サイバー攻撃によって企業から個人情報が盗まれ、インターネット上に公開される事件が相次いでいます。こうした被害を防ぐため、政府は特定のウェブサイトへの接続を強制的に遮断する「ブロッキング」の検討を進めています。
しかし、ブロッキングには憲法で保障された「通信の秘密」との関係で法的な問題があります。また、サイバー攻撃を仕掛けてきた相手のサーバーに侵入し、逆に攻撃を仕掛けて止めることはできないのでしょうか。
今回は、ブロッキングの仕組みや法的な課題、日本でハッキングバックが原則として認められていない理由、そして政府が進める「能動的サイバー防御」との違いについて整理します。
ブロッキングとは？特定のウェブサイトへの接続を遮断する仕組み
ブロッキングとは、特定のウェブサイトやサーバーへのインターネット接続を、通信事業者などが強制的に遮断する仕組みです。
例えば、利用者があるウェブサイトを閲覧しようとしても、インターネット回線を提供する通信事業者が接続を遮断すれば、そのサイトを閲覧できなくなります。利用者自身がアクセスを拒否する設定をするのではなく、通信事業者側で接続を制限する点が特徴です。
ブロッキングには、DNS（ドメイン名とIPアドレスを対応させる仕組み）を利用する方法や、IPアドレスを指定して通信を遮断する方法などがあります。今回、政府が検討しているのは、サイバー攻撃によって盗まれた個人情報を公開するウェブサイトへのアクセスを遮断し、情報の拡散や二次被害を防ぐことです。
ただし、ブロッキングによって盗まれた個人情報そのものが削除されるわけではありません。別のサイトに転載されたり、攻撃者が別のサーバーに情報を移したりすれば、再び公開される可能性があります。あくまで、利用者が問題のサイトにアクセスすることを防ぐための対策です。
なぜ政府はブロッキングを検討しているのか
今回のきっかけとなったのは、GMOインターネットグループに対する不正アクセス問題です。
2026年10月、同社のサービスで第三者による不正アクセスが発生しました。攻撃者側は、GMOが身代金の支払いに応じなかったとして、10月27日に個人情報とみられるデータを公開し、その後も利用者情報を順次公開すると予告しました。
これは、企業のシステムに侵入して情報を盗み出すだけでなく、盗んだ情報をインターネット上に公開すると脅迫し、金銭を要求する手口です。
こうした攻撃では、企業がシステムを復旧させたとしても、すでに盗まれた個人情報は攻撃者の手元に残ります。情報が公開されれば、第三者による詐欺やフィッシングメール、なりすましなどに悪用される恐れがあります。
そこで総務省は、情報の悪用による二次被害が拡大する現実的な恐れがあるとして、10月27日付で国内の通信事業者にブロッキングを要請しました。政府が11月6日に決定した「サイバーセキュリティ緊急対策パッケージ」でも、サイバー攻撃への対処能力や被害拡大防止策の強化が掲げられています。
なぜブロッキングには法的な問題があるのか
ブロッキングを実施するうえで大きな問題となるのが、日本国憲法で保障されている「通信の秘密」です。
憲法第21条第2項では、通信の秘密を侵してはならないと定められています。また、電気通信事業法第4条でも、電気通信事業者の取扱中に係る通信の秘密を侵してはならないと規定されています。
これは、電話やメール、インターネットなどで、誰が誰と通信しているのか、どのような情報をやり取りしているのかを、正当な理由なく第三者に知られたり、干渉されたりしないようにするためのものです。
ブロッキングを行うには、通信事業者が利用者のアクセス先を把握し、特定のサイトへの接続を遮断する必要があります。つまり、利用者がどこにアクセスしようとしているのかを確認する行為そのものが、通信の秘密との関係で問題になるのです。
仮に政府から要請があったとしても、明確な法的根拠がなければ、通信事業者が自主的に接続を遮断することにはリスクがあります。利用者から通信の秘密を侵害したとして訴えられる可能性もあるためです。
実際、2018年には漫画などの海賊版サイトへの対策として、NTTグループがブロッキングを実施する方針を表明しました。しかし、通信の秘密を侵害する行為ではないかという批判が起こり、法的な問題が大きく取り上げられました。
今回も通信事業者からは慎重な意見が出ています。NTTの島田社長は、ガイドラインの整備や法制化の必要性に言及し、KDDIの松田社長も制度的な整理が重要だとの考えを示しています。個人情報を守るための対策であっても、通信事業者がどのような条件で接続を遮断できるのか、誰が対象サイトを判断するのか、誤って無関係なサイトを遮断した場合に誰が責任を負うのかといったルールが必要になります。
なぜサイバー攻撃の犯人に反撃できないのか
ここで疑問になるのが、サイバー攻撃を仕掛けてきた相手のサーバーを逆に攻撃して、情報公開や不正アクセスを止めることはできないのかという点です。
日本では、サイバー攻撃を受けた民間企業や個人が、攻撃者のサーバーに侵入したり、不正プログラムを送り込んだりして反撃することは、原則として認められていません。
攻撃者のシステムに無断でアクセスすれば、不正アクセス禁止法に抵触する可能性があります。また、データの削除や改ざん、システムの破壊などを行えば、電子計算機損壊等業務妨害罪などに問われる可能性もあります。
攻撃元とみられるサーバーが海外にあっても、実際には第三者のコンピューターが乗っ取られている場合があります。誤って無関係な相手に被害を与える危険もあるため、民間企業が独自の判断で攻撃者側のシステムに侵入することはできません。
また、攻撃者の特定には高度な技術と証拠の収集が必要です。攻撃の発信元を確認できたとしても、実際の実行者や背後にいる組織まで特定できるとは限りません。
さらに、海外のサーバーに対する攻撃は、その国の法律や主権、国際法との関係も考慮する必要があります。民間企業が独自の判断で相手のシステムに侵入したり、破壊したりすることは認められません。
つまり、サイバー攻撃を受けたからといって、同じ方法で相手に攻撃を仕掛けてよいわけではないのです。
日本でも「能動的サイバー防御」が始まっている
ただし、日本がサイバー攻撃に対して一方的に防御するしかないという状況は変わりつつあります。2025年に成立したサイバー対処能力強化法などに基づき、2026年10月1日から能動的サイバー防御に関する制度が施行されました。
能動的サイバー防御とは、サイバー攻撃を受けてから被害を復旧するだけでなく、攻撃の兆候を把握し、被害が発生する前に対処する考え方です。
この制度では、政府による通信情報の分析や、重大なサイバー攻撃に使用されているサーバーなどへのアクセス・無害化措置が可能になりました。無害化措置とは、攻撃に利用されているサーバーなどにアクセスし、不正プログラムを停止させるなどして、攻撃に使えない状態にすることです。
ただし、これは攻撃者に対して自由に反撃できる権限を与えるものではありません。対象となるのは、国や重要インフラなどに対する一定の重大なサイバー攻撃であり、警察や自衛隊などが法律で定められた条件や手続きに従って実施します。
また、国外のサーバーに対する措置についても、国際法上許容される範囲で行う必要があります。
ブロッキングだけではサイバー攻撃を防げない
今回の政府の対応は、個人情報の流出による二次被害を防ぐという点では意味があります。しかし、ブロッキングは公開された情報へのアクセスを制限するものであり、サイバー攻撃そのものを防ぐ対策ではありません。
そもそも、企業のシステムに侵入され、個人情報を盗まれた段階で、すでに被害は発生しています。攻撃者が別のサイトに情報を公開すれば、再びアクセスを遮断する必要が出てくる可能性もあります。
政府の緊急対策パッケージでも、既知の脆弱性への対応、システムの設定不備の改善、委託先を含めたセキュリティー対策の強化などが重視されています。AIによって脆弱性の発見から攻撃までの時間が短くなっていることも、対策を急ぐ理由の一つです。
今後は、通信の秘密を守りながら、どのような条件でブロッキングを認めるのか、政府や通信事業者の権限と責任を明確にする必要があります。
サイバー攻撃が相次ぐなか、被害が発生してから対応するだけでは追いつかなくなっています。攻撃を未然に防ぐ仕組みと、情報が流出した後の被害拡大を防ぐ仕組みの両方を整えることが求められています。
