ランサムの身代金は払うべきか ── エンジニアのためのセキュリティ倫理・法・フェイク入門【CySec復習ログ 3IN#2】

Last updated at 2026-10-16Posted at 2026-09-28

はじめに

少し前の私は、開発の仕事で「規約」「法令」「インシデント対応」という言葉に触れる場面が増えてきました。ところが、その中身を自分の言葉で説明できずにいました。たとえば、ランサムウェアの被害に遭ったとき 身代金は払うべきなのか。攻撃を受けたり、逆に「攻撃者をやり返す」といった話になったとき どの法律が関係するのか。ニュースで流れるディープフェイクや陰謀論を どういう手順で疑えばいいのか。どれも「なんとなく」以上のことが言えませんでした。

技術そのもの(脆弱性や暗号や認証)は勉強すれば手が届きます。ところが、その周りにある 倫理(何をすべきか)・法(何が許されるか)・情報の真偽(何を信じるか) は、地図を持っていないと途端に迷子になります。この3つは、実は開発者の日常業務 ── 利用規約の運用、インシデント対応、社内での情報共有 ── と地続きなのに、私はバラバラに眺めていました。

だからこの記事は、「身代金は払うべきか」という身近な問いを入口にしつつ、本当に扱うのは 倫理・法・真偽という「3つの棚」(地図)そのもの です。タイトルの身代金は、この地図を歩き出すための最初の一歩だと思って読んでください。記事全体は、この3つの棚を順番に見ていく構成になっています。

先に、この記事が扱う「3つの棚」を1枚の地図にしておきます。

この記事は、CySec(東京電機大学が提供する社会人向けのサイバーセキュリティ教育プログラム「国際化サイバーセキュリティ学特別コース」)で学んだ内容を、自分の言葉で再構成した復習ログです。分量が多いため前後編に分け、本記事はその 後編(規範と社会:倫理・法・フェイク) にあたります。前編は「攻撃と人間」を扱います(下の「あわせて読みたい」を参照)。なお、シリーズ表記の「3IN#1/#2」は分量の都合で2本に分けた前後編の通し番号で、講義の回数ではありません。

想定読者は、少し前の私と同じく「セキュリティの規範まわり(倫理・法・情報の真偽)に触れる機会は増えたのに、身代金・法律・フェイクを言語化できていない開発者」です。

この記事の軸を、先に1行で書いておきます。

ランサムの身代金は「原則、払わない」。ただしその『なぜ』を、倫理と法の両面から、さらに『そもそも復旧できる備えがあるか』という現場の現実とあわせて説明できると、規約・インシデント対応・情報の真偽判断まで一本の地図でつながります。

結論を先に5点でまとめておきます(TL;DR)。本文はこれをほどいていく形です。

身代金は復号できる保証がなく、払えば攻撃者に資金を渡して犯罪サイクルを回してしまう。 これが「原則払わない」の理由です。ただし現場の判断は単純ではないので、事実(制度・傾向)と私見(倫理判断)は分けて考えます。
道徳と倫理は別物。 道徳は個人の内面の基準、倫理は社会で共有される行動規範です。「情報倫理」はエンジニアの日常行動の規範そのものです。
エンジニアが最低限おさえる3つの法。 サイバーセキュリティ基本法(司令塔はNISC。2025年7月から国家サイバー統括室=NCOへ改組)、能動的サイバー防御の関連法(2025年5月成立)、不正アクセス禁止法です。
フェイク・ディープフェイク・陰謀論は「情報を疑う技術」で受ける。 検出ツールは決定打になりません。出典と来歴(プロベナンス)を確認する習慣のほうが効きます。
「サイバー攻撃の大部分は国家が黒幕」は誤解。 数の上では犯罪組織が最多で、国家が絡む割合は相対的に小さめです(割合は年・定義で変動します)。

本記事は執筆時点(2026年7月現在)の一次情報で、年号や制度を最新化しています。

なお、はじめに3つおことわりします。本記事は法的助言ではありません。 実務の判断は必ず専門家と一次情報に当たってください。倫理的な判断には私見が含まれます。 どこからが私の意見かは本文で明示します。そして 法制度は流動的です。 特に能動的サイバー防御は動きが速いので、末尾の一次情報を必ずご確認ください。私自身まだ学習中の身なので、間違いがあれば指摘していただけると助かります。

セキュリティ倫理学:道徳と倫理はどう違うのか

この章は「3つの棚」の1枚目、「倫理(何をすべきか)」の話です。

「倫理的に問題がある」「モラルが低い」── ふだん何気なく使う言葉ですが、講義の入口で「そもそも道徳と倫理は違う」と聞いて、私はうまく説明できませんでした。ここを分けておくと、この先の身代金の議論が整理しやすくなります。

道徳(内面)と倫理(社会規範)、そして情報倫理

講義で示された区別は、次のとおりシンプルでした。

道徳 … 個人の内面にある、善悪の基準。「自分はこうする/しない」という心の物差し。
倫理 … 社会や集団で共有される 行動規範。「この集団ではこう振る舞うべき」という外側のルール。

道徳は一人ひとり違ってよいものですが、倫理は「みんなで守ろう」と共有されている点が違います。そして、この倫理を 情報技術を使う社会 に当てはめたものが 情報倫理(Information Ethics) です。情報技術を用いた社会形成に必要な行動規範、と言い換えられます。

抽象的なので、エンジニアの日常に引き寄せると腑に落ちました。次のような「当たり前」は、すべて情報倫理の実践です。

パスワードを他人と共有しない
不審なメールの添付やリンクを不用意に開かない
公共のWi-Fiで機密情報を扱わない

これらは「法律で罰せられるから」というより、「情報社会で一緒にやっていくための行動規範だから」守るものです。ここが道徳(自分の内面)ではなく倫理(社会の規範)だという感覚が、私にはしっくりきました。

ランサムウェアの身代金は払うべきか

さて、本記事のタイトルの問いです。ランサムウェアに感染し、データを暗号化されて「復号してほしければ金を払え」と要求されたとき、身代金は払うべきなのか。これは倫理と現実がぶつかる、生々しいテーマです。

まず、講義で示された 払うことへの否定的な論拠 を整理します。

効果が低い。 払っても復号鍵が渡される保証はありません。実際に、身代金を支払ったのにデータが元に戻らなかった、という事例も報じられています。
犯罪サイクルを維持してしまう。 支払いは攻撃者に資金を提供する行為であり、次の攻撃の元手になります。「払う被害者がいる」こと自体が、ランサムウェアというビジネスを成立させています。
次の標的を生む。 「あの会社は払った」という事実は、自分や他社が再び狙われる理由になります。

一方で、現実はこの否定論だけで割り切れません。事業が止まる圧力は大きく、「払ってでも早く復旧させたい」という力学が働きます。海外では、サイバー保険が身代金の支払いをカバーするケースがあるとも言われます(これは一般的な傾向としての紹介で、契約や国によって扱いは異なります)。

こうした状況に対して、制度で線を引く 動きもあります。米国では、州の公的機関に身代金の支払いを禁じる法律が現れました。ノースカロライナ州が全米で最初に、2021年11月に成立した予算関連法(2021 Appropriations Act、S.L. 2021-180)で州機関・自治体の支払いを禁じました。続いてフロリダ州が2022年6月に州・郡・自治体の支払いを禁じています(学校区や大学の扱いなど細部は州で異なります)。「公金で犯罪者に金を渡すべきではない」という考え方が、立法として形になった例です。

ここからは 私の意見 です(事実ではなく倫理判断なので、あくまで一人の見解として読んでください)。私は「原則として払わない」を支持します。復号の保証がなく、犯罪サイクルを回してしまうという論拠に説得力を感じるからです。ただし、人命や社会インフラが関わる場面まで一律に「絶対払うな」と押しつける気にはなれません。だからこそ、平時に バックアップと復旧手順を用意して「払わなくても復旧できる」状態を作っておく ことが、この倫理的ジレンマを現場で回避する最善手だと考えています。判断を追い込まれてからでは、倫理も何もないからです。

KADOKAWAグループへの攻撃(2024年)など、国内の大型ランサム被害はこの議論の具体例としてよく参照されます。ただし、支払いの有無や経緯について報道はあるものの、公式に確定した情報とは言えないため、本記事では「支払っても復号される保証はない」という一般論にとどめます(詳細は末尾の注記を参照)。

倫理学の3分類(メタ / 規範 / 応用)で位置づける

身代金の議論が「倫理学のどこの話なのか」を知っておくと、頭の中の棚が整います。講義では倫理学を3つに分けて示していました。

分類	何を扱うか	一言でいうと
メタ倫理学	「善い」「悪い」という原則そのものの由来と意味	ルールの"根っこ"を問う
規範倫理学	何が善で何が悪か、実務的な判断基準	ルールの"中身"を決める
応用倫理学	具体的な分野(医療・環境など)への当てはめ	ルールを"現場"に適用する

情報倫理学やセキュリティ倫理学は、この中の 規範倫理学 に位置づきます。「情報社会でどう振る舞うのが善いか」という実務的な基準を扱う領域だからです。身代金を払うべきか、という問いも、まさに規範倫理学のテーマです。「なぜ善悪という基準が存在するのか」(メタ倫理学)まで遡らなくても、「この状況ではどうするのが善いか」を考える土俵に、私たちは立っているわけです。

セキュリティ法学:エンジニアが最低限おさえる法律

この章は「3つの棚」の2枚目、「法(何が許されるか)」の話です。

倫理が「すべきこと」の規範なら、法は「許されること」の線引きです。ここからは、エンジニアが最低限おさえておきたい法律を、地図として並べます。細かい条文の暗記ではなく、「どの法律が、何のためにあるか」の位置関係をつかむのが目的です。

法とは何か(社会・制度・理念の3つの側面)

講義では、法を3つの側面から捉えていました。1つの「法」を、見る角度で説明したものです。

社会的な側面 … 社会に秩序を与えるルールとしての法。
法制度の側面 … 国家が正当な力(強制力)をもって実行する規範としての法。
哲学的な側面 … 正義・自由・人権といった理念を守るものとしての法。

倫理との違いがここで見えます。倫理は「みんなで守ろう」という共有の規範ですが、法は破ったときに 国家が正当な強制力で介入できる 点が決定的に違います。この「強制力」があるからこそ、法の中身は慎重に定められ、そして時代とともに変わっていきます。以下で見る能動的サイバー防御は、まさに「いま変わっている最中」の法です。

サイバーセキュリティ基本法とNISC

日本のサイバーセキュリティ政策の土台になっているのが サイバーセキュリティ基本法 です。2014年(平成26年)11月に成立しました。この法律は、国・地方公共団体・重要インフラ事業者・教育機関・国民といった、それぞれの立場の 役割(責務)を明確化 しています。「セキュリティは誰かがやってくれるもの」ではなく、各レイヤーに責任があると定めた点が骨格です。

そして、全体の司令塔として置かれたのが NISC(内閣サイバーセキュリティセンター) でした。ここで、講義スライドには無く、私が受講メモに補足していた点を、一次情報で確認できたので反映します。NISCは2025年7月に改組され、内閣官房の「国家サイバー統括室(NCO:National Cyber Office)」になりました。 事務次官級の「内閣サイバー官」を新設し、サイバー安全保障分野の政策を一元的に総合調整する組織へと強化された、という位置づけです(出典は末尾の一次情報)。

つまり、いま日本の司令塔を指すなら「NISC」ではなく「NCO(国家サイバー統括室)」が最新の名称です。基本法が土台で、その上に司令塔(NISC→NCO)が乗っている、という構図で覚えると整理できます。

能動的サイバー防御(ACD)とHack back

ここが本記事でいちばん流動的で、注意して書く必要がある部分です。能動的サイバー防御(Active Cyber Defense、ACD) とは、攻撃を受けてから守るだけでなく、より積極的に対処しようという考え方です。

まず制度の事実から。日本では 2025年5月に、能動的サイバー防御の関連法が成立 しました。正式名称は長く、中心となるのは「重要電子計算機に対する不正な行為による被害の防止に関する法律」です。あわせて整備法も成立しています(通称「サイバー対処能力強化法」「サイバー対処能力整備法」)。公布は2025年5月で、施行は公布から段階的に進む形です。主な柱として、重要インフラへの攻撃時の政府への報告、一定の通信に関する情報の利用、攻撃元サーバーへのアクセスによる無害化、といった措置が含まれます。

受講メモには「2026年に法案が策定」と書いていましたが、これは不正確でした。実際には 2025年5月に法律が成立済み で、2026年にかけて段階的に施行される、というのが正確な状況です。メモの記憶より現実が一歩先に進んでいた、という典型です。

次に、混同しやすい「積極度の段階」を整理します。講義では、防御から攻撃までを段階のはしごとして示していました。この整理を図にすると、次のようになります。ただし、各段階の定義は論者や国によって異なり、法的にも議論が続いている流動的な概念 である点を、図の中にも明記しておきます。

ここで重要なのは、日本の能動的サイバー防御法が認める措置と、いわゆる「Hack back(ハックバック=相手をやり返す)」は同じではない ということです。国際的にも Passive Defense から Offensive Operation までは「一続きのスペクトラム」として語られますが、どこまでが「防御」でどこからが「攻撃」かは、論者・国・文脈で線引きが変わります。日米でも定義に差があります。

だからこそ、開発者としての実務的な結論はシンプルです。「攻撃されたからやり返す(自力でHack backする)」は、個人・一企業が安易にやってよい領域ではありません。 法的なグレーゾーンが大きく、反撃先を誤れば無関係な第三者に被害を与える恐れもあります。この領域は国家の枠組みと法整備の話であって、現場の防御は「受動的防御をしっかり固める」ことが基本、と理解しました。

不正アクセス禁止法と「対策していない情報」の論点

最後に、開発者にいちばん身近な 不正アクセス禁止法(正式名称「不正アクセス行為の禁止等に関する法律」)です。講義では「対策していないところの情報を持っていくことは犯罪ではない」という論点が紹介されました。これは刺激的な言い回しですが、そのまま鵜呑みにすると危ういので、正確化します。

この法律が禁じているのは、ざっくり言うと次のような行為です。

アクセス制御機能による制限を、識別符号(ID・パスワード)を悪用するなどして免れ、本来使えないコンピュータを使えるようにする行為(いわゆる「なりすまし」やセキュリティホールを突く不正アクセス)
不正アクセスの目的で 他人の識別符号を不正に取得・保管する行為
不正アクセスを 助長する行為(他人のIDやパスワードを無断で提供するなど)

ポイントは、この法律が守っているのが「アクセス制御機能によって実現される電気通信の秩序」だという点です。だから、そもそもアクセス制御(認証)がまったく設けられていない、公開状態の情報に単純にアクセスする行為は、この法律が想定する『不正アクセス行為』には当たらない場合があります。これが、講義で紹介された論点の正確な姿です。

ただし、ここを「じゃあ対策していない情報は取り放題」と読み替えるのは危険です。

認証が無くても、通常の利用者には見えないURLを推測・改変して取得するような行為は、態様によっては別の問題(業務妨害罪や、営業秘密なら不正競争防止法など)に触れうる、という議論があります。
そもそも倫理の話に戻れば、「防御が甘いから取ってよい」は情報倫理に反します。

開発者の日常に引きつけると、こういう場面です。自社サービスの調査中に、認証をかけ忘れたAPIエンドポイント を見つけ、その先に顧客データが見えている ── ここから中身を取得してよいでしょうか。判断の軸は「アクセス制御(認証)の有無」と「識別符号(ID・パスワード)を悪用したか」で、認証がまったく無ければ『不正アクセス行為』には当たらない場合もあります。ただし、それは「対策が甘い=取ってよい」を意味しません。 まず取得を止め、社内の担当に報告して認証を塞ぐ ── これが倫理と法の両面から見た正解です。

つまり、この論点は「法の線引きは意外と繊細」という教訓として受け取るのが正しく、「対策していなければ何でもOK」という免罪符ではありません。判断に迷うケースに出くわしたら、条文と警察庁の解説(末尾の一次情報)に当たり、必要なら専門家に相談するのが安全です。

真偽 ── フェイク・ディープフェイク・陰謀論を疑う技術

この章は「3つの棚」の3枚目、「真偽(何を信じるか)」の話です。

ここからは、講義では後半(付録的)に扱われた「情報の真偽」を、開発者が使える 汎用チェックリスト の形でまとめます。攻撃者は人の心を狙いますが(この点は前編で扱います)、その延長で「偽の情報を信じ込ませる」手口も高度化しています。これは特定の技術に依存しない、誰にとっても役立つ話です。

フェイクニュースの定義と見分け方チェックリスト

まず定義です。講義では、フェイクニュースを「内容が虚偽である情報」かつ「虚偽と知りながら、公衆を欺く意図で公表・拡散されるもの」として整理していました。「間違っていた」だけでなく「欺く意図」がある点がポイントです。そして、生成AIの普及で、それらしい偽情報を 大量に、簡単に 作れるようになりました。

国内の代表例が、2016年の熊本地震の直後にSNSへ投稿された「動物園からライオンが逃げた」というデマです。実在するライオンの画像とともに投稿され、2万回以上拡散されました。動物園には100件を超える問い合わせが殺到し、投稿者は偽計業務妨害の疑いで逮捕されています(のちに起訴猶予処分)。生成AIが一般的になる前から、画像1枚と短い文で社会は混乱する、という教訓です。

こうした偽情報を、私が実務で使えるチェックリストにすると次のようになります。1つでも引っかかったら立ち止まる、くらいの温度感です。

情報源を確認する … 一次情報か、それとも「また聞き」か。
発信者(著者)を調べる … 実在するか、過去にどんな発信をしているか。
複数のソースで照合する … 1か所しか報じていない「特ダネ」は疑う。
感情を強く煽る表現に注意する … 怒り・恐怖・正義感を刺激する文面は要警戒。
日付とタイミングを見る … 古い情報が今の出来事として使い回されていないか。
リンク・出典があるか … 「ソースは?」に答えられない主張は保留。
不自然な文法・誤字脱字 … 機械翻訳や粗製の兆候。
ファクトチェックサイトを使う … 日本では日本ファクトチェックセンター(JFC、2022年10月設立)などがあります。

開発者の日常に引きつけると、たとえば 社内Slackで「◯◯サービスから顧客情報が漏洩したらしい」と流れてきた ときです。上のチェックリストをそのまま当てはめます。まず情報源 ── 一次情報(公式リリースやCVE番号)か、それとも「知り合いが言っていた」というまた聞きか。次に複数ソースでの照合 ── 報じているのがその1投稿だけなら保留します。そして感情を煽る表現と日付 ── 古い別件の使い回しではないか。ここまで確認してから、はじめて社内に共有したり対応を動かしたりします。慌てて拡散に加担しないための、実務のブレーキになります。

ディープフェイクの適用先と検出

ディープフェイク は、生成AIを使って、実在する人物が言っていない・していないことを、本物のように見せる映像や画像です。講義で挙がっていた主な悪用先は、金儲け(有名人の顔を合成したポルノなど)と なりすまし(役員になりすました送金指示など)でした。

見分ける手がかりとして、次のような点が挙げられます。

異常なディテール(指の本数、歯並び、アクセサリーの歪みなど)
照明と影の不一致(顔と背景で光源が合っていない)
顔の動き・まばたき・表情の不自然さ
メタデータ(撮影機材や日時の情報)の欠落や矛盾
検証ツールにかけてみる

ただし、ここで冷静に受け止めておきたいことがあります。検出ツールは決定打になりません。 たとえばMicrosoftは2020年に、映像が加工されている確率を出す「Video Authenticator」を発表しましたが、これは限られた組織向けの提供にとどまり、一般には広く提供されませんでした。その後、業界の重心は「見破る」から「来歴(プロベナンス)を証明する」方向へ移っています。C2PA(コンテンツの出所と編集履歴を記録する技術標準)のように、「このコンテンツがいつ・どう作られたか」を辿れるようにする取り組みです。

私の実務的な結論は「検出ツールで見破ろうとするより、出所と来歴を確認する習慣を持つほうが現実的」です。上のフェイクニュース・チェックリストと同じで、「誰が・いつ・どこで発信したか」に立ち返るのが、いちばん頑健だと感じました。

陰謀論が刺さる3つの心理的ニーズ

陰謀論 は、講義では「権力を持つ少人数の集団が、自分たちの利益のために、公共の利益に反して秘密裏に行動している、とする主張」と整理されていました。厄介なのは、陰謀論が「頭の良し悪し」ではなく 心理的なニーズ に刺さって広まる点です。講義では3つのニーズが挙げられていました。

認知的ニーズ … 複雑な世界を、わかりやすく理解したい。「すべては○○の仕業」という単純な説明は、この欲求を満たします。
実存的ニーズ … 不安や無力感を減らしたい。「敵の正体がわかった」という感覚は、コントロールできない状況に説明を与えてくれます。
社会的ニーズ … 特別な知識を持っているという優越感や、同じ考えの仲間との一体感がほしい。「真実に気づいた自分たち」という帰属意識です。

私がここで学んだのは、「陰謀論を信じる人はおかしい」と切り捨てても意味がない、ということです。これらは誰の中にもある自然な欲求だからです。だからこそ、フェイクを疑う技術(出典と来歴の確認)を習慣として持っておくことが、自分自身を守る現実的な手立てになります。

国家支援サイバー攻撃は本当に「大部分」か

最後に、私が一番「思い込みだった」と気づいた点です。サイバー攻撃と聞くと、つい「大部分は国家が指示している(国家支援型)」と考えがちです。ところが講義では、「国家が絡むのは全体の1割程度で、数の上では犯罪組織が最多」という趣旨の話が紹介されました。

これを一次情報で確かめると、方向性はおおむね裏づけられます。Verizonの「2025 Data Breach Investigations Report(DBIR)」では、侵害の外部要因のうち 組織犯罪(金銭目的)が最多 でした。一方でスパイ活動(国家が絡むことが多い動機)は 約17% と報告され、前年から大きく増えています。つまり講義の「約10%」よりも、いまはスパイ動機の存在感が増している、というのが最新の姿です。それでも、数の上では金銭目的の犯罪組織が主役、という骨格は変わりません。

正確に言えば「国家絡みはちょうど10%」と固定的に言い切れるわけではなく、割合は年や集計・定義で変動します。 ただ、方向性ははっきりしています。「大部分が国家の指示」という直感は誤りで、実際の主役は金銭目的の犯罪組織だ、ということです。ここを取り違えると、脅威モデル(誰が、何のために狙ってくるか)を大きく見誤ります。多くの現場でまず備えるべきは「国家の高度な攻撃」ではなく「金目当ての犯罪組織」だ、という現実的な視点を持てたのが、私にとっての収穫でした。

まとめ

この記事では、CySec「3IN」概論の後編として、セキュリティの 倫理・法・情報の真偽 を、「ランサムの身代金は払うべきか」という1つの問いを入口に整理しました。タイトルの問いへの私の答えは「原則、払わない」です。ただし大事なのは結論そのものより、その『なぜ』を倫理と法の両面から、さらに『そもそも復旧できる備えがあるか』という現場の現実とあわせて説明できることでした。

この記事の幹を、3点だけ持ち帰ってください。

道徳(内面)と倫理(社会規範)を分ける。 身代金を払うかどうかは規範倫理学のテーマで、事実(制度・傾向)と私見(倫理判断)を切り分けて考えると、感情論に流されずに済みます。
法は「地図」として位置関係でおさえる。 サイバーセキュリティ基本法(司令塔はNISC→2025年7月からNCO)、能動的サイバー防御の関連法(2025年5月成立、段階施行中)、不正アクセス禁止法。特に「やり返す(Hack back)」は個人・一企業が安易に踏み込む領域ではありません。
情報の真偽は「疑う技術」で受ける。 フェイクもディープフェイクも、決定打は検出ツールではなく「出所と来歴を確認する習慣」。そして「攻撃の黒幕は大部分が国家」は誤解で、主役は金銭目的の犯罪組織です。

少し前の私に向けて、持ち帰ってほしい問いを1つ。次に「身代金を払うべきか」「これは違法か」「この情報は本物か」と聞かれたら、まず「これは倫理の話か、法の話か、真偽の話か」を切り分けてみてください。 3つの棚に分けるだけで、迷子になりにくくなります。少し前の私は全部いっしょくたにして立ちすくんでいましたが、この地図を持っただけで、規約もインシデント対応もニュースも、ずいぶん見通せるようになりました。

ここまで読んでいただき、ありがとうございました。冒頭に書いたとおり、本記事は法的助言ではなく、倫理の部分には私見が含まれます。より正確な捉え方や、制度の最新の動きについて、指摘していただけると助かります。

参考

本記事で挙げた制度・年号・数字は、次の一次情報・公的情報で確認できます。記事の内容は執筆時点(2026年7月現在)のもので、最新は各サイトでご確認ください。

※補足・注記

読者を誤解させないために、本文で断定を避けた点や、受講メモ由来で確認・補正した点を明示します。

KADOKAWAの身代金について:「支払いが遅かったから復号されなかった」といった因果は、公表情報からは確定できません。支払いの有無・経緯とも、公式に確認できるものではないため、本文では社名を例示するにとどめ、「支払っても復号される保証はない」という一般論に置き換えました。
NISC→NCOへの改組: 講義スライドには無く、私が受講メモに補足していた点ですが、内閣官房(国家サイバー統括室)の一次情報で「2025年7月に改組」と確認できたため、本文に反映しました。
能動的サイバー防御の法整備: 受講メモの「2026年に法案策定」は不正確でした。関連法は2025年5月に成立済みで、2026年にかけて段階施行される、が正確な状況です(一次情報で確認)。
能動的サイバー防御の4段階(Passive/ACD/Hack back/Offensive): 講義で示された整理の枠組みです。国際的にもスペクトラムとして語られますが、各段階の定義は論者・国で異なり、法的にも議論が続く流動的な概念です。日本のACD法が認める措置と「Hack back」は同一ではありません。
「国家支援は約10%」: 講義で紹介された数字です。Verizon DBIRなどでは「犯罪組織が最多、国家絡みは相対的に少数」という方向性は裏づけられます(2025年版ではスパイ動機が約17%と、前年から大きく増えています)。ただし割合は年・集計・定義で変動するため、固定値としては受け取らないでください。
ディープフェイクの偽画像の例: 生成AIによる偽の災害・危険動物画像なども講義で触れられましたが、個別事例の出所特定は難しいため、本文では一般化して扱いました。