令和8年警察白書、10月から警察が攻撃サーバを無害化

警察庁が2026年に公表した「令和8年警察白書」は、特集テーマに「深刻化するサイバー空間の脅威と警察の新たなる展開」を据えました。

情シスにとっての最大の要点は1つです。2026年10月1日、改正警察官職務執行法（警職法）に基づく「アクセス・無害化措置」が施行されます。緊急の必要があるとき、警察が攻撃元のサーバ等にネットワーク越しにアクセスし、不正プログラムの消去やシャットダウンを行えるようになる制度です。

これは企業に新たな義務を課すものではありません。ただし自社のサーバやIoT機器が攻撃の踏み台にされていた場合、その機器が措置の対象になり、後から警察の通知を受ける可能性があります。「被害者になる」だけでなく「加害インフラの持ち主になる」ことのコストが、制度として可視化されたと読むべき改正です。

この記事でわかること

  • 10月1日に施行される「アクセス・無害化措置」の中身と発動要件
  • 自社の機器が措置の対象になったとき、何が起きるのか
  • 白書が示したランサムウェア被害の実データ（226件・侵入経路・企業規模）
  • 統計から読み取れる、今も変わらない本丸

10月1日施行「アクセス・無害化措置」とは何か

2025年（令和7年）5月に成立したサイバー対処能力強化法と同整備法は、「官民連携の強化」「通信情報の利用」「攻撃者のサーバ等へのアクセス・無害化措置」の3つを柱としています。このうち3本目を実現するため、整備法によって警職法が改正され、新たに第6条の2が設けられました。この規定の施行日が2026年10月1日です。

発動できるのはどんなときか

白書によれば、要件は次のとおりです。

サイバーセキュリティを害することその他情報技術を用いた不正な行為に用いられる加害関係電気通信等を認めた場合であって、そのまま放置すれば人の生命、身体又は財産に対する重大な危害が発生するおそれがあるため緊急の必要があるとき

「緊急の必要があるとき」に限られる、即時強制の枠組みです。日常的に行われるものではありません。

実施までの手続

  1. サイバー危害防止措置執行官の指名……警察庁長官が、必要な知識・能力を有すると認めた警察官を指名する。指名された執行官だけが実施できる。
  2. 外務大臣との事前協議……攻撃サーバ等が国内にあると認める相当な理由がない場合、国際法上許容される範囲での実施を担保するために行う。国外の場合、実施主体は警察庁の執行官に限定される。
  3. サイバー通信情報監理委員会の事前承認……独立機関である同委員会の承認を原則として事前に得る。現に攻撃を受けているなど承認を得るいとまがない場合は事前承認なしで実施でき、実施後速やかに委員会へ通知して確認を受ける。
  4. 措置の実施……ネットワークを介して攻撃サーバ等にアクセスし、不正プログラムの消去、攻撃者が利用しているアカウントの削除等を行う。白書は無害化措置の例として「不正プログラムの消去」「コンピュータのシャットダウン」「攻撃者の再ログイン防止のための設定変更」を挙げている。
  5. 管理者への事後通知……管理者の所在が不明であるなど一部の場合を除き、遅滞なく、措置を実施したことを攻撃サーバ等の管理者に通知する。

情シスへの実務的な含意：通知を受け取る側になりうる

報道の多くは「日本版アクティブ・サイバー・ディフェンス」という切り口で、国家安全保障の文脈からこの制度を扱っています。しかし一般企業の情シスにとって現実味があるのは、自社の機器が「攻撃サーバ等」に含まれてしまう場合です。

攻撃者は攻撃元を隠すため、他人のサーバやIoT機器を乗っ取ってボットネットや中継拠点として使います。白書も、重大なサイバー攻撃では攻撃者がボットネットを用いるのが通例だと明記しています。その乗っ取られた機器の持ち主は、たいてい自分がそうなっていることに気づいていません（この構図はレジデンシャルプロキシとはやORB化とはで解説しています）。

白書の図表を読むと、措置の対象には「C2サーバ」だけでなく「IoT機器等」も明示されています。さらに、管理者への事後通知に加えて「コンピュータの管理者等にアクセス・無害化措置をとることを命ずる場合もある」と注記されています。

つまり、10月1日以降に想定しておくべきシナリオは次の形です。

  • 自社の公開サーバやネットワーク機器が侵害され、他組織への攻撃に使われる
  • 警察が緊急性ありと判断し、その機器に対して無害化措置を実施する（シャットダウンを含む）
  • 事後に、自社が管理者として通知を受け取る

このとき情シスの手元では、「原因不明でサーバが停止した」という形の事象が先に起きる可能性があります。通知が届くまでの間、自前の障害対応として調査を始めることになります。制度を知らなければ、原因究明に無駄な時間を使うことになりかねません。

現場目線：この制度で自社が守られるとは考えないほうがいい

率直に言えば、この制度によって民間企業のセキュリティ運用が楽になることは当面ないと考えます。発動要件が「人の生命、身体又は財産に対する重大な危害」かつ「緊急の必要」であり、独立委員会の事前承認まで挟む以上、一般的な企業がランサムウェアに感染したというだけで警察が攻撃サーバを無害化してくれる、という運用にはならないと読むのが自然です。

むしろ情シスとして意味があるのは、「自社の機器が他人を攻撃する側に回っていないか」という視点が、法制度の側から改めて突きつけられたという点です。侵害されたサーバを放置することは、これまでも社会的には問題でしたが、今後は警察による措置と通知という具体的な形で返ってくる可能性があります。境界に置いた機器の棚卸しと、退役させたはずのサーバが動き続けていないかの確認は、あらためてやる価値があります。

白書が示したランサムウェア被害の実データ

第3章「サイバー空間の安全の確保」には、2025年（令和7年）中の統計が並びます。情シスに直結する数字を抜き出します。

項目 令和7年（2025年）
ランサムウェア被害の報告件数 226件（上半期116件／下半期110件）
　うち二重恐喝（ダブルエクストーション） 手口を確認できた153件のうち136件（88.9％）
　被害企業・団体等の規模別 大企業64件（28.3％）／中小企業143件（63.3％）／団体等19件（8.4％）
ノーウェアランサム（暗号化せず窃取のみ） 17件
サイバー犯罪の検挙件数 1万5,108件（前年比＋1,944件、＋14.8％）で過去最多
不正アクセス行為の認知件数 7,190件（うちネットバンキング不正送金等が4,747件・66.0％）
不正アクセス禁止法違反の検挙件数 431件（前年比△132件、△23.4％）／検挙人員248人

侵入経路：VPN機器が66.3％

警察庁が被害企業・団体等に実施した感染経路アンケート（有効回答92件）では、次の結果が出ています。

  • VPN機器を利用されて侵入された事例：61件（66.3％）
  • リモートデスクトップサービスを利用されて侵入された事例：19件（20.7％）

この2つで87％です。白書は「テレワークに利用される機器等のぜい弱性や強度の弱い認証用パスワード等の情報を利用して侵入したと考えられるものが大半」と結論づけています。

この数字は毎年ほとんど変わりません。攻撃の高度化がどれだけ報じられても、実際に入られている入口は「境界機器の未更新」と「弱い認証」のままだということです。生成AIの悪用も国家背景の攻撃も現実の脅威ですが、自社が実際に踏まれる確率が高いのはこちらです。

あわせて注目したいのが企業規模の内訳です。中小企業が143件（63.3％）と、大企業の2倍以上を占めています。「うちは狙われるほど大きくない」という前提は、統計上は成り立ちません。

情シスはどうすべきか

  1. 境界機器の棚卸しを、10月1日を区切りにやり直す。インターネットに面したVPN装置・RDP・公開サーバの一覧と、ファームウェア／パッチの最終適用日を突き合わせる。侵入経路の87％がここにある。
  2. リモートアクセスの認証を確認する。VPNとRDPに多要素認証が入っているか。共有アカウントや退職者アカウントが残っていないか。
  3. 「自社が踏み台になっていないか」の確認手段を持つ。外向き通信の異常、身に覚えのない公開ポート、退役したはずの機器の稼働。JPCERT/CCや契約ISPからの通報を受け取る窓口が機能しているかもあわせて確認する。
  4. 10月1日以降、原因不明のサーバ停止が起きた場合の可能性として、警察による措置も想定に入れておく。制度の存在を運用手順書に一行入れておくだけで、初動の混乱を減らせる。

具体的な対策の組み立ては、自前でチェックリストを作るより公的な指針を土台にするのが早道です。ランサムウェア対策はIPAのランサムウェア対策特設ページに、予防から復旧までの資料がまとまっています。体制全般の整理には中小企業の情報セキュリティ対策ガイドラインが、実際に起きたときの判断を練習しておくならセキュリティインシデント対応 机上演習教材が無償で使えます。侵入の起点となる弱い認証やフィッシングへの対処は、最終的に利用者の行動に依存する部分が大きいため、対策のしおりを使った地道な啓発も並行させたいところです。

まとめ

  1. 2026年10月1日、改正警職法によるアクセス・無害化措置が施行される。警察が緊急の必要があるときに攻撃サーバ等へアクセスし、不正プログラムの消去やシャットダウンを行える。企業に新たな義務が課されるわけではない。
  2. 自社の機器が踏み台にされていれば、措置の対象になり事後通知を受ける可能性がある。措置の例にはシャットダウンが含まれ、対象にはIoT機器も明示されている。原因不明のサーバ停止という形で先に事象が現れることを想定しておきたい。
  3. 統計が示す本丸は変わっていない。ランサムウェア被害226件のうち侵入経路はVPN機器66.3％・リモートデスクトップ20.7％で、被害の63.3％は中小企業。境界機器の更新と認証の強化が、依然として最も効く。

関連記事

出典

タイトルとURLをコピーしました