能動的サイバー防御、攻撃元の無害化は10月に施行 企業の要請で発動する仕組みではない

「能動的サイバー防御」と聞くと、攻撃を受けた会社が国に頼めば、国が攻撃者のサーバーに入り込んで止めてくれる仕組みを思い浮かべるかもしれない。日本の法律は、そういう作りになっていない。

きっかけは、10月24日のGMOインターネットの発表だ。同社は「お名前.com デスクトップクラウド」への攻撃をめぐり、国が主導して攻撃基盤を追跡・遮断し、無力化する措置を講じるよう、政府関係機関に「具申（緊急要請）」したと明らかにした。この件を、能動的サイバー防御の「発動第1号」事案と位置づけている(攻撃と被害の経過はこちらの記事)。いまの日本で、国は何ができて、何がまだできないのか。法律の条文と政府の資料で確かめた。

根拠は2025年5月に成立した2本の法律

能動的サイバー防御の根拠は、2本の法律だ。1本は「重要電子計算機に対する不正な行為による被害の防止に関する法律」(令和7年法律第42号)で、政府は「サイバー対処能力強化法」と呼ぶ。もう1本は、警察官職務執行法や自衛隊法などをあわせて改めた「整備法」(令和7年法律第43号)である。成立は2025年5月16日、公布は5月23日だった。

中身は3つの柱に分かれる。国と企業が攻撃の情報をやり取りする「官民連携の強化」、攻撃に使われるサーバーなどを見つけるための「通信情報の利用」、見つけたサーバーに手を打つ「アクセス・無害化措置」だ。

10月1日に始まったこと、まだ始まっていないこと

3つの柱は、同時には始まらない。国家サイバー統括室(NCO、政府のサイバー安全保障の司令塔)の資料と法令をもとに、いまの状況を並べた。

政府の資料によると、報告の義務を負う基幹インフラの事業者は15分野の258事業者だ。インシデントに気づいたら「速やかに」報告し、気づいた日から30日以内に、決められた事項をそろえた報告書を出す。GMOインターネットグループの熊谷正寿代表は10月25日のブログで、GMOは法律の定める「特定社会基盤事業者」(基幹インフラの事業者として国が指定した会社)ではないと認めている。

攻撃元のサーバーで何をするのか

内閣官房などの説明資料は、アクセス・無害化措置を2段階で示している。まず、攻撃に使われているサーバーの脆弱性を利用するなどして遠隔からログインし、入っているプログラムや動いている攻撃用のプログラムを確認する。次に、そのサーバーが攻撃に使われないよう、「不正プログラムの消去」「シャットダウン」「攻撃者の再ログイン防止のための設定変更」などをする。

実行できるのは警察と自衛隊だけだ。警察では、警察庁長官が指名した「サイバー危害防止措置執行官」が担う。改正された警察官職務執行法の第6条の2によると、執行官が動けるのは、攻撃に使われる通信やプログラム(疑いのあるものを含む)を認め、そのまま放置すれば「人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるとき」だ。サーバーの管理者に措置を命じるか、執行官が自ら回線を介して措置をとる。

手続きには歯止めがある。

• 事前に、サイバー通信情報監理委員会の承認を得る。承認を待ついとまがない特段の事由があるときだけ、措置の後に速やかに通知する
• サーバーが国内にあると認める相当な理由がなければ、警察庁の執行官に限られ、外務大臣と事前に協議する
• 執行官は、警察庁長官などの指揮を受ける

委員会は委員長と委員4人からなり、両議院の同意を得て内閣総理大臣が任命する。自衛隊が加わる場面は、さらに限られる。国の機関や基幹インフラなどの重要なコンピューターが、国外にいる者による特に高度に組織的かつ計画的な攻撃を受け、自衛隊の特別な技術や情報が欠かせないときなどに、内閣総理大臣の命令で警察と共同して対処する。

企業の要請は、発動の条件に入っていない

最初の問いに戻る。民間の会社が要請すれば、国はすぐに攻撃者のサーバーを止められるのか。

警察官職務執行法が挙げる条件は、攻撃の通信などを認めたこと、放置すれば重大な危害が出るおそれがあること、緊急の必要があること、の3つだ。被害を受けた会社の要請は、条件に入っていない。措置をとるかどうかは、執行官と、その指揮にあたる警察庁長官などが判断し、原則として委員会の承認も要る。

NCOの2026年9月の資料によると、日本を狙う攻撃は、NCO・警察庁・防衛省などが常に情報を集めて分析・評価し、局長級の体制で対処の方法を検討する。資料は対処の例として、注意喚起、テイクダウン(犯罪に使われる基盤を止めること)、パブリック・アトリビューション(攻撃者を公に名指しすること)、アクセス・無害化措置を並べている。無害化だけが手段ではなく、9月18日には警察庁とNCOが米国・豪州・ドイツと合同で、北朝鮮を背景とするサイバー攻撃グループ「WaterPlum」(ウォータープラム)を名指しし、その手口を公表した。

熊谷代表もブログで、「能動的サイバー防御は、民間企業から言われて動くものではない。政府が主体的に決めるものだ」という指摘を挙げ、「この二つの法的な位置付けを深く理解した上で具申いたしました」と書いた。そのうえで、形式的な事業者の区分にとどまらず、国民生活への実質的な影響に照らして適用を検討してほしいと求めている。

なお、警察の措置の条件にある危害の対象は「人の生命、身体又は財産」で、基幹インフラには限られていない。対象が基幹インフラなどに絞られているのは、報告の義務と、自衛隊が加わる場面だ。

GMOの要請に、政府はどう応じたか

GMOの要請にどう応じたのか、措置をとったのかについて、10月26日夕方の時点で政府の公式な発表は出ていない。NCOの報道発表の一覧も、10月19日の出張報告が最新だ。

官房長官は26日午前の会見で、同日午後6時から首相官邸で「サイバーセキュリティに関する関係閣僚会議」を開くと発表した。事業者を狙ったサイバー攻撃で大規模な情報漏洩が相次ぎ、漏洩した情報を悪用した二次被害も起きているとして、関係省庁の連携を強める方策を含めた今後の対策を議論するという。首相官邸に掲載された冒頭発言のテキストは、GMOの件や能動的サイバー防御には触れていない。熊谷代表はブログで、政府関係機関やNCOが「分析や対応の検討を進めてくださっている」と書いたが、これはGMO側の説明である。

GMOインターネットは、攻撃者とみられる者からの金銭の要求には応じない方針で、通信記録などの証拠をすべて警察に提出し、刑事事件として捜査するよう求めている。

国の判断とは別に、利用者がいまできることもある。GMOは10月24日の第5報で、デスクトップクラウドで取引ツールを使っていた人に、FX取引に使っていない端末から口座と取引ツールのパスワードを変え、ログイン中の全セッションを切断するよう求めた。パスワードを変えても、証券会社やFX会社の仕様によっては接続がしばらく続き、第三者が取引できる場合があるためだ。

措置がとられたかは、後から件数で分かる

措置の後の知らせ方も、法律に書かれている。執行官は措置をとったら、危害の防止に支障がある場合などを除いて、遅滞なく、攻撃に使われたコンピューターの管理者に知らせる。政府の資料によると、攻撃者は身を隠すため、乗っ取った機器(踏み台)を何段も重ねて使う。知らせを受ける管理者が、攻撃者本人とは限らない。

サイバー通信情報監理委員会は毎年、無害化の承認の求めや承認の件数などを国会に報告し、その概要を公表する。攻撃のサーバーを見つけるための通信情報の利用が始まると、この国会報告には、通信情報の取得の承認の件数なども加わる。