電子攻撃に対処する法律

 

<熾烈な電子戦争が始まっている>

 

国家間の電子戦争が熾烈を極めている。いまや、潜在敵国に対する電子攻撃は、熱戦、冷戦の武器となっているだけでなく、日々の心理戦争、金融戦争、経済戦争を戦うための有力な手段ともなっている。

 

ところが、電子攻撃は、見えない世界で専門家によって巧妙に運用されているため、気付かれず、ジャーナリズムにも取り上げられないことが多い。スノーデンが暴露したNSAによる広範な通信傍受は――ドイツや日本の首相の電話傍受も含め、世界を驚かせたが、それ以上の激しい攻撃を共産中国、ロシア、イスラエル、北朝鮮は組織的に繰り返している。

 

中共を取り上げてみよう。中国軍や国家安全部には、高度のサイバー部隊があり、その傘下に電子機器の製造企業群、ウィルス作成企業群、通信会社、サイバー大学などを擁しており、電子戦に従事する人員は周辺を含めて40万人以上とみられている。彼らはこれまで、アメリカの国防企業のデータサーバーに侵入して、ステルス戦闘機や誘導ミサイルなどの先端技術を入手し、模倣を重ねてきた。原子力発電や特殊金属材料などの産業情報を窃取するほか、CIAやNSAの職員をふくむ連邦政府職員400万人の詳細な個人データを盗み取り、すでに各方面で諜報工作を開始している。さらに昨年施行された電子安全法で、国内で営業する企業が集めたデータは中国内のサーバーに保存することを義務付けた。これによって、アップルなど海外企業のデータも難なく収集できる体制が整った。

 

中央電視台の報道によると(2022.09)34の大学のサイバーセキュリティコースで毎年3万人を養成しているという。彼らは、卒業後軍に所属し、サイバー攻撃を仕掛けて、先端技術を盗み取ったり、通信や電力網の妨害を行っていると見られている。

 

盗み取った米国の企業情報や個人情報は、軍傘下の企業群やカード詐欺集団にも転売して私腹を肥やすことができるから、軍幹部にとってはおいしいサイドビジネスであり、仮に中央から中止命令が出たとしても(出すわけがないが)やめることができないのである。

 

 

米国の企業にしてこういう深刻な被害状況なのだから、安全対策のゆるいわが先端企業や金融会社の秘密情報、個人情報は、すでに相当数が中国にわたっているとみておかねばならない。

 

こうした海外からの電子攻撃に対して、日本政府は全く無策で歯が立たないでいる。使用しているOSは、windowsなど米国産で占められているから、その裏口を熟知したNSAや中国軍参謀部などの侵入に対して防御の施しようがない。フェイスブックやラインなどSNSも、安全保障のためであればNSAや韓国情報院に対して個人情報の提供を惜しまないから、日本人の通信は丸裸も同然である。

 

政府は、表看板にITセキュリティの強化を掲げてはいるが、ファイアウォールやパスワード管理、暗号処理などの表面的な対策では追いつかないところまで侵入技術は高度化してきている。海外の無料通信ソフトやゲームアプリ、動画再生ソフト、クラウドサービス、ウィルス対策ソフトの中にも、バックドアが仕込まれているとみられるから安心できないのである。中国の検索大手の百度で日本語入力すると、百度のサーバーに通信内容が転送されるという事実も表面化した。レノボの製品の二割には、出荷段階からマルウェア―が組み込まれていたことも発覚した。こうした工作に対しては、単に防御するだけでなく、侵入されたら、逆に偽情報を送りこんで逆侵入し、相手のITを破壊するシステム構築を急がなければならない段階に来ている。

 

 (なお、2017年三月、シスコシステムズは、

 ほとんどのシスコ製ルーターおよびスイッチで使用されているソフトウエア(ファームウエア)に重大な脆弱性が見つかったことを公表した。情報機関などは、その弱点を用いて、企業情報などを窃取していたことが明らかにされた。CIA機密文書「vault 7」による。)

 

<ルーターも危ない>

 

 

近年は、その上に新たな脅威が登場してきた。ソフトばかりでなく、情報通信機器のICチップの中に秘密のバックドア(傍受回路)が埋め込まれ、気づかない間に中国のスパイ機関に転送されているという状況が生まれてきたのである。たとえば、山崎文明教授が指摘されたように、インターネットの中継機器(ルーター)にバックドアを仕込めば、いとも簡単に通信内容を転送できるのである。これまでも、米国でファーウェイのルーターが真夜中に突然作動し始め、中国に情報を送信する裏口転送システムが検出されたことがあり、大問題となっている。

 

サイバー攻撃本家の中国はさすがにこのような通信機器の弱点を熟知しているので、2012年には国内のインターネット通信網から米国製のルーターをすべて排除することを決定した。外国製のルーターには、傍受機能だけでなく、IT通信網を突然停止させる機能(キルスイッチ)が含まれているかもしれないと警戒したのである。ということは、相手国の電子網破壊などの「超限戦」を想定して準備を進めている中国軍は、傘下のファーウェイ、ZTEなどの自国企業の製品に同じような破壊機能を搭載させて輸出している恐れが大きいと警戒しておかなければならない。

 

 

事態を重視した米国は、ファーウェイ、ZTEの製品を政府や国防企業が購入することを禁止し、議会報告書で警戒を呼びかけ、通信網の安全を確保しようとしている。

また、ファーウェイがルーターなどの通信機器を超廉価で納入しているソフトバンクに対しても非常な警戒心を抱いて監視を続けている。ソフトバンクが中国の隠れた代理人として世界で行動しているのではないかと疑っているのである。したがって、ソフトバンクの米国における通信事業は、これから極めて多難な時期を迎えることであろう。(日本にあるファーウェイやZTEの支社には、中国軍の幹部が常駐し活動していることを、従業員はよく知っている)

 

ちなみに、全世界に出回っている半導体の二割は、振動や熱に弱い中国製の不良品とされ、全数検査しないままこれを仕入れて組み込んだ航空機の電池が発火事件を起こしたことも記憶に新しい。米国のミサイルにも、中国製の粗悪な半導体が紛れ込んでおり、発射されても予定外の軌道に乗っていくのではないかと不安視している専門家もいる。

 

 

さらに近年は、韓国のサムスンや中国のレノボなどは、携帯やPCの新製品を国会議員や新聞記者など我が国のオピニオンリーダーたちに寄贈しているが、もしかするとその中に秘密の傍受装置が仕込まれているかもしれないのである。軍系列のファーウェイやZTEも、異常なほど安価でルーター、スイッチなどの製品を日本の通信会社に納入し、市場を独占しようとしているが、これに歯止めをかけなければ、対日攻撃の一環としてある日突然、我が国の電力網、通信網、鉄道網が一挙に機能停止してしまう恐れがあると専門家は危惧している。(ZTEは2017年3月、米国製品をイランや北朝鮮に違法に輸出していたことを認め、11億9000万ドル(約1300億円)の罰金を支払った。また、これに関連して、2018年4月米商務省は中国のZTEに対し、「輸出特権のはく奪」を科した。)

 

 米国の財務省と商務省は、すでに連邦政府施設と付属機関、ならびに連邦政府職員が華為(ファウェイ)と中興通訊(ZTE)のコンピュータを使用することを禁止しており、同時に連邦政府関連機関には、上記二社のルーターなど通信設備を敷設しない措置を講じてきた。2022年にFBIは、ファーウェイの装置が、アメリカの核兵器通信を傍受し、妨害するバックドアを供えていることを発表し、警告を発している。

(英国の中国研究者で元外交官のチャールズ・パートン氏は、中国製のIoT(モノのインターネット)による情報収集に警告を発している。パートン氏はその報告書の中で、携帯電話の通信を使いIoTに接続する「セルラーIoT」の危険性を指摘した。IoTとは、データを受送信するほか相互通信もでき、収集された情報に基づいて行動する機器もある。つまり党の利益のためのスパイ活動や知的財産の窃盗も、従来よりも簡単に実行できるようになる。)

なお、アメリカもバックドアの設置を義務付けるCALEA法(communicatins assistance for law enforcement act)を制定している。これによって、捜査のための通信傍受を容易にしようとするねらいである。ケーブル会社、DSLプロバイダー、ブロードバンド接続業者、一部の大学は、自社のネットワークにFBIの通信傍受機器を接続しなければならないとされている。

 


提供:Josh Miller/CNET

お人よしで、警戒感に乏しい政府や報道関係者は、もっと真剣にこの問題に取り組み、対抗措置を講じなければならない。

 

 

 <情報の強靭化を急げ>

 

 

電子テロリズムの危機管理について議論する時期はとうに過ぎ去っている。急ぐべきは、電子テロを防止するための効果的な法律の整備である。「国土の強靭化」には利権が伴うので、議員連盟も生まれているが、いま急務となっているのは国土よりも「情報の強靭化」である。情報の強靭化に向けた強力な議員連盟が誕生し、次々と新立法を提起することを期待している。情報の強靭化なくして、国土の強靭化はないのである。

 

22年12月に決定された国家安全保障戦略は、重大なサイバー攻撃を未然に防ぐ「能動的サイバー防御」を導入する方針を掲げ、三本柱の方策を提示した。

① 民間企業のサイバー攻撃被害の情報共有を政府による企業支援の強化

② サイバー攻撃の兆候と発信源の探知把握

③ 攻撃元のサーバーへの侵入と無害化

 

まず、情報強靭化基本法を議員立法で作り、次に政府提案で次のような法律を至急制定してはどうか。

 

 

 

<電子攻撃対処法の概要>

 

 

(目的)

 

政府、企業の保有する秘密情報を保全するとともに、電子網の破壊、停止その他の機能麻痺を図る恐れのある行為を防止するために所要の措置を講じる。

 

 

(内容)

 

1 外国産の電子通信機器または外国産の電子通信部品を組み込んだ製品を販売する場合には、そのハード及びソフトの情報安全性を保障する文言を販売契約条項に入れなければならない。その機器に期待される合理的安全性が確保されていないことが明白になった場合は、被害の有無にかかわらず、また製造者の意思のいかんにかかわらず、別に定める相当額の補償金をすべての国内使用者に支払うとともに、公正取引委員会に相当額の課徴金を支払うものとする。

 

(中国の軍傘下のファーウェイや米マイクロソフトなどの通信機器に合理を超えた欠陥があることが判明した場合は、天文学的な補償金を支払うことを義務付ける法案である。これと同時に、通信機器に内蔵されたバックドアを監視、発見する体制を至急整備しなければならない。)

 

 

2 政府、政府系金融機関又は国立大学は、反日教育を組織的に行っている国、外国居住者に国防協力の義務を課している国、我が国の領土を占拠しまたは奪取しようとしている国の政府または政府系機関が所有、管理または支援する企業、団体が製造、組み立てを行う情報技術システムまたは通信機器を購入してはならない。

 

(この規定によれば、中国、北朝鮮、韓国、ロシアが禁止の対象国となる。

 

英米、豪などの主要政府機関は、レノボ、ファーウェイの製品の使用を予算執行法により禁止するか、あるいは内規により事実上禁止している。民間においても、政府の行政指導により事実上締め出されているが、余った中国製品が日本市場に流れ込んでいるのは、重大な問題である。日本の政府情報や技術情報は、こうして日々窃取され続けていると警戒しなければならない。

 

中国製のアイロン、携帯、電気自動車、複合機、監視カメラ、カードにも特殊なチップが埋め込まれ、家庭や企業のwifiネットワークに侵入した事実が発見されている。むろん、米国製やイスラエル製の無線ルーターなどにも警戒を怠ってはならない。経済産業省と警察は、製品の情報安全性を検査する体制を至急整えなければならない。)

 

 3 通信事業者は、日本製の中継機器(ルーターなど)の使用を禁止している国の企業が製造、組み立てをおこなう中継機器を使用してはならない。(相互主義の原則に戻るべきである)

 

4 通信事業者は、その使用する中継機器からの電子情報の傍受を防止するために必要なハードまたはソフトの措置を講じなければならない。通信事業者は、その保管するメタ情報を捜査機関または侵入監視機関の要請に応じて提供するものとする。(電気通信事業法の改正が必要となる)

 

5  日本国内において発受信される特定の通信データは、国内のサーバーに保管することを義務付ける。ただし、政府が海外サーバー単独の利用を相互主義に基づき認可した場合は、この限りでない。(中国は、すでに義務付けているので、相互主義の立場からも、日本で営業する中国企業に対しこれを義務付けなければならない。)

 

(たとえばラインの通話は、韓国のサーバーに保管され韓国情報院が検閲しているが、あわせて国内のサーバーにも保管するようにさせて、迅速なテロ容疑者等の発見が容易になるようにさせることが欠かせない。国内サーバーにも通信記録があれば、捜査当局の捜索が容易となる)

 

 

6 日本政府、地方公共団体、基幹産業に対する電子攻撃には、対抗措置を講じるものとし、その発信源の通信システムを破壊することのできる対抗ソフトの開発を重点的に行うものとする。対抗措置に伴う侵入者側の被害について、政府は正当行為として免責されるものとする。

 

(データサーバーに侵入する前のストリームの段階で添付ファイルなどに含まれたウィルスを検知し、検疫サーバーに誘導して、破壊ウィルスの入った偽情報を相手方に与え、これにより相手側に重大なダメージを与えるシステムづくりが求められている。これができれば、我が国を狙う世界の侵入者側のパソコンを1日あたり10万台以上破壊、麻痺することができるようになろう。そのためには、刑法を改正し、政府機関による対抗的破壊を合法化する必要がある)

 

 

7 政府または日本企業が保有する個人情報の管理または処理は、個人情報の管理基準が十分でないと認める国の企業、団体または個人に当該情報の管理または処理を発注してはならない。企業や個人の情報が政府によって恒常的に監視され、統制されていると認められている国についても同様とする。

 

(これまで、生保、損保などは契約者情報の入力と管理を、ただ安価だという理由で中国の軍傘下のソフト会社に委託し、それらの会社は北朝鮮の会社を下請けにつかってきたので、契約者の個人情報はほとんどすべて中国、北朝鮮政府に筒抜けになっているとみてよい。これにより、不正にカードを偽造されて被害を受けたケースがいくつも発覚している。

 

EUは、EU域外の国にデータの入力や管理を委託することを禁止している。欧州のデータ保護指令GDPRは、原則として「欧州域外に欧州市民の個人データを渡すこと」を禁止しており、米国への流出も禁止されている。同じように反日敵性国家への委託は、禁止すべきである。3年の猶予期間をおいて禁止し、それまでは経過措置として委託先、下請け先を保険等の契約条項に明記することを義務付けるべきであろう。)

 

 

8  政府調達において、海外製の通信ソフトを使用しないように努めるとともに、我が国独自の政府専用の通信OSを開発するものとする。外交、安全保障及び治安に関する分野においては、それぞれ個別に強度の暗号技術および侵入防止技術を開発し、装備するものとする。

 

(トロンOSの開発は、米国の圧力を受けて中止のやむなきに至ったが、産業政策ではなく、安全保障政策の一環として再び政府専用のOSの開発に乗り出すべきである。検索ソフトの開発にも、安全保障名目の補助金を継続することが望ましい。安全保障目的で防衛省の予算とすれば、米国も干渉のしようがないのである。また、安全保障、治安専用につかう強力な通信衛星の開発も、予備の通信網としてだけでなく、電子反撃用としても急がねばならない)

 

9 別に定める政府組織のワークステーションは、インターネット接続を切断したものを備えなければならない。

(特に秘密情報を扱う部門は、インターネット接続を切断し、接続して差し支えない部門は別のシステムを構成するものとする)

 

 ----------------------

以上の包括的な法律は、議員立法には向かないが、第7項に限って、議員立法を制定することは容易にできよう。ECのように、域外に個人情報の処理を任せないことが肝要である。

 

 

なお、以上の規定に関連して、米国の経済スパイ取締法と同様の規定を設けることもいそがれている。すなわち、デザイン、記号、電子的記号、プログラムなど無体物についても、その窃盗を違法とする必要がある。(現在は、窃盗罪は有体物に限られている。)

 

このような経済スパイ活動にかかる通信は、令状なく行政傍受することができる権限も米国並みに与えるべきであろう。ただし、それにより得た情報は、裁判上の証拠とすることはできないことはもちろんである。

 

また、違法に取得した情報を日本国の通信網(郵便、宅配をふくむ)を利用して、送付、転送したものは、所定の刑罰を科することとすれば、摘発は一層容易となろう。(米国では、詐欺目的で州際通信を用いることは、犯罪とされている。)

------------------------------------------------------------------------------------

 

 

 

 

米連邦通信委員会(FCC)

2018年4月17日、国内の通信会社に対し、安全保障上の懸念がある外国企業から通信機器を調達するのを禁じる方針を決めた。華為技術(ファーウェイ)と中興通訊(ZTE)の中国大手2社 が対象。 FCCの新規制は、全国に通信回線を普及する目的で設けられた同委員会の補助金を使う通信会社が、安保上の懸念がある外国企業の製品を買うのを禁じるというものである。

 

 

FCCは21年3月、華為技術(ファーウェイ)や中興通訊(ZTE)、中国海能達通信(ハイテラ・コミュニケーションズ)など5社を初めて国家安全保障上の脅威に指定している。

米国の連邦通信委員会(FCC)は22年9月20日、中国の国有通信大手・中国聯合網絡通信(チャイナユニコム)とパシフィック・ネットワークスとその子会社コムネットを、国家安全保障上の脅威に指定した。米国の通信ネットワークの保護を目的とした2019年の法律に基づく措置。FCCは追加の理由として、両社の中国共産党との深い関係を挙げ、当局から通信内容の提供を要請されても拒否できないとした。FCCは両社を「中国政府による搾取、影響、支配」の対象であるとし、1月と3月に米国での事業免許を取り消している。

 

 

(FCCは2015年、世界第3位の携帯電話会社でもあるチャイナユニコムが電話を盗聴し、ユーザーの位置を追跡する機能があるとの判決を下している。)

米国は、中国が2017年に制定した「サイバーセキュリティ法」の規定により、両社が同政権の命令に従い、米国の通信インフラを通じて抜き取った情報を提供し、スパイ活動や米国に有害な活動に利用される恐れがあると警戒を強めてきた。

 

 

 

 

 米国外国投資委員会(CFIUS)は財務省の下部組織として、1975年に法制化された。1988年に権限が強化され、CFIUSの勧告によって大統領は買収を合法的に阻止できるようになった。

2018年1月9日、米国政府は華為技術がM&Aによる買収を進めていたAT&Tの子会社案件を「国家安全保障上の理由から認められない」と拒否した。これは先にアリババの子会社「アント・ファイナンス」が、電子送金の専門ネットワーク「マネーグラム」を買収しようとしたのを直前にストップさせた事案につづく。

 

 シンガポールの5G開発を担う企業「ブロードコム」の米国企業「クアルコム」買収は、史上空前の1170億ドルの案件だった。しかしCFIUSの審査により、軍事転用が確実視されるため土壇場で阻止された。

 

 中国の正体不明なファンド「カンヨン・ブリッジ・キャピタル・パートナー」が狙った米国「ラテス半導体」社の買収(13億ドル)、ならびに「アント・ファイナンス」(アリババ傘下)が狙った「マネーグラム・インタナショナル」社(12億ドル)は、いずれもCFIUSの反対で阻止された。

 我が国においても、このような権限を持つ外国投資委員会を内閣府のもとに設置する必要がある。それは、軍事、治安、国際競争など、多面的な観点から審査することができるようにするためである。

 

以下は、日経記事より(19年5月18日)

 

欧州連合(EU)は2019年5月17日、ネットワークに侵入して重要インフラなどにサイバー攻撃をした個人や機関に制裁措置を科せるようにすることで合意した。個人に対してEUへの移動を禁止したり、個人や企業の資産を凍結したりできるようになる。23~26日に実施される欧州議会選を前に、公正な選挙を実現する意志を内外にアピールしたい考えだ。

サイバー攻撃で銀行機能などがまひすることも(ウクライナの銀行)=ロイター

サイバー攻撃で銀行機能などがまひすることも(ウクライナの銀行)=ロイター

EUの加盟各国が合意した。閣僚理事会は「EUにとって脅威となっているサイバー攻撃を防ぐためだ」と強調した。ロイター通信によると、今回の合意は英国とオランダが後押しした。ハント英外相は声明で「我々は組織や社会を破壊しようとする敵対者と戦うのを恐れない」と訴えた。

制裁の対象になるのは、EU外に発信拠点があったり、EU域外の人物によって実行されたりして「大きな被害」を与えたケースになる。具体的にはネットワークに侵入して通信や運輸などの重要インフラを破壊したり、企業の機微な秘密を盗んだりした場合が対象になる。

実行者でなくても金銭や技術面での支援をしても処罰されるほか、甚大な被害が見込まれると判断されれば、攻撃の計画段階でも制裁の対象になるという。

 

サイバー攻撃を巡ってはロシアなどが選挙運動に介入して、親ロシアの候補を当選させるように活動しているとされる。EUは欧州議会選を前に選挙が外部からの影響を受けない環境を整える。

ーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーーー

平成28~29年に宇宙航空研究開発機構(JAXA)など国内約200の航空・防衛関連組織や大学などが狙われた大規模なサイバー攻撃があり、攻撃に使われた日本のレンタルサーバーを虚偽の情報で契約したとして、警視庁公安部は20日、私電磁的記録不正作出・同供用の疑いで、中国籍で、中国国営の大手情報通信会社に勤務していたシステムエンジニアの30代の男を書類送検した。

 公安部によると、男は中国共産党員。一連の攻撃は中国人民解放軍のサイバー攻撃部隊が主導した疑いがある。

 警察庁によると、国内約200の企業などへの一連のサイバー攻撃が「Tick(ティック)」と呼ばれる集団によって実行されたと指摘。背景にある組織として、青島市を拠点とする軍の戦略支援部隊「61419部隊」が関与した可能性が高い、と説明した。