NATOサイバー防衛協力センターでの訓練風景(エストニアの首都タリン)ロイター

米国で石油パイプラインがサイバー攻撃を受けた事件を契機に、電子空間を起点にした攻防が改めて鮮明になった。米政府は被害が重大なら軍事的手段で報復する構えも見せるが、国際法上の解釈の問題や事態エスカレートの危険もはらむ。

一般にサイバー攻撃は、攻撃者側が自分の正体を特定されないよう、さまざまな中継地点を経由するとともに、発覚しにくい形でコンピューター・ウイルスを標的のシステムの中に埋め込む。

米国など一部の国では、コンピューターに侵入されたルートをたどり、攻撃元を割り出せる高度な解析能力を有しているもようだ。

攻撃者を特定できても、公表するとは限らない。公表すれば、攻撃者は別のルートを見つけて新たな攻撃をしかけるためいたちごっこが続くことになる。また、防御する側は、あえて気づかないふりをして攻撃者を泳がせ、行動パターンを探ったり、侵入ルートを逆用して報復攻撃用ウイルスを送り込んだりすることもできる。

ただ、被害が甚大なケースなど攻撃が悪質な場合は、警告の意味を込め、攻撃者を公表することもある。今回のパイプライン攻撃事件について、米連邦捜査局は、ロシアのハッカー集団「ダークサイド」のよるものだと早々と断定した。米司法省は過去の攻撃をめぐって2018年と21年に北朝鮮のハッカーを起訴している。

20年10月にインドの商業都市ムンバイで大規模停電が発生した。これに関しては同国との国境紛争を抱える中国が、インドに圧力を加えるため同国各地の電力システムにウイルスを送りつけ、ダウンさせたと調査会社が解析した。

情報の違法入手やシステム障害を起こす手段としてサイバー攻撃が実行されているうちは、まだ事態は軽度といえそうだ。一方、システム障害を引き金にパイプラインや工場が爆発事故を起こしたり、航空機の制御系統がまひして墜落したりして甚大な物的・人的被害が出る事態も現実的になってきた。

イランの核関連施設で物理的な破壊を伴う事故がしばしば起きているが、同国の核兵器保有を阻止したい米国とイスラエルによるサイバー攻撃による結果だったと見られている。

先々、極めて甚大な被害を及ぼすサイバー攻撃を、中国やロシア、北朝鮮などが起こす事態を念頭に、米国は被害規模次第では軍事的手段で報復する方針を明示。日米は「重大なサイバー攻撃は日米安全保障条約の発動要件になる」との立場をとる。

そうした姿勢の論拠になっているのが、サイバー戦争が既存の国際法でどのように解釈されるかに関する欧米国際法学者らの見解集「タリン・マニュアル」だ。

エストニアの首都タリンにある北大西洋条約機構(NATO)の研究所が事務局になり、13年につくられた同文書は「サイバー攻撃であっても現実世界での戦争における攻撃と同様の被害を出せば、国際法上の武力攻撃に該当する」とみなしている。

戦時国際法には「国家は自国が攻撃で受けた被害と釣り合う範囲なら相手国に反撃してもよい」という自衛権発動に関わる均衡の原則がある。

実際に大規模なサイバー攻撃への対抗策として軍事力による報復に国家が踏み切るかどうかは、別途、政治家の判断にかかってくる。軍事報復がさらなる軍事報復を招き、全面戦争に至ってしまう恐れがあるからだ。

ただ、先々も攻防が電子空間にとどまる保証はない。米中などでは、将来の戦争で敵の意表を突く攻撃を瞬時にするため、戦術を人工知能(AI)に立てさせるというアイデアが浮上している。仮にAIが、自制する人間のようには考えず、極めて攻撃的で甚大な被害をもたらすサイバー攻撃を選択肢に選んだ場合、攻撃された側が軍事力で対抗する道を選ぶかもしれない。サイバー戦争は静かに「次の段階」を迎えつつある。

(編集委員 高坂哲郎)