サイバー犯罪は、サイバーセキュリティの中で世界的な合意が得られる唯一の分野です。大多数の国が、サイバー犯罪を国家安全保障上の利益とは切り離して捉えているためです。
正式な国際機関があれば、サイバー犯罪の防止、捜査、そして阻止の取り組みを効果的に拡大することができます。
共通の法的定義、引き渡し法の調和、そしてデジタル貧困への対処は、執行の枠組みに不可欠な基盤です。
政府機関への侵入から重要インフラを麻痺させるランサムウェア攻撃に至るまで、国境を越える最近のサイバー事象は、世界的な紛争の中心的な課題となりつつあります。こうした混乱は、統一された国際的な連携の緊急の必要性を浮き彫りにしています。情報共有ネットワークである「ファイブ・アイズ」や国際連合（UN）などの国際機関は、歴史的に国際的な戦争において一定の役割を果たしてきましたが、現代のデジタル脅威の規模、複雑さ、速度に対処するには十分ではありません。世界的なサイバー犯罪の問題に対処するには、確固たる姿勢と焦点を絞った戦略が必要です。
サイバー空間における最大の課題の一つは、国家安全保障がどこで終わり、犯罪行為がどこから始まるのかを見極めることが一般に難しい点です。サイバー事案は、大規模な産業スパイ活動、国家の防衛戦略、軍事作戦、あるいは単に利益目的の犯罪である場合もあります。明るい材料としては、サイバー戦争、攻撃能力、国家からの脅威に関する議論が現在も続いていることです。一方で悪い材料としては、これらの議論は極めて政治的であるため、近いうちに世界的な合意に至る可能性は低いことです。
現時点で世界が合意できるのは、サイバー犯罪が制御不能な状態にあり、早急に対処しなければならないということです。2021年には、ランサムウェア攻撃により、アイルランドの国民医療制度が麻痺し、予約や手術が取り消され、患者の記録が流出する事態となりました。2022年には、コンティ（Conti）マルウェアがコスタリカの政府機関27か所への侵入に使用され、地方自治体や国営の公益事業者も含め、数千万ドル規模の身代金を要求しました。2024年には、UnitedHealth傘下のヘルステック企業Change Healthcareへのランサムウェア攻撃により、米国史上最大規模の医療データ漏えいが発生し、約1億9,000万人の米国人が影響を受けました。これらすべて、そして他の何百、何千というサイバー犯罪事案は、人命を危険にさらし、数十億ドルの窃盗につながり、私たちのデジタル基盤がいかに脆弱であるかを浮き彫りにしました。
サイバー戦争や国家による攻撃は、しばしば国家安全保障、主権、責任の所在の特定方法をめぐる議論を引き起こしますが、それとは異なり、サイバー犯罪は国際協力へのより明確な道筋を示しています。例外は、サイバー犯罪に依存して国家予算を賄っている北朝鮮が国際制裁を回避している点を除き、その他の国々は一般に、サイバー犯罪と国家安全保障上の利益との間に一線を画しており、このため問題への対処ははるかに現実的な目標となっています。
1. サイバー犯罪の定義について合意する
効果的な執行に対する最大の障壁の一つは、サイバー空間において何が犯罪であり、何が犯罪でないかについての意見の不一致です。一部の国はスパイウェア・ベンダーを国家の資産とみなす一方、他の国はそれを犯罪者とみなしています。国内の標的を攻撃しない限りランサムウェア集団を匿う国もあれば、その身柄を司法に引き渡すために多大な資源を投じる国もあります。
サイバー空間において何が許容され、何が許容されないかについてのグローバルな合意を確立しない限り、執行について議論を進めることは困難です。まず、サイバー犯罪対策パートナーシップ（PAC）の取り組みを土台として、サイバー犯罪の国際的に認知された法的定義には、病院、緊急サービス、空港、公益事業への攻撃、ランサムウェア、デジタル恐喝、金融詐欺、フィッシング、大規模な個人情報の盗用に加え、ボットネットやダークウェブ市場などの犯罪インフラの運営を含めることができます。
禁止される行為を定義することで、国際社会は、キーボードの向こう側にいるのが誰であっても、結果に対する執行を開始できます。サイバー空間では、個々の攻撃の背後にいる者を証明することが極めて困難な場合もあることから、責任の所在の特定より影響の大きさが重要です。その証拠が得られた場合には、サイバー犯罪者に責任を問うための明確な道筋があるべきです。
2. サイバー犯罪の防止と捜査のための国際機関を設立する
サイバー犯罪組織が国境を越えて活動しているという事実は、法執行と政策調整に対する多国間アプローチを求めています。国連、NATO、ファイブ・アイズのいずれであれ、既存の国際機関や連携体のいずれも、この問題を包括的かつ効果的に扱うことができないため、差し迫ったギャップを埋めることのできる機関が緊急に必要とされています。
同時に、ここ数年、私たちは説得力のある国際協力の事例が、サイバー犯罪およびランサムウェア集団の解体に成功しています。FBI、インターポール、英国の国家犯罪対策庁などの機関は、カナダ、ドイツ、フランス、スペイン、アイルランドなどの国の法執行機関と連携し、国境を越えた協力がサイバー犯罪者に責任を問ううえで強力な力となり得ることを示してきました。2023年のHiveからRadar/Dispossessor、およびLockBit（2024年）に至るまで、複数の国と大陸にまたがる法執行機関の協力によって、犯罪組織の活動が妨害されてきました。
私たちには、この勢いを活かし、成功した共同作戦を、より恒常的で体系的な協力の基盤へと転換する機会があります。場当たり的な協力も効果を上げてきたものの、今日のサイバー脅威の規模と速度に見合うには十分ではありません。今こそ、協調的な執行、情報共有、法制度の調和、そしてサイバー犯罪インフラの共同での無力化に取り組む、常設の国家連合である国際サイバー犯罪調整機関（ICCA）を創設することで、これらの取り組みを正式なものにするときです。サイバーセキュリティをめぐる国際協力を正式なものにすることで、事案ごとの場当たり的な対応から、大規模なサイバー犯罪に対抗するための先を見越した世界的な戦略へと移行できます。
3. 犯罪人引き渡し法を標準化する
安全な逃避先の存在を断つため、ロシアのような安全な逃避先の存在を封じるため、サイバー犯罪者に関する犯罪人引き渡し法を標準化し、インターポール主導のサイバー犯罪執行を強化する必要があります。一貫した国際協力がなければ、脅威の主体は管轄の抜け穴を悪用し続け、彼らを訴追または引き渡すことを拒む国々から、あるいはさらに悪いことに、その活動を積極的に奨励・支援する国々から、罰せられることなく活動し続けるでしょう。サイバー犯罪者を匿うことに対する実質的な責任追及と組み合わせた統一的な法的枠組みは、ランサムウェア集団や国際的なサイバー犯罪グループを妨害することを可能にするでしょう。
安全な逃避先は、対立によって解決される可能性は低いものの、影響力を行使することで対処できます。ICCAは、サイバー犯罪の犯罪人引き渡し法の標準化を推進し、デジタル証拠の共有手続きを簡素化するとともに、協力を拒否する国や、犯罪者を積極的に匿う国に対して、（金銭的または外交的な）集団的制裁を科すことを目指します。安全な逃避先を一夜にして無くすことはできませんが、協調的な法的枠組みと圧力の仕組みによって、その効果を低下させ、デジタル犯罪者を匿うコストを引き上げることができます。
4. デジタル貧困の削減に注力する
ちょうど貧困と脆弱なガバナンスが歴史的に犯罪の温床を生み出してきたように、今や同じ力学がサイバー犯罪の繁栄を可能にしています。熟練した人材がインターネットにアクセスできても、まともな雇用を見つけられない国、地方当局がサイバー犯罪を訴追する能力を欠いている国、そしてデジタルインフラに効果的な監督が欠けている国では、サイバー犯罪は魅力的で、リスクが低く、見返りの大きい生計手段となります。こうした状況は、個々のサイバー犯罪者や犯罪組織にとって完璧な環境を生み出すだけでなく、ランサムウェア・アズ・ア・サービスのプラットフォームやマネーロンダリング・ネットワークなど、エコシステム全体を生み出すことにもつながります。
米国はサイバー関連プログラムの強化に向けた取り組みを、開発援助と攻撃的セキュリティの両面から主導してきた一方、今や、デジタル貧困と脆弱なサイバーガバナンスが世界の安全保障に対する脅威を生み出しており、協調的な国際的アプローチが必要であることを認識しなければなりません。適切な支援の仕組みと効果的な介入がなければ、多くの地域がグローバルなサイバー犯罪の安全な逃避先や発射台となる危険があります。
フォーラムはグローバルなサイバーセキュリティの課題にどのように取り組んでいますか？
サイバーセキュリティ・センターは、リーダーが集まり、進化するサイバーリスクとそれがシステム全体に及ぼす影響を理解するための、信頼されたプラットフォームを提供しています。同センターは、ますます相互接続されるデジタル社会において、理解と信頼を築くことに重点を置いています。
分野横断的な協力と知見の共有を可能にすることで、同センターはパートナーがサイバーレジリエンスを強化し、集団的な対応を必要とする課題に取り組むことを支援しています。
残念ながら、サイバーセキュリティは本質的に政治的な問題です。国家および非国家主体が、スパイ活動、軍事、偽情報を目的としてサイバーツールを蔓延させて使用しているためです。一方、サイバー犯罪は非政治的な問題であり、居住地や個人の信条にかかわらず、誰もが優先的に取り組むべき課題です。ここで示した4つのステップは容易ではありませんが、ますますデジタル化が進む経済を悪意ある主体から守ろうとするならば、不可欠なものです。
