要点
- 8月12日付の大統領覚書は、審査を経た米国の民間企業に対し、外国の犯罪組織に対する攻撃的なサイバー作戦の実施を許可するものである。ただし、すべての作戦については、司法省（DOJ）および国土安全保障省（DHS）の共同長官による書面による承認と、少なくとも100万ドルの保証金の供託が必要とされる。
- この覚書における「監視活動」および「影響工作」の定義には、産業用制御システムや組み込みプロセッサ、コントローラが明示的に挙げられており、OT のインフラは同プログラムの適用範囲に明確に組み込まれている。
- このプログラムは、国家ではなく犯罪組織を対象としている。
- 犯罪的な中継インフラに悪用された公開デバイスは、正当な妨害対象となり、この覚書の第5条(c)項では、機器が影響を受けた所有者に対して法的救済手段は設けられていない。
- この覚書における保護措置は、米国人および米国に所在するシステムにのみ適用されるため、海外の産業資産に対する保護は大幅に限定されることになり、資産の可視化とインターネットへの露出の是正が最優先の措置となる。
8月12日、ホワイトハウスは「国境を越えたサイバー犯罪との闘いに向けた能力の拡大」と題する国家安全保障大統領覚書（NSPM）を発表した。この覚書は、審査を経た米国の民間企業に対し、米国人を標的とする外国の犯罪組織に対して、監視および妨害活動を含む攻撃的なサイバー作戦を実施することを許可するものである。このプログラムは国家調整センターを通じて運営され、司法省と国土安全保障省からそれぞれ1名ずつ任命された共同事務局長が、実行に移す前にすべての作戦について書面による承認を行わなければならない。
連邦政府は、海外の犯罪組織に対して攻勢をかけるため、民間の警備会社と契約を結んでいる……これは、ランサムウェア集団や詐欺ネットワーク、そしてそれらを支える犯罪サービス経済を標的としたプログラムである。
これまでの報道の多くは、これをITセキュリティの問題、あるいは国家安全保障の問題、あるいは民間部門がようやく規制から解放されたという話題として扱ってきました。しかし、工場や変電所、処理施設の現場で日々業務に励んでいる私たちにとっては、これはもっと具体的な問題なのです。 定義の項を注意深く読めば、「サイバー効果作戦」と「サイバー監視作戦」の双方において、対象となるインフラの中に産業用制御システムや組み込みプロセッサ、コントローラが明示的に挙げられていることがわかるでしょう。
その表現は偶然の産物ではありません。それが何を意味するのかを理解しておく価値があります。
「サイバー攻撃に関する覚書」が実際に何をもたらすのか
専門用語を抜きにすれば、その仕組みは単純だ。 連邦政府は、海外の犯罪組織に対して攻勢をかけるため、民間の警備会社に委託を行っている。各社は独自に標的を選定するわけではない。同社が作戦案を提案し、連邦政府の2名の当局者が書面で承認した後、同社は少なくとも100万ドルの自己資金を拠出する。規則に違反した場合は、この資金は没収される。人の命を奪う恐れのある作戦は、一切禁止されている。米国人または米国内のシステムに関わる作戦については、法的審査が必要であり、該当する場合は司法当局の承認も求められる。
対象の定義は、その仕組みと同様に重要である。このプログラムは、メモで「サイバーを駆使した国境を越えた犯罪組織」と呼ばれるものを対象としており、これは外国政府の組織の一部ではない外国のグループと定義されている。国家主体のアクターは、明示的に対象外とされている。このプログラムは、ランサムウェア集団、詐欺ネットワーク、およびそれらを支える犯罪サービス経済を標的としている。
産業事業者にとって、それが適切な対策目標である。実際に生産を停止させるような事件の圧倒的多数は、スパイ活動ではなく、金銭的な動機によるものである。
重要インフラに対する脅威に関する公の議論は、この10年間、国家主体の脅威説が主流を占めてきた。しかし、施設内部の運用実態は異なり、両者の間にはますます隔たりが広がっている。重要インフラおよび運用技術（OT）環境から収集したテレメトリデータの一部によると、今年に入ってこのバランスが逆転しつつあることが示されている。 2026年1月には、国家によるものとされる活動の件数が犯罪活動の件数を5対1近く上回り、2月には7対1近くまで拡大した。3月は転換点となり、犯罪活動の割合が51.6％で初めて国家によるものとされる活動をわずかに上回った。その後、その傾向は逆転していない。 犯罪による攻撃の割合は、5月、6月、7月にかけて約3分の2まで上昇し、8月の最初の2週間には75.7％に達し、国家によるものとされる攻撃1件に対して犯罪によるものが3件以上という状況となった。特に製造業においては、ランサムウェアの検知件数が前年比で3桁の伸びを示している。連邦政府の動向も同様の傾向を示している。FBIの「2025年インターネット犯罪報告書」によると、米国の重要インフラに対するランサムウェア攻撃は2,100件以上に上り、16の重要インフラセクターすべてで攻撃が報告されており、中でも重要製造業が最も標的とされやすい分野の一つとなっています。報告されたサイバー犯罪による総被害額は209億ドルに達し、わずか1年で26％増加しました。報告内容は様々であり、その構成比も今後も変化し続けるでしょうが、その傾向に曖昧さは見られません。サイバー犯罪は消えることはありません。
この行政覚書は、問題のうち最も急速に拡大している半分の側面を対象としている。
バッグの中を手探りで探る
抑止力について考える人なら誰でも興味を持つはずの部分がここにあります。
産業施設を標的とした犯罪活動は、長年にわたりリスクの低い行為とされてきた。手持ちのリストから標的を選び出し、暗号化し、交渉を行うだけだ。想定しうる最悪の結末といえば、実際には執行されることのない起訴状が送達されるか、あるいはシステムが停止した後に新たなインフラを立ち上げるという手間がかかる程度だった。その経済的メリットは、ほぼ完全に一方通行であった。
この、海外の犯罪組織を標的としたプログラムは、袋の中身を変えるものだ。すべての標的に対してそうなるわけではなく、予測可能なものでもないが、それこそがまさにこのプログラムの要点である。 作戦を実行する組織は、今や、自分たちが介入しようとしている環境が、自分たちのインフラを解体し得るプログラムと結びついている可能性を、リスクとして織り込まなければならない。かつては宝物が入っていた袋が、今ではヤマアラシやヘビが入っているかもしれないのだ。ほとんどの場合、そうではないだろう。この不確実性こそが抑止力であり、不確実性を生み出すコストは安いが、それを無視する代償は大きい。
その抑止力が現実のものとなるかどうかは、実行次第であり、その実行の成否は今後60日間で決まることになる。覚書では、8月12日から60日以内に同プログラムの運用手順を策定することが求められている。このプログラムが有意義な能力となるか、それとも善意に満ちた文書にとどまるかは、覚書そのものではなく、その運用手順によって決まるのである。
機器が徴用された場合、民間業者がそれを撤去することができます
さて、ここからは資産保有者にとって安心材料というよりは、むしろ懸念すべき点についてです。
犯罪ネットワークは、そのインフラの大部分を自ら構築しているわけではない。借り受けているのだ。 インターネットに接続された産業用機器、リモートアクセスアプライアンス、無人拠点の携帯電話ゲートウェイ、カメラ、そして稼働開始以来誰も目を通したことのない数多くの組み込みデバイス――これらすべてが、中継チェーンやステージングサーバー、プロキシネットワークにひっそりと徴用されてしまう。所有者はそのことに気づいていないことがよくある。多くの場合、所有者はそのデバイスがインターネットからアクセス可能であることすら知らない。なぜなら、そこに何があるかの完全な目録がこれまで一度も作成されたことがないからだ。
CE-TCOプログラムの下では、その借用されたインフラは、妨害行為の正当な標的となる。
それが実際にはどういう意味を持つのか考えてみてください。デフォルトの認証情報のまま、あるいは認証情報がない状態でデバイスを無防備に放置している組織は、以前から常にリスクを負っていましたが、かつてのリスクは犯罪者に悪用されることでした。新たなリスクは、誰かがやってきてそのデバイスを停止させてしまうことです。所有者は、自覚できるような形で侵害されたことは一度もないかもしれません。デバイスが応答しなくなったり、そのデバイスに依存していたプロセスが正常に動作しなくなったりして初めて、その事実に気づくことになるでしょう。
次の2つの点が、そのリスクを著しく高めています：
- この覚書で定められた保護措置は、米国人および米国に所在するシステムを対象として策定されています。欧州、ラテンアメリカ、またはアジアに施設を保有する産業事業者は、これらの拠点にあるリスクにさらされている資産について、保護の範囲が著しく狭くなります。
- これは、多くの読者が読み飛ばしてしまう一節だろう。第5条(c)項には、この覚書によって、いかなる当事者も米国に対して法的に強制力のある権利や利益を主張することはできないと明記されている。この文書には、作戦に巻き込まれてしまった機器の所有者が利用できる救済措置は一切盛り込まれていない。
率直に言えば、現実的な意味はこうだ。露出したインフラを自力で修正しなければ、いずれ誰かが修正することになり、その方法や時期について、あなたには一切の発言権がなくなる。
すべては正確な出典明記にかかっている
もう1つ、言及しておく価値のあるリスクがあります。というのも、これは運用手順書を作成する者にとって、実際に考慮すべき設計上の課題だからです。
あらゆる攻撃的対応の枠組みは、攻撃の帰属が正確であることを前提としている。しかし、攻撃の帰属は偽造可能である。インフラはレンタルでき、ツールは借用でき、言語上の痕跡は仕組むことができる。この覚書に盛り込まれた安全措置――人命の損失を招く作戦の禁止や米国人の保護など――はすべて、標的が正しく特定されていることを前提としている。また、この覚書は、その反対を立証する明確な情報がない限り、当該集団を非国家主体であると推定しており、これにより標的の範囲が真に曖昧な領域にまで拡大されてしまう。
この失敗のパターンは決して仮定上の話ではない。このような枠組みの下では、高度な攻撃者にとって最も効率的な戦略は、もはや標的を直接攻撃することではなく、他者に代わってその標的を攻撃させることとなる。これは、実際に解決を迫られる前に、理論上で解決しておく価値のある問題である。
産業分野の事業者が今後30日間に行うべきこと
TCO犯罪者対策のための新プログラムには、OT の防御に関する基本原則を変えるような内容は一切含まれていません。ただし、いくつかの具体的な項目については、その緊急性が変化しています。
- 誰よりも先に、インターネットに公開されているOT を見つけ出しましょう。外部のIP範囲をShodanや同等のサービスでスキャンしてみてください。 特に、Modbus TCP（502）、DNP3（20000）、EtherNet/IP（44818）、およびポート80と443で動作するWebベースのHMIを探してください。外部からアクセス可能な状態で、かつその必要がないものはすべて、多要素認証（MFA）とIP許可リストを設定したDMZの背後に配置するか、インターネットから完全に切り離してください。
- これまで先送りしてきた資産台帳の作成に取り組みましょう。自分が所有していることさえ把握していない資産について、その正当性を主張したり、説明したり、説明責任を果たしたりすることはできません。これはもはや単なるコンプライアンス上の作業ではありません。自社の設備を自ら管理するか、それとも他者にその行方を決めさせるか、その違いがここにあるのです。
- アクセス可能なすべてのシステムにおいて、認証情報を定期的に更新してください。過去3年間に公に報告された産業分野への侵入事例のほぼすべてにおいて、デフォルトの認証情報や再利用された認証情報が、侵入を可能にする主な要因となっています。この傾向が変わらないのは、その根底にある慣行が変わっていないからです。
- 自社からの通信トラフィックを注意深く監視してください。犯罪インフラに悪用されたデバイスは、そうでないデバイスとは異なる動作を示します。通常であれば通信する理由のない宛先と通信を試みます。通常の通信パターンを基準として設定し、逸脱を検知することで、自社の機器が他者の手先として利用されていることを、それが他者の標的となる前に発見することができます。
- 米国以外の拠点に対しても、同様の精査を行ってください。本覚書に定められた保護措置は国境で終わりますが、皆様の事業活動は国境にとどまるものではありません。
最高のサイバー防衛は「ヤマアラシ戦略」だ
攻撃作戦は政府の影響力を拡大する。しかし、あなたの影響力を拡大するわけではない。
「ヤマアラシ戦略」と呼ばれることもある防衛戦略がある。それは、敵の攻撃能力に匹敵しようとするのではなく、攻撃するコストを十分に高く設定し、攻撃を試みる価値がなくなるようにすることである。これがヤマアラシの防御方法であり、ほぼすべての産業事業者が採用すべき姿勢である。本覚書は、この考え方を変えるものではない。連邦政府の攻撃能力と資産レベルの防衛能力は、互いに補完し合うものであり、代替し合うものではない。
接触するまで捕食者の存在に気づけないヤマアラシは、単なる齧歯類に過ぎない。プラントにおける抑止策は、周囲の環境に何があるか、それが何と通信しているか、そして何が変化したかを把握することから始まる。
Nozomi Networks OT およびIoT によるパッシブな資産検出、継続的な異常検知、ならびに threat intelligence 重要インフラ環境向けに特別に設計されています。ネットワーク上に何が存在し、実際にどの部分にリスクが存在するのかを理解するためのサポートが必要な場合は、デモをご依頼いただくか、直接お問い合わせください。
.webp)
