7ドメインの差押え：侵入サービスの共通基盤に届く法執行

01 / 18

一つの接点を変え、複数の利用者に届く

米司法省と連邦捜査局（FBI）は2026年10月8日、Integrity Technology Group（永信至誠科技集団）のMicroscan・FishHub基盤への差押えを発表した。同社は中国に拠点を持ち、裁判資料は関係者による両ツールの運営を申し立てている。発表は有罪判決ではない。^[1]

今回の措置を理解する入口は、侵入者一人を止めたという捉え方より、複数の利用者が使う接点に何をしたかにある。提供者が道具を作り、利用者がそれを使う仕組みでは、個別の攻撃ごとに同じ設備を作り直す必要が減る。その共有部分へ法執行が届けば、別々の利用者の活動にも影響し得る。ただし、同じ提供者の名前が付くすべての活動が、一つの接点を通るとは限らない。効く範囲は、実際の依存関係によって決まる。

SG Groupが注目するのは、利用者の外側にある共通の仕組みを変える方法である。道具を使う人が別の国にいても、利用に必要な接点を第三者が管理していれば、介入する相手を具体的に考えられる。これは、被害を受ける側が自社の設備を一台ずつ更新する対応とは異なる入口である。共通の接点に届く措置が、サービスを提供する側と利用する側の仕事をどう変えるか。その条件から、国際的なサイバー活動と企業の費用への意味を読む。

02 / 18

発表の時点と、証拠が示す時点

10月6日付の令状は10月20日を執行期限とし、執行報告欄は空欄である。^[2] 期限と、実際に操作が行われた日は別だ。発表を読む際も、何を命じたかという情報と、その結果を知らせる情報を同じ時点に揃えない方が、変化の順序を理解しやすい。

この時間の関係は、対策の効果を考えるうえでも大切になる。発表を受けた企業が点検を始める時点と、名前の接続先が変わる時点は一致するとは限らない。後日の資料で何かが見つかったとしても、発見した日が活動の始まった日とは限らない。差押え前から続く利用なのか、変更が行き渡る間の利用なのか、別の経路へ移った利用なのかによって、措置への評価は変わる。

宣誓供述は、2022年の活動、別の2024年措置、2026年の調査記録を含んでいる。^[3] こうした資料を使う際は、ある記録が何を説明するために置かれているかを読む必要がある。過去の記録が現在の手続きの根拠になっても、その規模を現在の被害へ足し合わせることはできない。活動の継続を調べる資料と、今回の操作を調べる資料には、異なる役割がある。

03 / 18

道具の提供者と、道具を使う主体

共同アドバイザリーは、Integrity Techによる道具と基盤の提供を説明し、Flax Typhoonなどの呼称と政府の追跡区分は一対一とは限らないとしている。^[4] 提供者の名前と、個々の利用者の名前を完全に同じ集団として読むと、措置の届く範囲を広げすぎる。

道具を提供する仕組みには、設計を共通化できる利点がある。ある利用者のために作った機能を、別の利用者も使えるなら、開発の手間を毎回負う必要がない。接続先の管理や更新も提供者に集められる。その反面、提供者の管理する一つの場所へ依存する部分が増える。共通化による使いやすさと、第三者の介入が届きやすい場所が、同じ設計から生まれる可能性がある。

これは同社の収益や利用者数を推定する話ではない。今回の資料で考えられるのは、作る側と使う側を分けたときに、止める対象も変わるという構造である。個別の利用者が持つ設備を止めても、共通の提供者は残り得る。共通の接点を変えても、その接点を必要としない利用者は残り得る。サービスを一つの名称でまとめるより、どの機能を誰が管理するかを読む方が、措置の意味を具体化できる。

AIのサイバー能力と企業の防御作業 — 能力の評価から防御の作業へ進む、別のサイバー事例。

04 / 18

対象名から被害者の数を決めない

裁判資料が示す機能別の関係は図にまとめた。^[3] ここで数えている単位は、ネット上の接続先を名前で指定するための登録された領域、ドメインである。一つの領域の下に複数の接点を置くことも、別の領域を同じ機能へつなぐことも考えられる。何を数える表なのかを先に揃えると、利用する主体や被害の数との取り違えを減らせる。

同じ機能に複数の名前がある場合、その役割も一つとは限らない。同時に使っていたのか、用途を分けていたのか、一方の停止に備えたのかによって、代替のしやすさは違う。名前を数えるだけでは、その違いを決められない。複数あるから停止に強いとも、対象の名前すべてを変えたから機能が完全になくなったとも言えない。ほかの接点との対応が、機能の残り方を左右する。

この数を経済へ結び付ける際も、単純な比例計算は役立たない。名前の一部を変えた割合と、減った被害の割合が同じになる理由はないからである。一つの名前が多くの利用者に共有される場合と、一つの限られた作業だけで使われる場合では、意味が大きく違う。図では機能ごとの対象数を並べるが、棒の長さが表すのは名前を数えた結果だけである。停止した活動や、防げた損失の比率を示すものではない。

05 / 18

裁判所の命令は、登録の共通部分へ向かう

Attachment AはVerisignに、合理的な措置で対象をFBI指定のサーバーへ向け、没収まで変更・移転を制限し、DNSへ速やかに変更を伝播するよう求める。^[2] DNS（Domain Name System）は、名前と接続先を対応させる仕組みである。名前を使う側から見ると、どの相手がその対応を管理するかが、介入を理解する鍵になる。

登録を受け付ける窓口と、共通台帳を維持する事業者は、同じ役割ではない。ICANN（Internet Corporation for Assigned Names and Numbers、インターネットの識別子に関する調整機関）は、前者をレジストラ、後者をレジストリと説明する。^[6] この役割の違いから、利用者が日常的に操作する窓口だけでなく、名前の管理が集まる相手へ届く措置の意味が分かる。

たとえば、ある利用者が手元の設定を変えて別のサーバーを用意しても、対象の名前を新しいサーバーへ結び直せなければ、以前の接点をそのまま使うことは難しくなる。再び同じ名前を使うために必要な操作と、新しい名前でやり直すための操作は別である。法執行がどこを制御したかを特定すれば、相手が何を変えなければならないかも具体的に考えられる。これは停止時間の予測ではなく、代替に必要な条件の整理である。

06 / 18

元の接点を維持する選択と、別の名前へ移る選択

代替を考えるときは、名前と設備の二つを組み合わせると分かりやすい。元の名前を維持したまま設備を変える方法と、設備を維持して新しい名前へ移る方法では、変える相手が違う。前者では名前を制御する関係、後者では使う人へ新しい接点を伝える関係が重要になる。図の四つの組合せは、この違いを考えるための仮定である。

仮に提供者が同じ設備を残して新しい名前を用意しても、その名前が届くのは、案内を受け取れる利用者からになる。以前の名前で使い続ける人と、新しい接点へ移る人が一時的に分かれる可能性がある。設備を変えて元の名前を残せる場合は、利用者に必要な変更が少なくなるかもしれない。どちらが容易かは、制御できる部分と利用者との対応によって変わる。

事業者の立場から見ると、命令の履行には対象を間違えずに変更する作業がある。名前が似ている別のサービスを同じ対象に含めれば、関係のない利用者へ影響する。反対に、対象の名前の一部だけを変えても、指定された範囲に届かない可能性がある。共通台帳への介入は広く届き得るからこそ、法的に指定された対象と技術上の操作対象を対応させる精度が重要になる。

07 / 18

名前と、サーバーにある機能を分ける

ICANNは、ドメインを取得することと、ウェブサイトやホスティングを用意することを区別している。名前は接続先を指す役割を持つが、サービスを動かす設備そのものではない。^[7] 名前の制御が変わったことから、すべてのプログラムや、保存済みの情報が消えたと考えることはできない。

この違いは、差押えの効果を測る対象を選ぶ際に役立つ。以前の名前を使った接続が変わったかを調べることと、別の場所から同じ機能を利用できるかを調べることでは、問いが違う。前者が変わっても後者が残る場合がある。逆に、コードが残っていても、それを利用者が使うための接点が失われれば、すぐに同じサービスを提供できるとは限らない。

被侵入先の状態については、さらに別の確認が要る。名前の差押えだけで、既存の侵入や持ち出された情報が取り消されるわけではない。^[4] 今回の措置の主な評価対象は、提供者の接点へ届く介入である。 配布済みの品物の説明を扱うGitLab記事では、受領者側の異なる問いを詳しく整理している。

GitLabと配布済みソフトウェアの説明 — 送り手と受領者が、同じ納品物について話す条件。

08 / 18

共通の接点への介入は、利用者ごとに違って届く

同じサービスを使う二つの利用者を考える。一方は作業のたびに提供者の接点へつなぎ、もう一方は手元にある機能だけで一部を実行できるとする。これは構造を考えるための仮定である。接点の変更は、前者の次の作業に直接関わりやすい。後者への影響は、接点がどの作業で必要になるかによって変わる。同じ提供者を使うという共通点だけでは、影響が同じになる理由はない。

この仮定では、Aは次の作業に必要な入口の情報を求める。一方、Bは、すでに手元にある出力を読む段階なら、その場で同じ変更を必要としないかもしれない。Bが新しい情報を求める時点になると、共通の接点に関する問いが戻ってくる。利用者が違うだけでなく、同じ利用者も仕事の段階によって依存が変わる。影響を一律に人数へ割り当てられない理由はここにある。

提供者にとっては、利用者との接続をまとめる仕組みが運用を簡単にする一方、共通の変更を全利用者へ知らせる仕事も生む。法執行によって既存の接点を失えば、単に新しい名前を用意する以外に、その名前を使う側との対応を揃える必要がある。利用者ごとに使い方が違うほど、一つの案内だけで同じ状態に戻れるとは限らない。この対応の手間がどこで発生するかは、共有の設計を読む経済上の論点になる。

IonQ・Elisityの通信権限と暗号 — 企業内の通信権限と暗号統合を扱う事例。

09 / 18

代わりの名前を買う費用と、機能を再び届ける費用

新しい名前の登録代金が小さくても、利用者が同じ機能を使える状態を取り戻すまでの費用が小さいとは限らない。登録、設備、接続する側の対応という三つの仕事を考えれば分かりやすい。登録を終えても設備がなければ機能は動かず、設備があっても利用者が接続先を知らなければ使えない。何を既存の仕組みから引き継げるかによって、必要な仕事は変わる。

宣誓供述は、2024年の別の措置の後にも、2026年9月9日の調査でMicroscanのログイン画面が観察されたと記す。^[3] この歴史は、今回の差押え後の再開を示すものではない。ただ、一度の基盤への介入と、道具がその後にどう提供されるかを、異なる時点で評価する必要があることを示している。過去の継続から今回も同じ速さで戻る、と推定することはできない。

再建を考えるなら、同じサービスを再び提供する場合と、機能の一部だけを別の方法で提供する場合を分けたい。前者では従来の利用者との対応を維持する意味が大きい。後者では使える機能が変わり、利用者も作業を変える必要があるかもしれない。同じ名称の再登場だけでは、同じ規模や使いやすさが戻ったとは限らない。反対に、名称が変わっただけで継続性が失われたと決めることもできない。

10 / 18

変更を決める時点と、変更が届く時点

名前を管理する場所での変更と、離れた利用者が読む接続先の変化には、異なる観測点がある。同じ一つの接点について確認する場合でも、管理元で終わった作業を示す資料と、利用する側で届いた変化を示す資料は別である。この二つを対応させれば、どこまでの変更が分かっているかを具体的に説明できる。

もし措置直後に以前の接点への接続が見えたとしても、その観測一つだけで命令が実施されていないと結論づけるのは早い。観測した場所と時点、どの名前を使ったか、どの接続先へ届いたかを合わせて読む必要がある。別の名前で同じ機能が使われたなら、対象の設定変更が戻ったのか、制限の外にある別の基盤を使ったのかが問題になる。二つは、対策を続ける際の相手も対象も異なる。

こうした時間差を、単に対応が遅いという評価へ縮めないことが大切である。指定された操作を正しく終える仕事と、その結果を離れた場所で観察する仕事には違う材料が要る。法執行の発表日だけを起点に一定の停止時間を計算しても、始まりと終わりに同じ状態を使っていなければ意味が曖昧になる。効果を時間で比較するためにも、まず何の状態が変わったかを定めたい。

11 / 18

重要インフラを調べる活動が、経済に関係する理由

司法省の発表は、Microscanによる探索の対象として電力、空港、天然ガスなどの組織を挙げている。探索されたことと、侵入や操業停止が起きたことは同じではない。^[1] それでも、こうした対象が経済上重要なのは、情報システムの役割が組織の中だけに収まらないからである。電力や輸送の利用者は、提供者の設備を自分で点検し直して同じサービスを作れるわけではない。

これらの産業で機能の不確実性が高まると、サービスを使う企業は自社の備えも検討する。代わりの供給や輸送を選べる場合は、その条件を比べられる。選択肢が少ない場合は、提供者の対応や説明に頼る部分が大きくなる。探索の存在だけで代替費用が発生したとは言えないが、実際の障害へ発展した場合に影響が他社へ伝わる理由は、この依存関係にある。

影響を考える際には、機密を保つ機能と、業務を動かし続ける機能も分けたい。仮に資料をやり取りする接点へ問題が生じた場合と、操業に直接必要な接点へ問題が生じた場合では、同じ設備の名前が出ても意味が違う。前者では情報の管理、後者ではサービスの継続が評価に近くなる。どちらの機能に関係したかが分かれば、経済への経路も絞れる。

操業が続くことだけで、情報の問題が小さいとも限らない。企業が価格や調達に関わる未公開情報を扱う場合、その情報の価値は、設備を止めた時間では測れないからである。逆に、探索の対象に企業名が現れただけでは、その情報が持ち出された証拠にならない。連続したサービスと、保護したい情報という二つの価値を考えることが、業種名から損失を決めない分析につながる。

12 / 18

共通の情報と、国ごとの執行権限

国家サイバー統括室（NCO）と警察庁は10月9日、日本時間の同日付で米国の共同助言への署名を公表した。資料は米国、英国、豪州、カナダ、スペイン、ニュージーランド、日本の協力機関を列記する。^[5] 情報を共通に読む協力と、各地で何を操作するかは、次の異なる問いになる。

協力には、情報を共通に読めることと、各地で操作できることの二つの面がある。ある国の調査が、別の国の組織にとって接点を見直す材料になっても、その資料だけでどこにでも同じ法的命令を出せるわけではない。逆に、一国の裁判所の命令が特定の事業者へ届けば、その事業者が管理する名前を使う接続は、国境を越えて変わり得る。情報共有の範囲と、執行する相手の範囲を別々に見る必要がある。

経済上の意味は、各国が同じ資料を使うことで、同じ対象について話せる可能性が増す点にある。独立に作った説明が異なる名前や時点を使えば、同じ接点を別物と考えたり、違う活動を同じものと考えたりするおそれがある。共通文書は比較の出発点を揃える。ただし、資料にある指標が各組織の現在の環境へそのまま当てはまるとは限らず、具体的な関連を調べる仕事は残る。

共同署名は、措置の効果を数字で保証するものでもない。署名国の数を、停止した活動の割合や、減った損失の大きさへ置き換えることはできない。重要なのは、複数の地域の防御者が同じ接点や手法を認識できることと、法執行が実際に操作する対象が明確であることだ。この二つが結び付けば、共通基盤への介入を各地の状況に沿って評価しやすくなる。

13 / 18

企業への影響は、必要な仕事の場所から読む

この措置に伴う費用を考えるなら、まず仕事が発生する場所を分けたい。命令の相手には、登録と接続先を正しく変更する仕事がある。道具を提供する側には、従来の接点の代わりを用意する必要が生じ得る。利用する側には、新しい接点で同じ機能が届くかを確かめる仕事がある。これらは、被害を受ける組織の調査費用とは別の場所で生じる。

三つの仕事をまとめて「サイバー費用が増える」と呼ぶと、誰にどの負担が届くかが見えにくくなる。提供者が移行を引き受ければ、利用者の手間は小さくなる可能性がある。利用者が手元の変更を必要とすれば、その手間は分散する。命令の対象である事業者が実装する仕事は、対象数だけでなく、変更を取り違えないための確認にも関係する。今回の金額が分からなくても、負担の場所は具体的に考えられる。

これを一般的な防御製品の需要増へ直結することは難しい。登録元で行う操作と、企業が追加で購入する製品は同じではないからである。既存の仕組みと担当者で進められる仕事もあれば、外部の助けを必要とする仕事もある。支出が増える場合でも、その受取先や収益への影響は、選ばれた対応による。サイバー株を評価する記事が扱う契約や株主の現金とは、分析の入口を分けるべきである。

サイバー防御需要と株主の現金 — 契約、収入、現金を通じて企業評価を読む。

14 / 18

国コードから、措置の届く場所を決めない

対象にある「.cc」は、IANA（Internet Assigned Numbers Authority、ネット上の識別子の調整を担う機能）の記録では国コードのトップレベルドメインで、管理主体とVerisignの技術窓口は区別されている。^[8] 末尾の文字だけで攻撃者や設備の所在地を決めることはできない。操作が届く相手を読むには、個々の管理の関係が要る。

国際的なサービスでは、利用者、登録窓口、共通台帳、設備が同じ場所にあるとは限らない。この関係を一つの国名にまとめると、命令を届ける相手を読み違える。逆に、利用者の所在が外国であることから、米国の事業者に対する操作が何も変えないとも言えない。今回の令状を読む際は、どの国の利用者かという問いと、どの事業者の何を操作するかという問いを合わせて考えたい。

この見方は、ある種類のドメインが安全で、別の種類が危険だという結論には向かわない。名前の末尾は登録の仕組みを知る材料になるが、個々の用途を判断する証拠にはならない。正当なサービスも、悪用される接点も、共通の仕組みを使う。法執行は具体的な対象を示す必要があり、利用者も似た名前を一律に同じ活動へ結び付けるべきではない。

15 / 18

SG Groupの見方：効いた範囲を、依存した機能で測る

SG Groupは、今回の措置を「何件止めたか」という一つの数字へ縮めるより、制御した接点と、それを必要とした機能を結んで評価する方が有用だと考える。指定された名前の変更は、その対象への操作を示す。そこから機能の利用に届くには、利用者がその接点を必要としていたという関係が要る。そこから被害の減少へ届くには、さらに別の関係が要る。

この三段階を一度に成功か失敗かと呼ぶと、異なる成果を混ぜやすい。名前の制御に成功しても、すべての利用者が依存していなければ効果は限られる。利用者の作業を妨げても、被害の変化を短期間で観察できるとは限らない。それぞれに答える資料を揃えることで、どこまでの効果があり、どこに次の課題があるかを見分けられる。

活動が減ったという観測だけでも、今回の措置の効果を一つに決めるのは難しい。別の対応が同時に進む場合や、観測の範囲が変わる場合がある。比較を進めるなら、対象の接点を使った活動と、使わなかった活動を、同じ期間と方法で追う材料が役立つ。ただし、二つの群の条件が違えばその差も残る。単純な発表前後の件数より、何が変わった観測なのかを読める記録が有用になる。

この評価が変わるのは、指定された名前と利用者の機能の関係を示す新しい資料が出たときである。別の接点で同じ機能が広く提供されていたことが分かれば、今回の制約を小さく評価する方向へ進む。対象の接点に重要な機能が集中していたことが分かれば、介入の広がりを大きく評価する方向へ進む。いずれも、発表の強い言葉や対象数だけから決められる結論ではない。

16 / 18

「新しい名前ならすぐ戻る」という反論

差押えの効果に対する有力な反論は、名前を新しく登録すれば同じ機能を使えるというものだ。設備と利用者の対応を簡単に変えられる仕組みなら、その可能性はある。接点を失うことが、道具や知識を失うことと同じではない点も、この反論を支える。相手が代替を用意できる可能性を無視して、恒久的な停止を想定すべきではない。

ただ、この反論には、代替の登録が終わることと、以前の利用者が同じ機能を使えることが一致する、という前提がある。利用者との対応や、設備側の設定を変える仕事が残るなら、登録代金だけでは負担を説明し切れない。別の接点を選ぶなら、既存の利用者がそこへ到達する方法も変わる。効果を認めるために長期間の停止を想定する必要はなく、追加の仕事や、一部の利用者の移行が生じる場合も評価対象になる。

反対に、追加の仕事があるはずだという理由だけで、相手の負担を大きく決めてしまうこともできない。従来から別の接点を用意していた、利用者の対応が容易だった、対象の機能をあまり使っていなかった、といった状況なら負担は小さくなり得る。今回の資料から再建時間や費用を算出する材料はない。反論を検討する目的は、強気の結論を守ることではなく、結論を変える具体的な条件を明らかにすることだ。

17 / 18

三つの展開を、観察する対象で分ける

第一の展開は、指定対象の制御が変わり、その接点に依存する機能も使いにくくなる場合である。この場合は、名前の操作が利用者の作業へ届いている。ただし、どの利用者のどの機能に届いたかを示す必要がある。一つの接続の変化だけで、すべての活動の停止を説明することはできない。

第二の展開は、指定対象の制御は変わるが、別の基盤で同じ機能が提供される場合である。評価は、対象の設定が戻ったのか、対象の外で代替が作られたのかによって分かれる。後者なら、元の命令の履行と、代替への対応は別の課題になる。新しい名前が観察されたことだけで、以前と同じ利用者、機能、規模が戻ったと考えるべきではない。

第三の展開は、接点の変更については分かるが、機能の利用状況を判断する資料が足りない場合である。この場合は、法執行の対象が変わったことを示せても、活動への効果の大きさは決められない。判断を保留する場所を具体的にすることで、操作の確認まで無価値にしたり、逆にそこから損失の減少まで推定したりせずに済む。図では、この三つを確率や順位を付けずに分岐として示す。

18 / 18

次の資料で評価が変わる場所

今後の裁判資料では、差押えの執行内容と、没収手続きの段階が関係する。執行期限は、将来の成果発表日や裁判の期日を約束するものではない。実施した操作を記す資料があれば、発付時に命じた内容との対応を読める。権利の扱いが進めば、対象の名前を制限する状態の意味も変わる。

活動に関する続報では、名前、機能、利用者を結ぶ情報が評価を変える。同じ名前が出たというだけでは足りず、どの時点のどの機能に関係したかが役立つ。共同アドバイザリーの指標には2016年1月以降の観察が含まれるため、過去の記録と現在の利用を混ぜないことも必要になる。^[4] 指標の一致は調べる材料になるが、現在のサービスがその接点を必要としていることまでを一度に証明しない。

共有の接点は、サービスを広げる道具であると同時に、第三者が介入できる場所にもなる。今回の措置を読む価値は、その両面を具体的に見ることにある。何が操作され、どの機能がそこを必要とし、別の基盤へ移ると何が変わるか。次の資料をこの関係へ結び付ければ、対象数の大きさや強い発言に頼らず、措置の効果と限界を評価し直せる。