トランプ政権、民間ハッカーにお墨付き　サイバー攻撃を外注する米政府

まず100万ドルを払わなければ、他人のコンピューターシステムを攻撃する資格すら得られない――これがこの覚書の中で最も具体的な一文だ。トランプ米大統領は、民間企業が連邦政府に代わって「国際犯罪組織」に対するサイバー攻撃を行うことを認める新たな国家安全保障大統領覚書に署名した。ホワイトハウスの説明によれば、これは「民間セクターの能力とイノベーション」を借りて、ランサムウェア、性的脅迫、金融詐欺、フィッシング攻撃に対抗するためだという。

これまで、《コンピューター詐欺および濫用防止法》（CFAA）が、ハッキングや無許可でのコンピューターアクセスを違法とする米国の主な法的根拠であり、この法律は企業にも個人にも等しく適用されてきた。2022年、司法省はセキュリティ研究目的のホワイトハットハッキング行為については起訴しない方針を表明していたが、今回の覚書は司法省の「起訴を見送る選択肢」の範囲を大幅に拡大し、研究目的から実際の攻撃行動にまで広げてしまった。

詳細は現時点でほぼ白紙のままだ。覚書は、国土安全保障省の専門タスクフォースに対し、今後60日以内に参加企業を審査する基準と、攻撃行動の実際の実施手順を策定するよう求めている。現時点で判明している具体的な条件はただ一つ――参加を希望する企業は100万ドルの保証金を納めなければならず、政府の指示に従わなかった場合、この保証金は没収される。

この覚書は米国内における法的保護と明確な金銭的インセンティブを企業に与えているが、一つの問題には触れていない。もしこれらの企業やその従業員が、攻撃行動を理由に、攻撃対象のコンピューターが所在する外国で起訴された場合、米政府はどう対応するつもりなのか。この覚書は、ミネソタ州とミシガン州で相次いで発生した水道施設へのサイバー攻撃事件――事後にイランとの関連が指摘された事件――を受けて署名されたものだ。米国自身もこれまで幾度となく外国人ハッカーを起訴してきた実績がある。つまり、この契約を請け負う米企業は今後、自国が他国に対して常用してきたのと同じ筋書きを、今度は別の国から自分たちに対して仕掛けられる立場になるかもしれないのだ。