこまで厳密に審査できるかが不明。外国政府とつながる自称独立系のハッカー集団を見極めにくい
- 政府内の調整の難しさ：軍や情報機関のハッキング作戦は機密性が高く、民間企業の作戦との重複や衝突を避ける調整が難しくなる
- 同盟国への波及：作戦が同盟国のインフラを巻き込む恐れがある。米国の外交的孤立とサイバー規範作りの後退を招きかねない
運用手順と今後の課題
米大統領府は両省に対し、60日以内（期限は2026年10月11日）にプログラムの運用手順を定めるよう指示した。運用手順には、企業の参加基準、軍や情報機関との作戦の衝突を避ける手続き、参加企業が介入した犯罪組織に関する有益な情報の報告義務などが含まれる。覚書は「重要な能力を提供する大企業と、専門的な業務や個別の業務に適した、より小規模で機敏な企業の両方の参加を確保すべきだ」としている。
トランプ大統領は覚書で「米国企業の革新的な能力は、サイバー空間で活動する犯罪ネットワークの特定と阻止の取り組みで十分に活用されてこなかった」と述べた。その上で「連邦政府の指示と監督の下で審査済みの米国企業と提携することで、国際犯罪組織の脅威に対抗し、米国民を狙う国際的なサイバー犯罪や詐欺などと戦う能力を強化する」と記した。
トランプ政権は国境を越えた犯罪組織への強硬な対策を進める一方で、ランサムウェア被害への懸念をあまり示していない。2026年8月上旬に米ラスベガスで開かれたセキュリティカンファレンス「Black Hat USA 2026」でハッキングが話題に上った際も、DHSのジョセフ・アルム氏（サイバー・インフラ・リスク・レジリエンス担当次官補）はこの概念を否定しなかった。アルム氏は「われわれの長期的な目標は、米国人を標的とする者たちを恐怖に陥れ、米国こそ世界で最悪の標的だと知らしめることだ。彼らを積極的にたたきのめすからだ」と述べた。
米国には「inherently governmental function」（本質的に政府の機能）という用語がある。公共の利益と密接に関わるため連邦政府の職員が担わなければならない業務を指し、1998年の連邦活動見直し法（FAIR Act）で定義されている。連邦調達規則（FAR）は具体例を列挙しており、これらを民間に委託することを認めていない。
条件付きの評価と強い批判
専門家の中には、プログラムを条件付きで評価する人もいる。インディアナ大学で応用サイバーセキュリティ研究センターを率いるスコット・シャックルフォード教授は「政権の今回の措置は、深刻化する問題への意義のある対応で、一定の安全策も講じられている」と話す。ただし「民間部門をこのような形で解き放つことには重大な疑問が残る。悪質な行為者への責任追及の仕組みがどうなるのかという問題もある」と続けた。
コロンビア大学でサイバー防衛を研究するジェイソン・ヒーリー氏（上級研究員）は「防衛を攻撃より優先する機会がまだあった10年か15年前なら、この考えを笑い飛ばしただろう」と振り返る。「だが、その機会はとうに過ぎ去った。われわれは、防げたはずの世界ではなく、今ある世界を前提に判断を下さなければならない」と語り、「民間部門にも反撃のゲームに参加させてみればいい。ただし、効果を上げているのか事態を悪化させているのかを判断できる、非常に具体的な基準が必要だ」と条件を付けた。
セキュリティ企業Huntressのカイル・ハンスローバンCEOは、高度な攻撃者の増加と「AIを活用した自律型の脅威」を挙げ、従来の官民連携モデルはもはや十分ではないと主張する。「唯一実現可能な解決策は、より強力な有機連合だ。われわれはその支援に積極的に取り組んできた」とも述べた。
批判はより直接的だ。DHSで政策担当次官補代理を務めたポール・ローゼンツヴァイク氏は「これは悪い考えだ。本質的に政府の機能に見えるものを立て直すには、もっと良い方法があるはずだ」と話す。
コロンビア大学のエリカ・ローナーガン助教は「問題は細部に宿るだろうが、重大な懸念を抱いている」と述べる。ローナーガン氏はサイバー防衛の専門家だ。審査や目標設定、リスク軽減、監視をめぐる不確実性を指摘した。その上で「民間部門が国家の対抗勢力に対して直接、攻撃的なサイバー作戦を実行できるようにする危険な前例になるのではないか」と疑問を呈した。
残る法的な疑問
覚書は、専門家が挙げるリスクの一部に運用手順で対処するよう求めている。参加企業は、誤って米国人や米国の情報システムを標的にした場合、直ちに作戦を止めて政府に報告する義務を負う。司法省は、米国人を標的にするなど捜査や法令上の問題を生じ得るハッキング行為について、司法の許可を含む適用法に従って実行されることを保証しなければならない。
それでも、具体的な事案が起きるまで答えの出ない疑問は残る。犯罪組織は米国企業からデータを盗むことが多い。プログラムに参加する企業が、犯罪組織への作戦中にそうした機密データに行き当たった場合に何が起きるかは分かっていない。
軍や情報機関との調整も難題だ。政府自身のハッキング作戦は機密で、軍や情報機関の職員は、民間企業が同じ領域に踏み込まないよう警告する目的であっても、自らの活動に関する限られた情報すら共有したがらないとみられる。米サイバー軍で法務官を務めたゲイリー・コーン氏は「サイバー軍の優先事項や作戦に踏み込む事柄と、これらの企業がやることには重複がある。同じシステム上で衝突し合い、一方が他方の作戦を意図せず妨害する事態は、政府内部でも常に課題だった。今回はその難しさが飛躍的に増すだろう」と語る。
米政府が参加企業をどこまで厳密に審査するのかも不明だ。企業に委ねる情報と限界の機密性を考えれば、これは重要な論点だ。一部の防衛関連企業は既に政府のハッキング作戦を支援しているものの、防衛産業を含む大多数の企業に、類似の活動に直接関わった経験はない。
標的の審査も課題だ。標的が本当に外国政府と無関係かどうかを、米国がどれほど慎重に確かめるのかは明らかになっていない。自称独立系のハッカー集団の中には、自国政府の隠れみのだと広く見なされている集団が存在する。イランとのつながりが指摘される「Handala」（注4）が代表例だ。ロシアとのつながりが指摘される「Evil Corp」（注5）のように、自国政府と密接な関係を持ち、時に支援を受けてきた集団もある。審査が不十分な作戦で誤って外国政府の職員やインフラを標的にすれば、地政学的な危機を引き起こし、実行した企業が強力な対抗国に狙われかねない。
ヒーリー氏は「こうした作戦を実行する者は誰であれ、相当な個人的法的リスクを負うことになる」と指摘する。
覚書は、ハッキングの対象を「外国政府の組織の一部ではなく、外国政府の指示の下で完全に運営されてもいない」犯罪組織に限定している。ただし、そうしたつながりを立証する明確な情報がない限り、犯罪組織は外国政府と無関係だと見なすと定めた。コーン氏は、この規定が問題になりかねないと見る。「代理勢力の多くは、外国政府の指示に完全に従って活動しているわけではない。外国政府は必要に応じて、こうした非国家主体を利用している」と話す。同氏は現在、アメリカン大学ワシントン・カレッジ・オブ・ローで技術・法律・安全保障プログラムのディレクターを務める。国際法の下では、民間企業が規律に違反したサイバー攻撃を実行しても米政府が責任を負う、との見解を示した。
同盟国も混乱に巻き込まれる？
犯罪組織だけを標的にした作戦でも、同盟国のコンピューターインフラを巻き込む恐れがある。ローゼンツヴァイク氏は「インターネットは、米国からロシアへ直接つながるようなシームレスなものではない。何かを実行しようとすれば、多くの国の管轄下にあるシステムと関わらざるを得ない。それらの国は皆、この構想に強い拒否反応を示すだろう」と述べ、トランプ政権は「世界のサイバーエコシステムの相互接続性を誤解している」と批判する。同氏は、海賊行為の禁止は国際法で最も古い原則の一つだとし、プログラムに参加する企業がこの禁止に違反する可能性は「非常に高い」と見る。
シャックルフォード氏は、米国に続いてサイバー分野への関与を強めてきた西欧諸国でさえ、民間企業をこのような形で活用したことはないと指摘する。その上で「米国の外交的孤立をさらに深め、サイバー規範作りの取り組みを後退させかねない」と述べた。
多くのリスクがあるにもかかわらず、どれだけの企業が参加を望むのかは見通せない。作戦が秘密裏に進むため、参加企業は自社の取り組みを宣伝できないとみられる。企業が得られる利益は、サービスに対する政府からの支払いだけになる。
一方でハンスローバン氏は、プログラムの責任者がランサムウェア被害などの問題を軽減する方法を見つけ出すはずだとの自信を示す。「民主主義に対する明白な脅威を拒否し、機能を低下させ、妨害することにかけて、米政府が限界を押し広げようとしているのを歓迎する」と語った。
（注4）「Handala」は2023年12月ごろから活動する集団で、親パレスチナのハクティビスト（政治的な主張を目的に攻撃する集団）を自称する。イスラエルの政府機関や重要インフラを標的に、データを消去するワイパー型のマルウェアや盗んだ情報の公開を用いてきた。複数のセキュリティ企業や当局は、イラン情報省（MOIS）の隠れみのだと評価している。
（注5）「Evil Corp」は2014年に形成されたロシアを拠点とするサイバー犯罪集団だ。マルウェア「Dridex」やランサムウェア「BitPaymer」を開発・配布し、40カ国以上の金融機関から1億ドル以上を盗んだ。米財務省が2019年に、英国国家犯罪対策庁（NCA）などが2024年に構成員へ制裁を科し、一部の構成員がロシア政府と密接な関係を持つと指摘している。
