企業を免責するCFAAの除外規定は、裁判で1度も試されていない
この覚書は、国境をまたぐサイバー犯罪と戦う上で重要な1歩である。ただし、覚書が拠り所とするCFAAの除外規定は、法廷で1度も争われたことがない。除外規定が参加企業を法的責任から守るのか、守るとすればどの範囲までなのかは、はっきりしないままだ。
CFAAも州のコンピューター犯罪法も、司法省や国土安全保障省との契約によって効力を失うわけではない。作戦で損害や損失を受けた者は今も民事訴訟を起こせるし、プログラムの参加企業を訴追しないという司法省の表明も、鉄壁の保証にはならない。
どこからが武力行使か、サイバー作戦をめぐる各国の合意はない
犯罪の取り締まりとしての作戦と、武力の行使とを分ける線は細い。サイバー作戦がどの時点で武力の行使や武力攻撃の水準に達するのか、各国が合意したことはない。民間企業の作戦が財産を壊し、あるいは大規模な損害を広い範囲へ及ぼした場合、他国はその作戦を武力攻撃と同等に扱うかもしれない。他国が武力攻撃とみなせば、アメリカは意図してすらいなかった民間の行為について法的責任を負いかねない。
攻撃を受けた側の犯罪組織や国家が、誰の仕業でどんな狙いなのかを正しく見分けられるとも限らない。作戦が誤って受け止められれば、アメリカにとってもプログラムの参加企業にとってもリスクになる。
作戦が想定を外れたとき、誰が損害の責任を負うのか
作戦を実行する社員は、さらに重いリスクを背負う。政府の職員が公務として訴追を免れる主権免除は、民間企業の社員には及ばない。損害は外国の領域内で起こりうる上、標的となる犯罪組織が、被害の生じた国と結びついていることも十分にありえる。
仮に外国政府がプログラムに基づく取り締まり作戦を武力紛争として扱えば、作戦を動かしている社員は国際法上の戦闘員に当たらず、捕虜としての扱いも、その他の保護も受けられない。外国のハッキング関連法に基づく報復や処罰を受ける恐れもある。
休暇先のイタリアで逮捕された中国人技術者と、同じ危険が待つ
ある中国人は、休暇でイタリアに滞在していたところを逮捕され、2026年4月にアメリカへ身柄を引き渡された。中国企業に雇われて、アメリカの大学や企業へ不正侵入したとされる件である。CE-TCOに立ち向かうアメリカの受託企業も、他国からは犯罪者とみなされる公算が大きい。受託企業で働く者は誰もが、国外へ出るたびに危険を抱えることになる。
病院や大学が巻き添えになったとき、覚書は責任の所在を示さない
犯罪組織のインフラは、乗っ取られたシステムの上で動いている。病院のサーバー、大学のネットワーク、中小企業のルーターが、そのまま犯罪の土台に組み込まれている。民間企業がこうした第三者へ巻き添えの損害を与えたときにどうなるのか、誰が責任を負うのかについて、覚書は何も述べていない。
参加自体が評判を傷つけるリスクになりうる上、企業は情報開示や保険をめぐる問題も抱える。正当に標的とした外国のシステムに、アメリカ人から盗まれたデータが入っていた場合にどうなるのか、被害を受けたアメリカの個人や企業がどんな権利を持つのかについても、覚書は何も定めていない。
参加条件と承認手続きは10月に確定、本当の試練は法廷で訪れる
参加企業が満たすべき条件や、作戦を承認するまでの手続きを定めた運用手順は、覚書の日付から60日以内、つまり2026年10月11日までに固まる。ここまでに挙げた疑問のいくつかには、その運用手順が答えを与えるだろう。だが本当の試練は、法廷か実務の現場で訪れる。アメリカ人をサイバー犯罪から救うプログラムになれば、官民連携の大きな成功例となる。ただしプログラムには、1つの企業がうっかり戦争を始めてしまわないよう、強固な歯止めが要る。
