第１ 企業の防御と第三者の機器への介入を分ける
サイバー攻撃を受けた企業には，攻撃元を特定し，被害の拡大を止めたいという切実な必要がある。しかし，「能動的サイバー防御」という名称だけで，第三者の機器に侵入し，情報を取得し，プログラムやデータを消去できるようになるわけではない。
自社が管理するサーバーのログを調べること，自社の権限で接続を遮断すること，第三者の機器で追跡プログラムを動かすこと，他人の認証を突破して攻撃用サーバーを操作することは，行為の内容が異なる。適法性の検討も分ける必要がある。本記事は令和８年１０月２６日を基準に，民間企業の措置を検討する際の基本的な区別を整理する。
第２ 「逆探知」の仕組みを先に確かめる
１ ログの記録と端末内の情報収集
自社のサーバーに届いた通信の記録を，管理権限の範囲内で分析する場合と，相手の端末でプログラムを実行させ，端末内の情報を送信させる場合とでは，対象となる機器も処理も異なる。契約書や製品説明に「追跡」「検知」と書かれていても，その名称だけで同じ行為として扱うべきではない。
アンダーソン・毛利・友常法律事務所外国法共同事業の令和７年９月の解説は，持ち出された文書を開くとプログラムが作動し，端末情報等を取得する仕組みを示して論じている。これは解説上の設計例であり，特定製品の実装や合法性が実証されたという資料ではない。
２ 委託先に依頼する場合
調査会社やセキュリティ会社に依頼しても，自社が持っていない第三者の機器の管理権限が，委託契約だけで生じるわけではない。実務上は，実行場所，取得項目，送信先，認証情報の使用，処理の継続時間，停止方法及び第三者の機器に及ぶ影響を，実行前に説明できるようにすることが有用である。これは，行為を具体化するための本記事の提案である。
第３ 追跡プログラムと不正指令電磁的記録
１ 無断実行という一点だけでは結論は出ない
刑法１６８条の２は，正当な理由がないのに，他人の電子計算機で実行させる目的で，不正な指令を与える電磁的記録等を作成・提供する行為などを定めている。取得・保管には同法１６８条の３の検討も必要になる。
最高裁第一小法廷令和４年１月２０日判決（令和２年（あ）第４５７号，コインハイブ事件）は，利用者の意図に反することと，刑法上の不正性とを区別した。判決は，機能，影響，利用方法などを踏まえ，社会的に許容し得るかという観点から不正性を判断している。
同事件では，閲覧中の端末の計算資源を使うプログラムについて，意図に反する点は認めながら，端末の機能や情報処理への影響などの事情から不正性を否定した。利用者の明示の同意がないプログラムが全て犯罪になる，という判決ではない。
２ コインハイブ判決は追跡プログラムの適法判決ではない
最高裁が判断したのは，当該マイニングプログラムとその利用状況である。端末内の情報を収集・送信する追跡プログラムを，そのまま適法とした判決ではない。
追跡の目的が被害防止であっても，取得する情報の範囲，継続性，端末への影響や利用者に認識できる仕組みなどを検討する必要がある。前記法律事務所の解説が追跡プログラムへの当てはめを示している部分は，最高裁の判断枠組みを使った解説者の分析として読むべきである。
第４ 不正アクセスと正当防衛・緊急避難
１ 他人の認証情報やアクセス制御の突破
不正アクセス禁止法３条は不正アクセス行為を禁止し，同法２条４項はその類型を定める。他人の識別符号を使う場合や，アクセス制御による制限を免れる情報・指令を入力する場合などについて，通信回線，アクセス制御機能，承諾及び利用可能になる状態を確認する必要がある。
したがって，「攻撃者が使ったサーバーだから操作してよい」とはならない。他方，端末が一定情報を自動送信する仕組みについて，その名称だけで直ちに同法の不正アクセスに当たるともいえない。具体的な接続と制御の仕組みに即した検討が必要である。
２ 被害企業であることは包括的な免責ではない
刑法３６条の正当防衛には急迫不正の侵害と防衛のためやむを得ずした行為という要件があり，同法３７条の緊急避難にも現在の危難，やむを得なさ，生じた害と避けようとした害の比較などの要件がある。
攻撃の継続，対象機器の管理者，危険の切迫性，代替手段及び措置の影響を確かめず，「攻撃された企業なら逆侵入できる」と一般化することはできない。これらの規定が個別事案で成立するかは，事実関係に即した判断を要する。
第５ 政府のアクセス・無害化措置との関係
令和７年法律第４３号による警察官職務執行法６条の２等は，警察等の措置について主体，要件及び手続を定めている。これらの規定から，民間企業や委託先に第三者のサーバーを操作する一般的な権限が与えられるとは読めない。
令和８年９月の政府の施行説明は，官民連携とアクセス・無害化措置を同年１０月１日から，通信情報の利用を翌年秋からの施行と整理している。制度全体が一度に施行されたという説明は適切でない。政府の制度と個々の企業の防御を分けて検討する必要がある。
企業による要請と政府の判断の違いは，能動的サイバー防御は企業の要請で発動するのかを参照されたい。
第６ 調査を依頼する前の確認事項
実務上は，まず自社の権限内での被害拡大防止と証拠保全を整理し，第三者の機器への処理は別項目にすることが有用である。委託範囲には，対象機器，権限・承諾の根拠，実際の処理，取得情報及び停止条件を記載する。
攻撃元と見られる機器が，攻撃者自身の所有物とは限らない可能性も考慮し，誰のどの権利に影響するかを検討する必要がある。調査結果の利用や外部提供についても，情報の内容と利用目的に応じた別の検討が必要になる。
第７ 出典
・アンダーソン・毛利・友常法律事務所外国法共同事業「民間企業による能動的サイバー防御の主要論点」（令和７年９月）
・刑法３５〜３７条，１６８条の２・３
・不正アクセス行為の禁止等に関する法律２条４項・３条
・令和７年法律第４３号２条・４条