あなたのサーバーは戦場の最前線にいる ── 開発者のためのサイバー空間と国際法入門【CySec復習ログ 3IN#3】

Last updated at 2026-10-16Posted at 2026-10-12

はじめに

少し前の私は、セキュリティを「脆弱性を見つけて潰す仕事」だと思っていました。CVE を追いかけ、依存ライブラリを上げ、ペネトレーションテストの指摘を1つずつ消す。手を動かす対象は、いつもコードとインフラの内側にありました。国際法だの安全保障だのは、外交官やニュースの向こう側の話で、アプリを書く自分にはいちばん縁遠い世界だと思っていました。

その思い込みが揺らいだのは、ある企業が「サーバーがランサムウェアで全面停止したのに、加入していたサイバー保険の支払いを『これは戦争だから』と拒否された」という話を知ったときです。攻撃してきたのはどこの誰かも分からない。国が守ってくれるわけでもない。頼みの綱の保険すら「戦争」の一言で下りない。気づけば、自分が運用しているサーバーは、国境も審判もいない戦場のど真ん中に、無防備に置かれていました。あなたのサーバーは、もう戦場の最前線にいます。

この記事は、CySec(東京電機大学が提供する社会人向けのサイバーセキュリティ教育プログラム「国際化サイバーセキュリティ学特別コース」)で学んだ内容を、自分の言葉で再構成した復習ログです。

ここでひとつ、通し番号について整理しておきます。先に用意した『3IN#1(前編)』『3IN#2(後編)』は、1つの内容を分量の都合で前後編に分けたものです。本記事『3IN#3』はそれに続くシリーズの3本目で、前の2本とは 別の内容(サイバー空間と国際法・事業防衛) を扱います。通し番号「#3」は「シリーズの3本目」という意味であって、講義の回数を指すものではありません。ここが紛らわしいので、先に整理しておきます。

記事中の数値・制度・事件は、執筆時点(2026年7月現在)の一次情報で確認・最新化し、確認しきれなかったものや講義中の口頭補足は「講義では〜と紹介された」と帰属を明示しています。

想定読者は、少し前の私と同じように「脆弱性を潰すのがセキュリティの仕事で、国際法や安全保障は自分とは無関係だと思っていた」開発者・運用者です。

この記事の軸を、先に1行で書いておきます。

サイバー空間には国境も審判もいません。国際法は「国家」しか想定していないため、攻撃者の帰属(Attribution)は特定できず、抑止(Deterrence)も効きません。それでも矢面に立つのは民間企業=あなたのサーバーです。頼みの綱のサイバー保険すら「戦争だから」と免責されうる。技術だけでは守り切れない前提に立ち、法・保険・経営まで巻き込んで「自衛」を設計するしかありません。

この記事の議論の背骨を、1枚の図にしておきます。本文はこの流れを順にたどっていきます。

結論を先に4点でまとめておきます(TL;DR)。本文はこれをほどいていく形です。

サイバー空間には国境も審判もいない。 国際法は主権国家を前提に組み立てられているため、匿名で国境を越えてくる攻撃とは、そもそも構造的にかみ合いません。
サイバー攻撃の厄介さは3つ。 Attribution(誰がやったか分からない)/ Asymmetry(安く小さく攻撃できる)/ Deterrence(抑止が効かない)。国連憲章もタリンマニュアルも主眼は「国家間の武力行使」で、非国家主体を交えた攻撃を取りこぼします。
矢面に立つのは民間企業。 頼みの綱のサイバー保険すら「戦争除外条項」で免責されうることが、NotPetya をめぐる Mondelez / Merck の裁判で現実になりました。攻撃は身代金だけでなく、情報窃取や相場操縦といった「経済戦」の道具にもなります。
だから技術だけでは守り切れない。 「経済安全保障」というレンズで、法・保険・経営を巻き込んで「自衛」を設計する。これが、開発者にできる現実的な備えです。

なお、はじめに3つおことわりします。本記事は法的助言ではありません。 実務の判断は、必ず専門家と一次情報に当たってください。国際法や安全保障の評価には私見が含まれます。 どこからが私の意見かは本文で明示します。そして 法制度・国際情勢は流動的です。 特に経済安全保障や能動的サイバー防御まわりは動きが速いので、末尾の一次情報を必ずご確認ください。私自身まだ学習中の身なので、間違いがあれば指摘していただけると助かります。

サイバー空間はどんな「場所」か ── 国境も審判もいない

議論の出発点は「そもそもサイバー空間とは何か」でした。ふだん当たり前に使っている言葉ですが、その性質を言語化しておかないと、あとの「国際法が効かない」という話がぼやけてしまいます。

「サイバー空間」という言葉の出どころ

「サイバー空間(Cyberspace)」は、Cybernetics(サイバネティクス=制御と通信の学) と Space(空間) を組み合わせた言葉だとされます。この語が広く知られるようになったきっかけとして、講義では SF 作家 William Gibson の小説『Neuromancer』(1984年)が紹介されました。念のため補足すると、これはあくまで「語の普及・語源」に関する帰属で、いまの技術的な定義そのものが小説に書かれていた、という話ではありません。

現在よく引かれる定義を2つ、講義のスライドから引用します。まず米国防総省(DoD)の用語集による定義です。

A global domain within the information environment consisting of the interdependent network of information technology infrastructures and resident data, including the Internet, telecommunications networks, computer systems, and embedded processors and controllers.

(情報環境の中の1つのグローバルな領域であり、インターネット・通信網・コンピュータシステム・組み込みのプロセッサや制御装置を含む、相互依存した IT インフラのネットワークとそこに存在するデータから成る、という趣旨)

次に国連の用語データベース(UNTERM)による定義です。

The global system of systems of internetted computers, communications infrastructures, online conferencing entities, databases and information utilities generally known as the Net.

(相互接続されたコンピュータ・通信インフラ・オンライン会議体・データベース・情報ユーティリティから成る、一般に「ネット」として知られるグローバルなシステムの集合、という趣旨)

4つの性質:Global・集中管理者の不在・仮想性・ボーダーレス

2つの定義に共通するのは、サイバー空間を「グローバルな(global)」領域として捉えている点です。講義で強調されたのは、これが International(国際的)ではない ということでした。International という語は「国家(nation)と国家のあいだ」を含意します。ところがサイバー空間には国境がなく、全体で1つ ── つまり Global です。この一語の違いが、あとで効いてきます。

講義で挙げられたサイバー空間の性質を整理すると、次の4点になります。

グローバル(Global): 国境で区切られておらず、全体で1つの領域として広がっている。
集中的な管理者の不在: 空間全体を統べる「元締め」がいない。だから、いざというときに秩序を回復させる中央の審判もいない。
仮想的な性格: 物理的な地面ではなく、情報として構成された空間である。
ボーダーレス: 攻撃も情報も、国境を意識せずに一瞬で越えていく。

この「国境がなく、全体の管理者もいない」という2点こそ、サイバー空間が 国際法と相性が悪い 根本理由です。国際法は「国境で区切られた主権国家」と「国家間の関係」を前提に作られています。ところがサイバー空間には、その前提となる国境も、違反者を裁く中央の審判も、もともと存在しないのです。

外来語を「空気」で使わない

もう1つ、講義で繰り返し注意されていたのが、外来語(輸入した言葉)をあいまいなまま使わない という姿勢でした。security、intelligence、cyber ── こうした言葉を輸入語のまま雰囲気で使うと、議論が土台からずれていきます。原語の意味に立ち返って使うこと、そして日本語の議論だけで独自進化(ガラパゴス化)させないことが大切だ、という指摘です。

なお講義では、口頭で「セーフティ=安全、セキュリティ=安心」「インテリジェンス=分析を加えた情報、インフォメーション=生の情報」といった語感の違いにも触れられました。これらはスライドに明記された定義ではなく、講師の口頭補足として紹介されたものなので、ここでは「そういう整理も示された」という程度にとどめておきます。

開発者としての実務接続。 「グローバルで、集中管理者がいない」という性質は、実務に翻訳すると「自分のサーバーは、世界中のどこからでも、誰からでも到達可能だ」ということです。国内向けサービスだから、社内システムだから、という地理的な安心感は通用しません。そして外来語を空気で使わない姿勢は、そのまま設計レビューに効きます。「セキュアにする」「認証する」「これはインテリジェンスだ」と雰囲気で言い切らず、原語の定義に立ち返って「何を、どの脅威から、どう守るのか」を詰める。あいまいな言葉は、あいまいな仕様と、あいまいな防御を生みます。

サイバー攻撃の3つの厄介さ ── Attribution / Asymmetry / Deterrence

サイバー空間が「国境も審判もいない場所」だと分かると、そこで起きる攻撃がなぜ厄介なのかも見えてきます。講義では、サイバー攻撃の特徴を3つの「A / A / D」で整理していました。

Attribution(帰属)の問題: 誰がやったのかを特定するのが極めて難しい。攻撃者は匿名性の陰に隠れ、他人のサーバーを踏み台にし、身元をいくらでもぼかせます。
Asymmetry(非対称性): 攻撃は、手間もコストも小さく実行できます。極端に言えば PC 1台とネット回線があればよい。一方、守る側は膨大なコストをかけて全面を守り続けなければなりません。この非対称さが、抑止を効きにくくします。
Deterrence(抑止)の問題: そもそも誰がやったか分からなければ(Attribution)、報復も制裁もできません。「やり返すぞ」という脅しが抑止力になるのは、相手を特定できるときだけです。

表にすると、この3つがどう連鎖しているかが分かります。

特徴	意味	攻撃者にとっての利点	守る側の困りごと
Attribution	帰属(誰がやったか)の特定	匿名で隠れられる。踏み台で身元をぼかせる	相手が分からず、対処も報復もできない
Asymmetry	攻撃と防御の非対称性	安く小さく攻撃できる(PC 1台でも)	全面をコストをかけて守り続けるしかない
Deterrence	抑止	特定されないから報復を恐れなくてよい	「やり返す」脅しが抑止として機能しない

そして、この3つが揃うと、攻撃は グレーゾーン(平時でも有事でもない領域)と非常に相性がよくなります。誰がやったか分からず、安上がりで、報復も受けない ── これは「戦争と言い切れない、しかし無害でもない攻撃」を仕掛けるのに、うってつけの条件だからです。グレーゾーンについては、のちの章で詳しく扱います。

開発者としての実務接続。 Attribution が困難だということは、ログに残る「攻撃元 IP アドレス」を、そのまま犯人だと信じてはいけない、ということです(それは踏み台にされた無関係な誰かかもしれません)。Asymmetry は、守る側は全部を守り、攻める側は1点を破ればよいという、埋めがたい非対称の現実を突きつけます。だからこそ、完全に防ぎ切ることを目標にするより、「破られる前提」で多層防御を敷き、侵入後の検知と復旧(バックアップ・封じ込め・監査ログ)まで含めて設計するのが現実的です。Deterrence が効かない世界では、「攻撃されないこと」ではなく「攻撃されても事業が続くこと」が目標になります。

国際法はサイバー戦争を裁けるのか ── 国連憲章とタリンマニュアル

では、国境も審判もいないサイバー空間で「戦争のような攻撃」が起きたとき、国際法は出番があるのでしょうか。ここが、この講義の核心でした。結論から言うと、国際法は「国家間の武力行使」しか正面から想定していない ため、サイバー攻撃の多くを取りこぼします。

国連憲章の3つの条文

武力の行使をめぐる国際法の土台は、国連憲章です。関係する条文を3つ、整理します。

条文	内容	サイバーでの論点
第2条(第4項)	武力による威嚇・武力の行使の一般的禁止	サイバー作戦は「武力の行使」に当たるのか
第51条	個別的・集団的自衛権(安保理が必要な措置をとるまで)	サイバー攻撃に対して自衛権を行使できるのか
第7章	集団安全保障(第39〜51条。安保理による強制措置)	サイバー攻撃を安保理が「平和への脅威」と認定し対処できるのか

第2条第4項が「武力の行使」を一般的に禁じ、その例外として第51条が「自衛権」を認め、第7章が安保理を中心とした「集団安全保障(強制措置)」の枠組みを定める ── これが大きな構図です。

講義スライドでは、集団安全保障の根拠を国連憲章「第12章」と記載していましたが、これは誤りです。国連憲章で安保理の強制措置(集団安全保障、第39〜51条)を定めているのは 第7章 で、第12章は「国際信託統治制度」に関する章です。本文は一次情報(国連憲章の条文)に合わせて第7章と表記しています(末尾の「※補足・注記」も参照)。

「サイバー戦争」は国際法上の「戦争」なのか

ここで根本的な問題が出てきます。国連憲章がいう 武力の行使(use of force) や 武力攻撃(armed attack) は、基本的に 国家と国家のあいだの関係 にのみ適用される概念だ、という点です。

ところがサイバー攻撃の主役は、しばしば 非国家主体(non-state actor) です。犯罪組織、ハッカー集団、正体不明の個人 ── こうした相手が仮想空間で仕掛けてくる紛争は、伝統的な国際法の枠組みでは、第一義的には「戦争」として扱えません。国家がはっきり関与していると証明できなければ(そして Attribution の困難ゆえに、それはとても難しい)、国連憲章の出番はなかなか来ないのです。

関連して、スパイ行為(espionage) それ自体は、一般に国際法上は直接には違法とされない、と説明されます(この言い切りには論者による幅があるため、ここでは「一般にそう説明される」と留保しておきます)。国家がおおっぴらに行う情報収集を、国際法は真正面からは禁じていない、というわけです。

なお講義では、ある国が武力紛争を「特別軍事作戦」と呼ぶことで、武力行使の禁止という国際法上の評価をかわそうとしている、という文脈も口頭で語られました。これは講師の口頭補足であり、評価の分かれる論点でもあるため、ここでは「そうした見方が示された」という紹介にとどめます。

タリンマニュアル ── サイバー戦の「非公式なルールブック」

条約のような正式な国際法がサイバー空間に追いついていない現状で、専門家がまとめた指針が タリンマニュアル(Tallinn Manual) です。NATO のサイバー防衛協力センター(CCDCOE、エストニアの首都タリンに所在)が主導して作成した、国際法をサイバー作戦にどう適用するかを論じた研究成果です。

講義のスライドが引用していたのは 2013年版(タリンマニュアル1.0) で、主に「サイバー戦(武力紛争)」に焦点を当てた内容です。そこで示されたルールのうち、開発者の感覚でも「なるほど」と思えるものを4つ挙げます。

Rule	主題	要旨
Rule 5	自国インフラの管理	国家は、自国領域内・自国の排他的支配下にあるインフラが、他国に損害を与える不法な行為に使われるのを、知りつつ許してはならない
Rule 8	一国を経由したサイバー作戦	あるサイバー作戦が一国のインフラを経由したという事実「だけ」では、その作戦をその国に帰属させる十分な証拠にはならない
Rule 11	武力行使の定義	サイバー作戦は、その「規模と効果(scale and effects)」が、武力の行使に至る非サイバー作戦に匹敵するとき、武力の行使を構成する
Rule 13	自衛	武力攻撃のレベルに達するサイバー作戦の標的となった国は、固有の自衛権を行使しうる。武力攻撃に当たるかは「規模と効果」による

特に印象的だったのは Rule 8 です。「一国を経由しただけでは、その国の仕業とは言えない」── これは Attribution の困難を、ルールの側からも認めているわけです。裏を返せば、あなたのサーバーが踏み台にされて他国のインフラを攻撃したように見えても、それだけでは「あなたが攻撃者だ」と断定はできない、ということでもあります。

そして Rule 11 / Rule 13 の肝は「規模と効果(scale and effects)」という物差しです。サイバー攻撃が「武力の行使」や「武力攻撃」に当たるかどうかは、使った手段がサイバーかどうかではなく、その結果が従来の軍事攻撃に匹敵するほど深刻かどうかで判断する、という考え方です。

なお、タリンマニュアルにはその後、対象を平時のサイバー活動(国家の主権やインフラ保護など)にまで広げた 2.0(2017年) があります。ただしこれは講義スライドには含まれておらず、私が補足として一次情報(CCDCOE)で確認した点です。

あわせて、国連の場では GGE(情報通信技術の利用に関する政府専門家グループ) が、国際法・国連憲章・主権が「ICT 利用の安全」の基礎になることを確認しています(2015年の報告書 A/70/174)。条約はまだなくても、既存の国際法をサイバー空間にどう当てはめるかの議論は、国連レベルでも進んでいる、ということです。

開発者としての実務接続。 国際法が「国家間の武力行使」しか正面から扱えないということは、匿名の攻撃者に自社が狙われても、国際法が自動的に助けに来てくれる保証はない、ということです。「規模と効果」で武力攻撃かどうかを測るという発想は、実務でいえば「この攻撃で何がどれだけ壊れるか(事業影響)」を軸に脅威を評価する、という姿勢につながります。そして Rule 8 は、自社サーバーが踏み台にされて「加害者側」に見えてしまうリスクの裏返しでもあります。出口対策(自社から不審な通信が出ていないかの監視)は、被害者にならないためだけでなく、意図せぬ加害者にならないための備えでもあります。

グレーゾーンとハイブリッド戦 ── 平時でも有事でもない戦い

「国家間の武力行使」だけを国際法が扱う一方で、現実の対立は「戦争」と「平和」のあいだの、あいまいな領域へ移っています。講義では、防衛白書の定義を引きながら グレーゾーン と ハイブリッド戦 を紹介していました。

グレーゾーンの事態

まず「グレーゾーンの事態」の定義です。令和元年(2019年)版の防衛白書から、原文どおり引用します。

いわゆる「グレーゾーンの事態」とは、純然たる平時でも有事でもない幅広い状況を端的に表現したものです。例えば、国家間において、領土、主権、海洋を含む経済権益などについて主張の対立があり、少なくとも一方の当事者が、武力攻撃に当たらない範囲で、実力組織などを用いて、問題に関わる地域において頻繁にプレゼンスを示すことなどにより、現状の変更を試み、自国の主張・要求の受け入れを強要しようとする行為が行われる状況をいいます。

ポイントは「武力攻撃に当たらない範囲で」現状変更を試みる、という部分です。相手は、国際法が「武力攻撃」と認定するラインの、ぎりぎり手前を狙ってきます。まさに前章で見た「国際法が正面から扱える領域」の、外側です。

ハイブリッド戦

そのグレーゾーンで用いられる手法が ハイブリッド戦 です。防衛白書は、これを「軍事と非軍事の境界を意図的に曖昧にした現状変更の手法」と表現しています。具体的には、次のような手段を複合的に組み合わせます。

国籍を隠した「正体不明の部隊」による作戦
サイバー攻撃による通信・重要インフラの妨害
偽情報(フェイクニュース)の流布による世論・認知への影響工作

軍事と非軍事、平時と有事の境目をわざとぼかすことで、相手に「これは戦争なのか? どこまで反撃していいのか?」と迷わせる。その迷いそのものを突く戦い方です。サイバー攻撃と偽情報は、この手法の中核をなします。

こうした流れの延長で、講義では 超限戦(Unrestricted Warfare) や、白兵戦をともなわない non-contact warfare(非接触戦) といった概念にも触れられました(non-contact warfare は、Vivek Verma "Non-Contact Warfare: Lessons from the US National Defence Strategy," CLAWS Journal, Vol.14 No.1, Summer 2021, pp.67-84 が引用されています)。「あらゆる手段が戦いの道具になり、その中でもサイバーは相手に接触せず遠くから効かせられる」という発想です。

なお講義では、「認知戦」や「ある紛争で侵攻前に金融機関へのサイバー攻撃が先行した」といった具体例も口頭で語られましたが、これらはスライドに明記された内容ではないため、ここでは踏み込んだ断定を避け、そうした文脈が示されたという紹介にとどめます。

開発者としての実務接続。 平時と有事の境目が消えたということは、「うちは戦争なんて関係ない」という前提そのものが崩れた、ということです。インフラ妨害や偽情報は、宣戦布告のないまま、平時の顔をして飛んできます。自社サービスの停止が「誰かの現状変更の手段」に組み込まれる可能性も、ゼロではありません。だから可用性(落ちない・すぐ戻る)や、自社をかたる偽情報・なりすまし対策(送信ドメイン認証、公式発信チャネルの明確化)は、「万一の戦争対策」ではなく「常時の運用課題」として捉える必要があります。

民間企業は「非国家主体」として矢面に立つ

ここまでの話を、立ち位置の観点で整理し直します。国際法は「国家 vs 国家」を前提にしてきました。ところがサイバー空間では、その枠組みの外にいる 民間企業 が、真っ先に攻撃を受ける当事者になっています。

国際公法と国際私法、その境界のにじみ

伝統的に、国際的な法のルールは大きく2つに分かれてきました。国家同士の関係を扱う 国際公法 と、私人(個人・企業)のあいだの渉外的な関係を扱う 国際私法 です。そして、その担い手も 国家主体(state actor) と 非国家主体(non-state actor) に、はっきり区別されてきました。

サイバー空間は、この区別をにじませます。国家が背後にいるかもしれない攻撃者が、一民間企業のサーバーを直接叩く。被害を受けるのは私企業(非国家主体)なのに、背景には国家間の対立がちらつく。「これは公法の話か、私法の話か」「相手は国家か、私人か」が、きれいに切り分けられなくなっているのです。

守るべきは「無形の資産」

もう1つ、民間企業ならではの事情があります。守るべき対象が、多くの場合 情報資産や事業機密 という 無形(intangible)のもの だという点です。工場が焼けるような物理的な損害(物損)は、サイバー攻撃ではむしろ例外的です。

そして講義が示唆していたのは、「本当に大きな損害は、盗まれた情報そのものの額面ではない」ということでした。奪われた技術情報や事業計画によって、将来の競争力や研究開発力がじわじわ削られていく ── そちらのほうが、企業にとってはるかに深刻な打撃になりうる、という視点です(「10年先の研究開発が損なわれる」といった言い方は講義の口頭補足なので、ニュアンスとして受け取ってください)。

開発者としての実務接続。 国家間の枠組みから外れた民間企業が、実は最前線に立っています。あなたのサーバーは、国家間の対立が最初にぶつかる境界線になりうる ── これがこの章のいちばんの気づきでした。そのうえで、守るべき資産は無形で、その毀損はバランスシートにすぐ現れません。だからこそ「どの情報が失われると、将来いちばん困るのか」を棚卸しし(情報資産の格付け)、そこに防御を厚くする。物理的な派手さではなく、事業の将来価値で守る優先度を決める視点が要ります。

頼みの綱のサイバー保険は「戦争」で免責されうる ── Mondelez と Merck

矢面に立たされた民間企業にとって、被害を金銭面で受け止めてくれるはずの備えが サイバー保険 です。ところが講義でいちばん衝撃的だったのは、「その頼みの綱すら、『これは戦争だ』の一言で外されうる」という現実でした。ここが本記事の最大の見どころです。

鍵になるのは、保険契約に埋め込まれた 戦争除外条項(war exclusion) です。多くの損害保険には、戦争や敵対行為による損害は補償しない、という除外条項が古くから入っています。問題は、国家が関与したとされるサイバー攻撃が、この「戦争」に当たるのかどうかです。この争点が正面から問われたのが、2017年に世界を襲ったマルウェア NotPetya をめぐる、2つの裁判でした。

Mondelez v. Zurich ── $100M をめぐる4年越しの争い

オレオなどで知られる食品大手 Mondelez は、2017年6月の NotPetya によって、約 1,700台のサーバー と約 24,000台のラップトップ が使用不能になる被害を受けました。同社は保険会社 Zurich のサイバー保険に、被害額として 約1億ドル($100M) を請求します。

ところが Zurich は、支払いを拒否しました。根拠は、"hostile or warlike action in time of peace or war"(平時・戦時を問わず、政府または主権者による敵対的・戦争的な行為)を補償から外す 戦争除外条項 です。NotPetya はロシアが関与した国家的攻撃だと広く指摘されており、「これは戦争行為だから補償の対象外だ」という主張でした。

この裁判はイリノイ州の裁判所で約4年にわたって争われましたが、判決には至らず、2022年秋(10〜11月)に和解 しました。和解条件は公開されていません。判決という形で「サイバー攻撃は戦争か」の司法判断が示される寸前で、決着が回避された格好です。

Merck v. ACE American ── 「戦争」認定を裁判所が否定

同じ NotPetya が発端となったもう1つの裁判が、製薬大手 Merck と保険会社 ACE American らの争いです。ここでも保険会社は、"Acts of War"(戦争行為)や "official state action"(公的な国家の行為)による損害だとして、戦争除外条項の適用を主張しました。

しかし、ニュージャージー州の裁判所の判断は違いました。NotPetya は "official state action"(公的な国家の行為)とは言えない として、戦争除外条項の適用を否定したのです。この考え方は控訴審(2023年5月、ニュージャージー州上級裁判所控訴部)でも維持され、保険会社側が敗訴しました。保険会社はニュージャージー州最高裁へ上訴しましたが、2024年1月、最高裁の口頭弁論を目前にして和解 し、保険契約者(Merck)に有利な控訴審の判断が覆らないまま決着しました(最高裁の判決そのものは出ていません)。Mondelez とは対照的に、「サイバー攻撃を安易に『戦争』として除外することは認められない」という司法判断が、控訴審レベルで示された事例です。

2つの裁判を並べて比べると、争点と行方の違いがはっきりします。

	Mondelez v. Zurich	Merck v. ACE American ほか
発端	2017年 NotPetya	2017年 NotPetya
被害の例	サーバー約1,700台・ラップトップ約24,000台	(スライドに被害額の記載なし)
請求額	約1億ドル($100M)	(スライドに記載なし)
争点の文言	"hostile or warlike action"(戦争除外条項)	"Acts of War" / "official state action"
行方	判決に至らず和解(2022年秋、条件非公開)	控訴審(2023年5月)で保険会社敗訴 → 州最高裁の弁論直前に和解(2024年1月・最高裁判決は出ず)

Merck の被害額は一般に約14億ドルと報じられていますが、これは講義スライドには記載がないため、本文では「報道による額」として区別しておきます。

なぜサイバー保険は「壊れやすい」のか

そもそもサイバー保険は、従来の保険とはなじみにくい、構造的な難しさを抱えています。講義で挙げられた論点は3つです。

料率算定の土台が乏しい: 保険料は、過去の膨大な事故データ(トレンド)から統計的に算定します。ところがサイバー攻撃は歴史が浅く、料率を精密に算定するためのデータが十分にありません。
「偶発的な事故」ではない: 保険が本来カバーするのは、火災や事故のような偶発的な出来事です。しかしサイバー攻撃は、悪意ある人間が意図的に仕掛ける行為です。「たまたま起きた事故」という保険の前提から外れています。
損害の社会的な分担が難しい: 保険は「被害が広く薄く分散している」ことで成り立ちます。ところがサイバー攻撃(特に NotPetya のような大規模なもの)は、被害が特定の時期・地域・業界に一気に集中します。すると保険会社が同時に巨額の支払いを迫られ、制度として支えきれなくなります。

この「特定の出来事で損害が一気に集中する」怖さの例として、講義では 2001年9月11日の同時多発テロ直後の航空保険 が引き合いに出されました(スライドには年が「2021年」と誤記されていましたが、同時多発テロは2001年です。本文では2001年に正しています)。1つの巨大事象で保険が根底から揺らぐ、という点で、サイバーリスクと重なる例です。

開発者としての実務接続。 ここでの教訓は、サイバー保険を「入っておけば安心」の免罪符にしない ことです。契約時には、戦争除外条項の文言(hostile or warlike action / official state action など)と、国家関与が疑われる攻撃(NotPetya のようなケース)にそれが適用されうるかを、法務と一緒に必ず確認する。そして技術側は、その裏で「保険金が下りない前提でも、事業が復旧できるか」を用意しておく必要があります。堅牢なバックアップ、復旧手順の訓練、事業継続計画(BCP)── 「払ってもらえないかもしれない」を前提にした自力の復旧力こそ、開発・運用側が握っている最後のカードです。

攻撃は「経済戦」の道具になる ── Colonial Pipeline / 情報窃取 / 相場操縦

サイバー攻撃は「システムを壊す」だけの行為ではありません。講義では、攻撃が お金を生む道具 ── 経済戦の武器 ── として使われる実例が並べられました。

Colonial Pipeline ── インフラ停止と身代金

2021年5月7日、米国最大級の燃料パイプラインを運営する Colonial Pipeline が、ランサムウェア攻撃を受けて操業停止に追い込まれました。犯行グループは DarkSide(スライドでは "Dark Side" と表記されていましたが、正しくは DarkSide の1語)です。燃料供給が止まり、社会的な混乱が広がりました。

同社は、発覚からごく短時間のうちに身代金の支払いを決断します。報道によれば、支払額は 約75ビットコイン(当時のレートで約440万ドル)。その後、FBI が約63.7ビットコイン(当時約230万ドル)を追跡・奪還 したことを、米司法省(DOJ)が公表しています。ビットコインの取引台帳をたどり、送金先の秘密鍵を押さえて差し押さえた、という異例の展開でした。

この事件には、開発者として知っておきたい論点が2つあります。1つは、近年のランサムが 「二重恐喝(ダブルランサムウェア)」 へ進化していること。データを暗号化して「復号してほしければ払え」と迫るだけでなく、盗んだデータを「払わなければ公開する」と二重に脅す手口です。バックアップから復旧できても、情報の暴露は止められません。もう1つは、身代金を払っても、暗号化された「人質(データ)」が無事に戻る保証はない、という点です(これは講義の口頭補足として強調されました)。

情報窃取 ── 法律事務所を狙ったインサイダー取引

攻撃が直接お金に化ける、もう1つの類型が 情報窃取 です。講義では、法律事務所の IT システムにマルウェアを仕込み、メールアカウントに侵入して機密情報を盗み、それを使って不正に利益を得た、という事件が紹介されました。

この事件の実体を、引用元となった米司法省(DOJ、ニューヨーク南部地区)の2016年12月27日のプレスリリースで確認すると、次のような構図です。米国外(マカオ在住者を含む)の中国人3名が、米国の著名な法律事務所のネットワークに侵入し、企業の M&A(合併・買収) を扱うパートナー弁護士のメールを盗み出しました。まだ公表されていない M&A 情報を先回りして株取引に使い、400万ドルを超える不正な利益 を得たとされます。なお「M&A」や利益額は講義スライドの本文には明記されておらず、この引用元の実事件(DOJ・SEC の2016年の発表)に基づく数字である点を区別しておきます。

守りの堅い企業本体ではなく、機密が集まる 法律事務所という「急所」 を突いた、という点が示唆的です。情報は、それを持つ人の周辺のいちばん弱いところから漏れます。

相場操縦 ── 乗っ取った証券口座で株価を吊り上げる

もう1つ、ごく最近の類型が 証券口座の乗っ取りによる相場操縦 です。これは前述の法律事務所の事件とは まったく別の事件 なので、混同しないよう分けて書きます。

2025年3月下旬以降、日本の複数の証券会社で、顧客の取引口座が乗っ取られる被害が相次いで公表されました。手口はこうです。フィッシングで正規サイトそっくりの偽サイトに誘導し、ログイン情報を盗む。盗んだ情報で名義人になりすまして口座に侵入する。そして、出来高の小さい銘柄 を乗っ取った口座から大量に買わせて株価を吊り上げ、あらかじめ自分が仕込んでおいた同じ株を高値で売り抜ける ── いわゆる「ポンプ&ダンプ(pump and dump)」の疑いです。他人の証券口座を悪用してこの規模の相場操縦を行うのは、過去に例を見ない、と指摘されています。金融庁の注意喚起によれば、被害は急拡大しています。

開発者としての実務接続。 3つの事例に共通するのは、攻撃者が狙っているのが「システムそのもの」ではなく、その先にある 換金できる価値 だ、という点です。ランサムなら事業停止の圧力、情報窃取なら M&A 情報、相場操縦なら乗っ取った口座 ── いずれも「どうやってお金にするか」から逆算して攻撃してきます。だから守る側も、「うちのどのデータ・どの機能が、攻撃者にとっていくらになるのか」という換金の視点で優先度を組み直すと、守るべき急所が見えてきます。そして相場操縦の事例が示すとおり、認証の突破(フィッシング → 認証情報の窃取 → なりすまし)は依然として王道の入口です。多要素認証やフィッシング耐性のある認証(パスキーなど)、重要操作時の追加確認は、経済戦の入口を塞ぐ最前線の実装です。

「経済安全保障」というレンズ ── 事業防衛と国家安全保障の交錯

最後に、ここまでの話を1つのレンズでまとめます。それが 経済安全保障(economic security) です。

「経済安全保障」の2つの顔

「経済安全保障」という言葉は、もともと素朴には「お金が十分にあって、暮らしが安心できる状態」という意味合いを持っていました。ところが、米国などが使う economic security は、その背後に 軍事的な含み を持つ言葉です。経済と安全保障、そして軍事が、地続きにつながっているのです。

講義が指摘していたのは、日本企業はこれまで、この『軍事的な側面』を見ずに事業をやってこられた という点でした。しかし、ハイブリッド戦やグレーゾーンが常態化し、攻撃が経済戦の道具になる時代には、そうはいかなくなります。白兵戦をともなわない non-contact warfare(非接触戦)の最たるものがサイバー攻撃であり、その最前線に民間企業が立っている以上、事業防衛(自社を守ること)と国家安全保障(国を守ること)は、もはや別々の話ではなくなりつつある、というわけです。

そして講義は、これを 経営トップ層(C Suite)の問題 だと位置づけていました。技術部門だけに押し付けられる話ではなく、経営の意思決定として向き合うべき課題だ、という指摘です。

ここからは私の意見です

ここからは、事実の紹介ではなく 私の意見 です(あくまで一開発者の見解として読んでください)。

正直に言うと、講義を受けるまでの私にとって、「経済安全保障」は完全にニュースの向こう側の言葉でした。半導体の輸出規制や、どこか大きな会社の話であって、日々アプリを書いている自分とは無関係だと思っていました。

でも、ここまで見てきた流れ ── 国境も審判もいないサイバー空間で、帰属も抑止も効かず、民間が矢面に立ち、保険すら「戦争」で外され、攻撃は淡々とお金に変えられていく ── をつなげると、見え方が変わりました。私が運用しているサーバーや、預かっている顧客の認証情報や、社内にある未公開の事業情報は、すでに「経済安全保障」というゲームの盤面の上に乗っている。自分は無関係だと思っていただけで、とっくに当事者だったのです。

もちろん、一開発者が国家安全保障をどうこうできるわけではありません。私にできるのは、盤面の「自分の持ち場」をきちんと守ることだけです。認証を固め、情報資産を格付けし、バックアップと復旧を用意し、保険頼みにしない。それが、大きな話につながる小さな一歩なのだと、いまは思っています。

開発者としての実務接続。 経済安全保障は経営層(C Suite)の課題であると同時に、実装する私たちの課題でもあります。経営がリスクを引き受ける判断をするには、技術側が「何が・どれだけ・どんな脅威にさらされているか」を、経営の言葉(事業影響・将来価値)に翻訳して差し出す必要があります。ログを IOC のまま経営に投げても伝わりません。「この情報資産が失われると、将来の競争力にこれだけ響く」という形にして初めて、防御の投資判断や保険の設計が動きます。技術と経営をつなぐ翻訳者になること ── それが、この講義から持ち帰った、開発者としての一番の宿題でした。

まとめ

CySec「3IN」で学んだ内容を、開発者の目線で再構成してきました。タイトルに掲げた「あなたのサーバーは戦場の最前線にいる」は、比喩を超えた現実だ、というのが結論です。幹を3点、持ち帰ってください。

サイバー空間には国境も審判もいない。 国際法は主権国家を前提にしているため、匿名で国境を越える攻撃(Attribution が困難で、Asymmetry ゆえに安く、Deterrence が効かない)とは構造的にかみ合いません。国連憲章もタリンマニュアルも、主眼は「国家間の武力行使」で、非国家主体を交えた攻撃を取りこぼします。
矢面に立つのは民間企業=あなたのサーバー。 頼みの綱のサイバー保険すら「戦争除外条項」で免責されうることが、NotPetya をめぐる Mondelez / Merck の裁判で現実になりました。攻撃は身代金だけでなく、情報窃取・相場操縦という「経済戦」の道具にもなります。
技術だけでは守り切れない前提で「自衛」を設計する。 「経済安全保障」というレンズで、認証・情報資産の格付け・バックアップと復旧・保険の設計を、法・経営と一緒に組む。「攻撃されないこと」ではなく「攻撃されても事業が続くこと」を目標にする。

少し前の私に向けて、持ち帰ってほしい問いを1つ。次に自分のサーバーやサービスを設計するとき、「これは戦場に置かれている」と一度だけ想像してみてください。 国境も審判もなく、相手は特定できず、保険も当てにできないかもしれない。そう思って見直すと、「破られない設計」より「破られても戻れる設計」、「技術だけの防御」より「法・保険・経営を巻き込んだ自衛」へと、優先順位が自然に変わります。少し前の私は、国際法も安全保障も他人事だと思っていました。でも地図を1枚持っただけで、自分の持ち場が世界のどこにあるのかが、ずいぶん見通せるようになりました。

冒頭に書いたとおり、本記事は法的助言ではなく、国際法や安全保障の評価には私見が含まれます。制度や国際情勢は流動的なので、より正確な捉え方や最新の動きについては、末尾の一次情報もあわせてご確認ください。私自身まだ学習中の身なので、間違いがあれば指摘していただけると助かります。ここまで読んでいただき、ありがとうございました。

参考

本記事で挙げた条文・制度・事件は、次の一次情報・公的情報などで確認できます。記事の内容は執筆時点(2026年7月現在)のもので、最新は各サイトでご確認ください。

※補足・注記

読者を誤解させないために、講義スライドや受講メモの記載を、本文で確認・補正した点を明示します。

国連憲章の集団安全保障は「第7章」です。 講義スライドでは第12章と記載されていましたが、安保理の強制措置(集団安全保障、第39〜51条)を定めるのは国連憲章 第7章 です。第12章は「国際信託統治制度」の章なので、一次情報(国連憲章の条文)に合わせて訂正しました。
「タリンマニュアル」の綴りは Tallinn です。 スライドでは "Talinn" と表記されていましたが、正しくはエストニアの首都 Tallinn に由来する Tallinn Manual です。本文は正しい綴りで表記しています。また、スライドは「武力行使の定義」「自衛」をそれぞれ Rule 10 / Rule 11 と記していましたが、2013年版(1.0)の正しい規則番号は Rule 11(武力行使の定義)/ Rule 13(自衛) です(CCDCOE 版で確認して訂正しました。Rule 5・Rule 8 の番号はスライドどおりで正しいものです)。スライドが引用しているのは2013年版(1.0)で、平時の活動に範囲を広げた2.0(2017年)は、私が CCDCOE の情報で補足したものです。GGE 報告書(A/70/174)も、講義で触れられた文脈を一次情報で確認して補いました。
航空保険の同時多発テロは2001年です。 サイバー保険の構造問題の説明で、スライドには「2021年9月11日」とありましたが、米国の同時多発テロは 2001年9月11日 です。本文では2001年に訂正しました。
保険用語の表記。 スライドには「除外次項」「保険料支払い」といった表記がありましたが、本文では正しく「(戦争)除外条項」「保険金(の支払い)」としています。
ランサムウェアのグループ名は DarkSide です。 スライドの "Dark Side" ではなく、正しくは DarkSide(1語)です。Colonial Pipeline の身代金額(約75BTC を支払い、うち約63.7BTC を FBI が奪還)は、米司法省の発表で確認しました。
Merck の被害額(約14億ドル)について。 これは報道でよく引かれる数字で、講義スライドには記載がありません。額を紹介する場合は「報道による」と区別しています。また Merck の裁判は、控訴審(2023年5月)で保険会社が敗訴したのち、州最高裁の口頭弁論直前の2024年1月に和解し、控訴審の判断が覆らないまま決着しました(最高裁の判決は出ていません。いずれも講義スライドの時点より一歩進んだ状況です)。
法律事務所ハッキングの「M&A」「400万ドル超」について。 これらは講義スライドの本文には明記されておらず、引用元となった実事件(米司法省・SEC の2016年の発表)に基づく情報です。本文でもその旨を区別しています。
証券口座乗っ取りの件は、法律事務所ハッキングとは別事件です。 2025年に日本の複数の証券会社で公表された、口座乗っ取りによる相場操縦(ポンプ&ダンプ)の事案で、金融庁が注意喚起しています。
口頭補足とスライド記載の区別。 「セーフティ=安全/セキュリティ=安心」といった語感の整理、「特別軍事作戦」呼称をめぐる評価、認知戦や侵攻前の金融機関攻撃の具体例、「本当の損害は10年先の研究開発力」といった表現は、いずれもスライドに明記された内容ではなく講義の口頭補足です。本文では断定を避け、そのように帰属しています。