「民間企業にハッキングを許可」という形で流れていきそうなニュースですが、覚書の本文を読むと、分量の大半は企業がどこで止まるかを決める条項に費やされています。日本の能動的サイバー防御が10月に本格施行されるこのタイミングで、官と民の線引きが太平洋の両側で同時に引き直されています。
ドナルド・トランプ米大統領は2026年8月12日、民間企業を政府主導のサイバー作戦に参加させる大統領覚書に署名した。対象は米国の利益にサイバー関連犯罪を仕掛ける外国の犯罪組織（CE-TCO）で、国家調整センター（NCC）がプログラムを創設・管理する。
監督は司法省と国土安全保障省が指名する共同エグゼクティブディレクター2名が担い、参加企業は両省のいずれかと契約を結び、技術・保安・人員の審査を受ける。100万ドル以上の保証金またはエスクローを課すことができ、違反時は没収される。作戦パッケージには行動前の書面承認が必要で、死亡・重傷や国際法上の武力行使に至るCritical Outcomesは同ディレクターの権限では承認できない。
運用手順は60日以内に策定し、180日以内に第1回報告書を提出する。
From: 
Expanding Capabilities to Combat Transnational Cyber-Enabled Crime – The White House
【編集部解説】
見出しだけを追うと、この覚書は「民間企業に外国犯罪組織へのハッキングを認めるもの」に見えます。実際、そう読まれる余地のある言葉が並んでいます。検知されない意図をもった侵入、許可のないアクセス、操作、妨害、破壊。
ただ、本文を最後まで読むと印象はかなり変わります。この覚書の分量の大半は、企業に何を許すかではなく、企業がどこで止まるかを決める条項に費やされています。
まず、作戦は企業の判断では始まりません。すべての作戦パッケージについて、司法省と国土安全保障省がそれぞれ指名する共同エグゼクティブディレクターが審査し、行動の前に書面で承認と指示を出します。2人は互いに調整したうえでなければ承認できず、そして死亡や重傷、国際法上の武力行使や武力攻撃に相当する結果を生むおそれのある作戦は、そもそも2人の権限の外に置かれています。
米国人や米国内のシステムに触れる可能性がある場合は、承認の前に司法省のレビューと、必要であれば司法上の許可を取ることが求められます。作戦の途中で想定外の対象に触れてしまったと気づいた企業は、作戦を止め、集めたデータを最小化し、ただちにNCCへ通報しなければなりません。NCCはそれを司法省へ上げます。
参加のハードルも低くありません。司法省または国土安全保障省との契約、技術・施設保安・人員の審査、契約関係の全面開示。そして100万ドル（約1億6000万円。1ドル＝159円換算、8月12日時点のレート）以上の保証金またはエスクローを積ませることができ、契約に違反すれば没収されます。
つまりこれは、民間の自力救済、いわゆるハックバックを解禁する制度ではありません。政府の権限のもとで、政府のために動く請負の枠組みです。覚書自身も、参加企業が従来どおり行える適法な防御活動と、このプログラムでの活動は別物であり、後者は米国政府の監督・作戦統制・法的権限に服する、とわざわざ書き分けています。
3月に方向が示され、8月に実装が降りてきた
運営主体に指名されたNCCは、この覚書のために新設された組織ではありません。おおもとは2025年1月20日の大統領令14159第6条(d)で、司法長官と国土安全保障長官に対し、各州に置く国土安全保障タスクフォース（HSTF）の活動を調整し、監督上の指示を与える作戦指揮センターを設けるよう命じたものです。HSTFには連邦機関に加えて州・地方の法執行機関も参加し、その任務にはもともと越境犯罪組織の排除が含まれていました。
そのNCCの内側にサイバー犯罪対策の作戦セルを置くよう指示したのが、今年3月の大統領令14390です。そこには、適切な範囲で民間部門を関与させることを含む、と明記されていました。続く条項は、商業セキュリティ企業などが持つ技術的能力、脅威インテリジェンス、作戦上の知見を、帰属の特定と犯罪インフラの追跡・無害化に活用するよう求めています。
つまり今回の覚書は、突然現れたものではありません。3月に方向が示され、8月にその実装の枠組みが降りてきた、という順序です。60日以内に策定される運用手順が、この5か月の設計をどこまで具体的な手続きに落とせるかが、次の焦点になります。
民間に開いたのは、攻撃ではなく経路
企業にとっての実質的な変化は、攻撃できるようになることよりも、これまで行き止まりだった情報に出口ができることのほうにあります。
覚書は、参加企業が他の民間事業者と商業契約を結び、その事業者が通常業務のなかで集めた脅威情報を受け取って、それをもとにNCCへ作戦を提案できると定めています。連邦・州・地方・部族・準州の各機関とも、同様の契約を結ぶことができます。
セキュリティ企業やクラウド事業者は、業務のなかで犯罪インフラの姿を日常的に観測しています。C2サーバの所在、詐欺サイトの登録パターン、資金の流れ。これまでその多くは、レポートとして公開するか、当局に共有して結果を待つかしか行き先がありませんでした。覚書はそこに、政府の統制下で無害化を提案するという第三の経路を置こうとしています。
もう一つ、見落とされやすい一文があります。運用手順は、大企業だけでなく「専門的または限定的な任務により適した、小規模で機動的な企業」も参加できる適格基準にしなければならない、と明記されているのです。大手ベンダーの寡占にはしない、という意思表示だと読めます。ただし参加資格は米国の民間企業に限られており、日本の企業が直接この枠に入る道は、現時点の文面には書かれていません。
208億ドルという数字の、その先
ファクトシートは、2025年のサイバー関連犯罪の被害額を208億ドル（約3兆3200億円）と示しています。FBIのIC3が2026年4月に公表した年次報告の数字で、苦情件数は100万8597件、被害額は前年から26%増えました。IC3には200を超える国・地域から苦情が寄せられており、このうち約16億ドルは米国外からの申告にあたります。
ただし、これはあくまで申告された金額です。Stop Scams AllianceとGallupが2026年1月から2月にかけて米国成人5173人に行った全国調査では、調査で把握した2025年の詐欺のうち、銀行や金融機関に報告されたものが55%、決済アプリが25%だった一方、FTCまたは連邦法執行機関に直接報告されたのは13%でした。もっとも、州の機関などを経由して連邦のデータ基盤に共有される分もあるため、残る87%がそのまま統計から抜け落ちるという意味ではありません。なお、Gallupの言う詐欺は本人がだまされて金銭を失ったケースを指し、IC3の集計対象とも異なります。
この数字が示すのは、被害の実像が連邦当局への直接申告だけでは捉えきれない、ということです。一方で今回の覚書は、民間事業者が通常業務で集めた脅威情報を参加企業が受け取り、NCCへの作戦提案に使える仕組みを明記しました。Gallupが測っているのは被害の申告経路であって、犯罪インフラの観測そのものではありません。それでも、政府だけでは持ちにくい情報を民間から取り込むという制度設計とは、方向が重なります。
なお、被害の広がりを示す数字として、ファクトシートは米国成人の73%が何らかのオンライン詐欺や攻撃を経験したというPew Research Centerの調査と、98%が詐欺を脅威と認識し3分の2が深刻な脅威と答えた先のGallup調査を並べています。前者は2025年4月、後者は2026年1月から2月にかけての調査で、主体も時期も異なります。地続きの結果として読まないほうがよい部分です。
日本は、同じ問いに別の答えを出した
日本でも、サイバー対処能力強化法が段階的に施行されています。委員会の設置などはすでに動いており、攻撃に使われているサーバへ侵入して機能を止める、いわゆる無害化措置を含む主要な制度は、2026年10月1日に本格施行されます。その手を動かすのは警察と自衛隊であり、民間企業に実行の役割は与えられていません。通信情報の利用と無害化措置には、2026年4月1日に発足したサイバー通信情報監理委員会の事前承認が必要です。
米国は民間を作戦の内側に入れ、日本は執行を公的機関に限った。方向は逆に見えますが、両者には共通する構造があります。実行の前に、必ず承認と審査を通すという設計です。
ただし、その関門の性質は同じではありません。米国側は司法省と国土安全保障省の共同ディレクターによる事前承認と司法省のレビューで、いずれも行政府の内側にあります。日本側のサイバー通信情報監理委員会は、委員長と委員が独立して職権を行使すると法律に定められた第三者機関です。共通しているのは事前に通す関門を置いたことであり、その独立性まで同じではありません。
違いは、どこまでを政府の仕事と定義するかにもあります。日本の制度は官民連携を情報共有の側に置き、実力行使は国が担う。米国は実力行使の実務まで民間に開き、その代わりに承認と契約と保証金で縛る。どちらが正しいという話ではなく、自国の産業構造と法体系に合わせて、官と民の境界線を引き直す作業が同時に進んでいると見るのが実態に近いはずです。
日本のセキュリティ企業が米国のプログラムに直接参加する道は、現時点では開かれていません。それでも、米国企業がどんな審査を通り、どんな報告義務を負い、どこで作戦を止めるのかという実務の蓄積は、今後の日本の制度議論に確実に流れ込んできます。
見るべきは、これから出てくる文書
覚書は2つの期限を切りました。60日以内に運用手順、180日以内に第1回の報告書。手順の策定は国土安全保障会議と共同で行われ、報告書の提出先は、政策担当の大統領次席補佐官と国土安全保障担当補佐官を兼ねる大統領補佐官、および国家サイバー長官です。
作戦のワークフローと標的の判定枠組みは機密附属書に置かれるため、その全容が外から見えることはないでしょう。それでも、参加企業の適格基準、報告義務の範囲、年1回の継続審査で何が問われるのかは、制度の質を測る材料として公開されうる部分です。
攻撃側は、とうに国境も業界の境目も越えて動いています。それを追う側が、政府と民間のあいだに引かれた線をどう引き直すか。今回の覚書はその問いに対する米国のひとつの答えであり、60日後と180日後に出てくる文書が、答えの精度を示すことになります。
【関連記事】
1VPNSにOFAC制裁 ─ ランサムウェアを支えたVPN事業者を、米財務省が初摘発
米財務省がVPN事業者を初めて摘発した事案の記事。本覚書の前提にあたる大統領令14390の位置づけを解説した。
能動的サイバー防御、2026年10月施行へ—警察・自衛隊に限定的な無害化措置権限
日本の能動的サイバー防御についての制度解説記事。無害化措置を実施する主体が警察と自衛隊に限られる点を整理した。
【解説】国家情報局が発足、730人体制の司令塔は「AI時代の影響工作」に届くのか
730人体制で発足した日本の国家情報局を扱った解説記事。能動的サイバー防御との関係と、法的な論点を丁寧に整理した。
【編集部後記】
60日、180日。覚書が切った2つの期限を書き写しながら、自分が一番知りたいのは参加企業の名前ではないな、と気づきました。知りたいのは、止まった作戦の数のほうです。
承認されて動いた件数は、いずれ何らかの形で語られるでしょう。けれど、共同ディレクターが承認しなかった案件や、企業が途中で手を引いた案件がどれだけあったか。止めた回数を数えられる制度かどうかに、その健全さは出るように思います。
【用語解説】
大統領覚書（Presidential Memorandum）
大統領が行政各部に指示を出す文書。大統領令と同様に執行権に基づくが、連邦官報への掲載義務や通し番号の付与が必須ではない点が異なる。本件はホワイトハウスの分類上「Presidential Memoranda」だが、同日のファクトシートでは「国家安全保障大統領覚書（NSPM）」と呼ばれている。
CE-TCO（サイバー関連越境犯罪組織）
米国政府・米国人・米国の利益に対してサイバー関連犯罪を行う外国の集団を指す覚書上の定義。外国政府の組織の一部である集団、および外国政府の指揮下で全面的に運用される集団は対象から外れる。ただし政府から部分的な支援や黙認を受けている集団まで一律に外れるとは読めない。
Critical Outcomes（重大な結果）
死亡もしくは重傷をもたらす蓋然性がある行動、または国際法上の武力行使・武力攻撃の水準に達する行動を指す。これらを生じる作戦は、プログラムの共同エグゼクティブディレクターの承認権限の外に置かれている。
NCC（国家調整センター）
本プログラムを創設・管理・維持する組織。大統領令14159第6条(d)に基づいて設けられた作戦指揮センターを起点とし、大統領令14390によってサイバー犯罪対策の作戦セルが内部に置かれた。
HSTF（国土安全保障タスクフォース）
大統領令14159が全州に設置を命じた省庁横断の枠組み。連邦機関に加えて州・地方の法執行機関も参加する。その任務にはもともと犯罪カルテル、外国のギャング、越境犯罪組織への対処が含まれている。NCCはこのHSTFの活動を調整し、監督上の指示を与える立場にある。
大統領令14159
2025年1月20日署名。「Protecting the American People Against Invasion」。移民法の執行を主題とする大統領令で、第6条(d)がNCCの根拠となる作戦指揮センターの設置を定めた。
大統領令14390
2026年3月6日署名。「Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens」。NCC内にサイバー犯罪対策の作戦セルを置くよう指示し、そこに適切な範囲で民間部門を関与させることを含むと明記した。今回の覚書はこの延長線上にある。
共同エグゼクティブディレクター
司法長官が指名する司法省の1名と、国土安全保障長官が指名する国土安全保障省の1名。相互に調整したうえで、それぞれの省が実施する作戦を承認する権限を委任される。すべての作戦パッケージに対し、行動前に書面で承認と指示を出す。
エスクロー
第三者に金銭を預託し、契約条件が満たされるまで保持させる仕組み。本プログラムでは、参加企業に100万ドル以上の保証金またはエスクローを課すことができ、契約違反時には没収される。
C2サーバ（Command and Control サーバ）
攻撃者がマルウェアに感染した端末へ指令を送り、盗んだデータを受け取るために運用するサーバ。犯罪インフラの中枢にあたり、その所在特定は無害化の起点になる。
機密附属書（classified annex）
覚書に付属する非公開文書。作戦のワークフロー、省庁間のデコンフリクション、標的の判定枠組みはこの附属書に従って設計される。
無害化措置
サイバー攻撃に使われているサーバ等にアクセスし、その機能を停止させる措置。日本のサイバー対処能力強化法では、実施主体は警察および自衛隊とされている。
サイバー通信情報監理委員会
2026年4月1日に発足した日本の第三者機関。通信情報の利用と無害化措置について事前の承認を担う。委員長と委員は独立して職権を行使すると法律に定められている。
IC3（インターネット犯罪苦情センター）
FBIが運営するサイバー犯罪の申告受付窓口。年次報告を公表しており、2025年版は苦情件数100万8597件、申告損失208.77億ドルを記録した。200を超える国・地域から苦情を受け付けている。
国家サイバー長官（National Cyber Director）
大統領府に置かれ、連邦全体のサイバーセキュリティ政策を統括する役職。本プログラムの年次報告書の提出先の一つ。
【参考リンク】
Fact Sheet: President Donald J. Trump Expands Capabilities to Combat Transnational Cyber-Enabled Crime（外部）
覚書と同日に公開された政権側の概要資料。被害の統計と、これまで進めてきた関連する施策が時系列で整理されている。
Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens（外部）
本覚書が拡張する2026年3月の大統領令。NCCの内側にサイバー犯罪対策の作戦セルを置き、民間部門の関与を求めた。
Protecting The American People Against Invasion（外部）
NCCの根拠となった2025年1月の大統領令。第6条(d)がHSTFを束ねる作戦指揮センターの設置を定めている。
Internet Crime Complaint Center (IC3)（外部）
FBIのインターネット犯罪苦情センター。年次報告の公開と、サイバー犯罪の被害申告を受け付ける窓口を担っている。
Federal Trade Commission（外部）
米連邦取引委員会。Consumer Sentinel Networkを通じて詐欺被害の申告データを集約している。
国家サイバー統括室（外部）
国家サイバー統括室（NCO）の公式サイト。サイバーセキュリティ戦略や各種制度の資料、注意喚起などを公開している。
内閣官房 サイバー安全保障に関する取組（外部）
サイバー対処能力強化法と同整備法の条文や提言、有識者会議の資料をまとめた内閣官房のページである。
【参考記事】
2025 IC3 Annual Report（外部）
FBIが2026年4月に公表した年次報告。苦情100万8597件、申告損失208.77億ドル、前年比26%増。
United States of Scams: The Financial and Emotional Fallout（外部）
Stop Scams AllianceとGallupが2026年6月に公表。成人5173人を対象に詐欺の申告先を調べた。
Online Scams and Attacks in America Today（外部）
Pew Research Centerが2025年7月に公表。成人9397人の73%がオンライン詐欺や攻撃を経験した。
Cybercrime losses jumped 26% to $20.9 billion in 2025（外部）
CyberScoopによるIC3年次報告の解説記事。米国外からの申告に伴う損失が約16億ドルにのぼる点を指摘した。
Trump Signs Memo Authorizing Private Firms for Cyber Operations Against Foreign Criminals（外部）
Cyber Security Newsによる覚書の速報。企業が集めた脅威データの共有経路が制度化されうると論じている。
