担保100万ドルで反撃を請け負う 米政府が民間企業に開くサイバー攻撃

3行まとめ

• 米政府が民間企業に海外の犯罪集団への反撃を許可する
• 司法省と国土安全保障省が監督し、担保100万ドル以上が条件
• 攻撃元の特定が難しく、無関係な機器を巻き込む懸念が出ている

何が起きたか

トランプ政権が、民間企業に海外のサイバー犯罪集団を攻撃させる新しい制度を始めます。水曜日に公表された大統領覚書大統領覚書大統領が政府機関に方針や指示を示す公式文書。に書かれていました。Bloomberg が先に報じています。

企業は連邦政府の「管理と監督のもと」で動き、犯罪ネットワークの監視と妨害を認められます。監督するのは司法省と国土安全保障省です。参加には技術力、サイバー作戦の実績、施設のセキュリティなどの要件があります。

さらに100万ドル以上の保証金または預託金を積む必要があります。契約に違反すれば没収されます。

攻撃してよい相手も限定されます。外国政府の一部でもなく、外国政府の指示で全面的に動いてもいない集団だけです。

なぜ難しい・何がすごいか

これまでサイバー作戦は政府が自前でやる仕事でした。米政府は第三者に頼らず、自分で実施してきました。今回はそこに民間の実行部隊が入ります。

覚書は民間企業を、犯罪ネットワークと戦ううえで「十分に活用されていない」戦力だと書いています。

米国の政策は、民間部門の革新的な能力を含むあらゆる国力の手段を用いて、サイバー犯罪と戦うことである

難所は相手の見分けです。どの犯罪集団が外国政府とつながっているかの判定は難しい、と Cybersecurity Dive が指摘しています。

判定を誤れば、セキュリティ企業が地政学的・法的な衝突の火種になりかねません。ここが制度の急所です。

たとえ話

町の防犯に置き換えてみます。犯人を追いかけて取り押さえるのは、これまで警察の仕事でした。今回の制度は、装備と実績を認められた警備会社にも国外での追跡を任せる形に近いものです。

ただし追跡の先にある家は、犯人が勝手に入り込んだ他人の家かもしれません。踏み込めば、その家の住人が損害を受けます。

用語ミニ辞典

• ハックバック: 攻撃を受けた側が、攻撃してきた相手に反撃するサイバー作戦のこと。
• 大統領覚書: 大統領が政府機関に方針や指示を示す公式文書。
• 保証金・預託金: 契約を守らせるために事前に預けるお金。違反すると没収される。
• アトリビューション: その攻撃が誰の仕業かを特定すること。今回は相手が政府系かどうかの判定にあたる。

技術者向けの深掘り

制度の弱点は経路のトレースです。Huntress のベン・バーンスタイン氏は、攻撃元の見え方を問題にしています。

攻撃者はラベルの付いたモスクワのサーバーからは攻撃しません。侵害された無関係なインフラを経由します。オハイオの歯科医院にある脆弱なルーターや、病院のネットワークが例に挙がりました。

巻き込みなしの反撃は事実上不可能だ、というのが同氏の見立てです。

法的な立ち位置も定まっていません。コロンビア大学のサイバー紛争研究者ジェイソン・ヒーリー氏は、実行者が相当な個人的法的リスクを負うと述べています。

Hunter Strategy のジェイク・ウィリアムズ氏の懸念は別の角度です。参加した米国人が海外渡航中に、制服を着ない戦闘員と分類されうるという指摘でした。

これは自分に関係ある？

• 一般の読者: 制度そのものは米国の話です。ただし経由地にされるインフラは国境をまたぐため、話は米国内では閉じません。
• エンジニア・情シス: 攻撃の踏み台にされた機器は、攻撃者以外の手が及ぶ対象にもなりうる、というのが専門家の懸念点です。
• セキュリティ事業者: 参加の門は技術力・実績・施設のセキュリティと保証金です。同時に、実行者個人が負う法的リスクが未整理だと指摘されています。