「能動的サイバー防御の初適用を要請」。見出しだけ読むと、国の大きな装置がもう動き始めたように見えます。実際に確認できるのは、GMOが政府へ「動いてほしい」と求めたところまでです。

政府は、その要請と証拠を材料に重大性や緊急性を判断します。独立した審査や国外向けの手続きを通り、条件がそろって初めて警察などの実行へ進む。ボタン一つで一直線には進みません。このニュースの本題は、発動したかという推測より、発動までの鍵を誰が持っているかです。

GMOが適用要請の能動的サイバー防御、発動は「政府として判断」 | 毎日新聞
GMOが適用要請の能動的サイバー防御、発動は「政府として判断」 | 毎日新聞

GMOインターネットグループが政府に「能動的サイバー防御」の適用を緊急要請したことを受け、政府は発動の要件を満たすかどうかを主体的に判断する方針だ。個別企業の要請による発動は想定していないが、資産や個人情報の流出が広範な被害を招く恐れを含め、事案の重要性や緊急性を慎重に見極めるとみられる。

今回の登場人物 ​

GMOインターネットは、今回の被害を公表し、政府へアクセス・無害化措置を求めた会社です。要請する側であって、国の措置を発動する側ではありません。

お名前.com Desktop Cloudは、顧客がネット越しにWindows環境を使うサービスです。「お名前.com」につられてドメイン登録の話だと思いやすいのですが、今回は遠隔のパソコン環境が舞台です。

アクセス・無害化措置は、法定の条件を満たす場合に、国の機関が攻撃に使われるサーバーなどへアクセスし、危害を止める仕組みです。被害企業が相手へ殴り返す「ハックバック」ではありません。

警察が基本的な実行役です。自衛隊は、高度な攻撃や安全保障上の特別な必要性など、より限られた条件で関わります。

サイバー通信情報監理委員会は、措置が法律の範囲内かを独立した立場で審査・監督する機関です。作戦司令部というより、法のコースからはみ出していないかを見る検査役ですね。

**国家サイバー統括室（NCO）**は、国家安全保障局と連携し、警察と自衛隊の役割分担を総合調整します。関係省庁を束ねて対処方針を調整するのは国家安全保障局です。国外のサーバーが対象になる場合は、外務大臣との事前協議も入ります。

何が起きたか ​

毎日新聞は10月25日、GMOによる能動的サイバー防御の適用要請について、発動要件は政府が判断すると報じました。政府側は、個別企業の要請の有無より、事案の重要性や緊急性を見て判断する制度だと説明しています。

GMOの公表によると、発端は10月19日の顧客からの問い合わせでした。翌20日、同社は一部の顧客用サーバー環境に悪意あるプログラムが設置されていることを確認。21日午前4時に全プランのサーバーを停止し、最初の発表を出しました。この段階では、情報流出や悪用を確認していないとしていました。

22日の第2報では、顧客から証券口座などの身に覚えのない操作が報告され、サーバーに保存された認証情報が取得・悪用された可能性があると説明しました。影響を受けた可能性のあるサーバーは2万6739台。これは調査対象となる可能性の母数で、2万6739台すべての侵害が確認された、という数字ではありません。

24日、GMOはセキュリティ上の問題、不正アクセス、顧客情報の外部持ち出しを確認したと発表しました。同時に、警察へログなどを提出して捜査を要請し、政府にはアクセス・無害化措置の初適用を求めました。

同社は、攻撃者と思われる人物から金銭を要求され、国内外70社を超える証券・FX会社の口座へ不正操作を続けるなどと脅された、とも公表しています。この70社超は、GMOが受けたとする脅迫の内容で、確認済みの被害社数ではありません。

要請の次にある判断 ​

GMOの要請は、危険を知らせる火災報知器に近いものです。何が起き、どんな証拠があり、どれほど急ぐのかを政府へ知らせる。大事な合図ですが、消防車の出動条件や行き先まで報知器が決めるわけではありません。

GMOの熊谷正寿代表も、自社が法律上の「特定社会基盤事業者」に指定されておらず、発動判断は政府にあると説明しています。そのうえで、証券・FX口座などへの影響の大きさを理由に、政府へ要請したという立場です。

制度の正式な土台は、2025年に成立した「重要電子計算機に対する不正な行為による被害の防止に関する法律」と関連法です。「能動的サイバー防御法」はニュースで使われる通称で、アクセス・無害化はその政策を構成する措置の一つです。正式名は漢字がぎゅうぎゅうですが、ここで押さえるのは、国が攻撃基盤を止める権限だという一点です。

2026年10月1日に施行されたのは、官民連携の強化とアクセス・無害化措置に関する規定です。通信情報を利用する規定は、遅くとも2027年11月までの施行予定です。10月1日に動き始めたのは、三つの柱のうち二つでした。

政府は、対象となる通信やサーバー、放置した場合に生命・身体・財産へ重大な危害が生じるおそれ、緊急に措置する必要性などを見ます。GMOが深刻だと訴えることと、法律の要件を満たすという政府判断の間には、調査と手続きがあります。

警察と自衛隊 ​

アクセス・無害化措置の基本的な実施主体は警察です。警察庁長官が指定する「サイバー危害防止措置執行官」が、管理者らへ必要な措置を命じたり、自ら措置を行ったりします。誰か腕の立つ警察官が思い立ってログイン、という仕組みではありません。担当者も条件も法律で絞られています。

自衛隊が関わるのは、さらに限られた場面です。本邦外にある者による、特に高度に組織的かつ計画的な攻撃で、一定の重要なコンピューターを守るために自衛隊の特別な技術や情報が不可欠な場合、首相の命令など所定の手続きを経て通信防護措置を行います。警察と共同で動く場合もあります。

サーバーが海外にありそうだ、という一事だけでは、自衛隊が関与する条件を満たしません。攻撃が高度に見える、大企業が困っている、といった一条件でも足りません。警察と自衛隊は、呼ばれる条件から違います。

今回のGMO案件で、攻撃者の身元、国籍、国家との関係は公表資料から確認できません。国外のサーバーが具体的に特定されたとも発表されていません。この空欄を想像で埋めると、制度の読み方まで間違えます。分からないところは、分からないまま置いておくのが正解です。

国外へ伸びる前の手続き ​

国の機関がサーバーへアクセスする権限は強力です。対象を誤れば、被害を受けて踏み台にされていた第三者の機械へ手を出すおそれがあります。国外なら、他国の主権や国際法も関わります。技術的に届くことと、法律上触れてよいことは別の判定です。

そこでサイバー通信情報監理委員会が、原則として措置を事前承認します。時間的な余裕がない例外でも、実施後の速やかな通知、措置の適切性の確認、必要に応じた勧告の仕組みがあります。委員会の仕事は、具体的な措置が法の範囲に収まるかを確かめること。政策判断や作戦指揮まで一緒に引き受ける部署ではありません。

対象が国内にあると合理的に考えられない場合、警察側では警察庁が措置を担い、警察庁長官を通じて外務大臣へ事前に協議します。政府の運用指針も、国際法で許される範囲で実施することを求めています。国境はネット画面に線を引いてくれませんが、手続き上はきちんと残ります。

サーバーの所在地と攻撃者の所属も分けて考えます。日本に置かれたサーバーを海外の攻撃者が使うことも、外国に置かれた第三者のサーバーが踏み台にされることもあります。「海外サーバーが見つかった。だからその国が攻撃した」という近道は通れません。

政府内では、国家安全保障会議が安全保障上の対応方針を検討する場合があります。国家安全保障局が関係省庁と対処方針を調整し、NCOは同局と連携して警察と自衛隊の役割分担を総合調整します。判断、調整、適法性審査、実行を一つの組織が丸抱えしない構造です。鍵束は一人のポケットに入っていません。

要請から見えるもの ​

GMOの発表によって、制度を現実の被害にどう使うかが問われることになりました。企業側から見れば、顧客への被害が広がる前に攻撃基盤を止めてほしい。政府側には、急ぐほど対象や法的根拠を確かめる責任があります。速さと慎重さは、どちらかを捨てれば済む関係ではありません。

利用者にとっては、被害数字の読み分けも重要です。2万6739台は影響可能性のあるサーバー数。70社超は攻撃者と思われる人物の予告内容。顧客から身に覚えのない取引の申告はあるものの、一件ごとの因果関係や損失額は調査が必要です。大きな数字が出たら、まず「何を数えた数字ですか」と名札を確かめる。ここを飛ばすと、別々の数字がひとまとめになってしまいます。

今後見るべきなのは、政府が要請へどう対応するか、GMOが侵害確認台数や顧客被害をどう更新するか、攻撃主体について公的な判断が出るかです。政府が個別の措置を公表できない場合もあり得ます。そのときは、作戦内容を漏らさずに適法性をどう説明するのかも、制度への信頼を左右します。

まとめ ​

GMOは政府へアクセス・無害化措置の初適用を要請しました。確認できるのは要請までで、企業の申し出が発動を決める制度ではありません。政府が重大性や緊急性などを判断し、警察を基本の実行役として、限定された条件では自衛隊も関わります。

その前後には、サイバー通信情報監理委員会による適法性の審査、国外対象なら外務大臣との協議、政府内の役割調整があります。企業が危険を知らせ、政府が要件を判断し、独立委員会が法の線を確かめ、権限を持つ機関が実行する。この順番を頭に置けば、「初適用要請」という大きな言葉が出ても、話の現在地を見失いません。

Sources ​