第１ 能動的サイバー防御の効果は何を止めたかで判断する
能動的サイバー防御の効果を考えるときは，攻撃に使われる仕組みの停止，感染端末からのマルウェアの除去，再感染の防止及び犯人の特定を分ける必要がある。
一度の作戦で犯罪組織を永久に消滅させられなかったことだけで，措置に効果がなかったとはいえない。
逆に，サーバーを停止できたという発表だけで，被害者の端末がすべて安全になったともいえない。
本記事は，２０２６年１１月３日を基準に，日本の制度と米英当局が公表した事例を整理する。
個別作戦の説明は各当局の発表内容であり，第三者による独立した効果測定の結果とは区別する。
日本の制度の要件・施行時期は，重要電子計算機防護法の解説も参照されたい。
第２ 日本のアクセス・無害化措置は犯人への報復と同じではない
令和７年法律第４３号による改正後の警察官職務執行法６条の２は，所定の危害を防止するための措置を定めている。
政府の説明資料では，不正なプログラムの削除，攻撃に使われる機能の停止などが示されている。
制度の目的は危害の防止であり，犯罪者に刑罰を科す手続とは異なる。
同条の対象には，不正な行為に係る通信を送受信している電子計算機や，一定の電磁的記録を記録している電子計算機が含まれる。
したがって，措置の対象が攻撃者自身の所有物であるとは限らず，侵害されて攻撃の中継に使われている第三者の機器も問題になる。
ただし，第三者の機器であれば無条件に介入できるという意味ではない。
同条の要件に加え，みだりに関係者の正当な業務を妨害してはならないとする規定（同条７項）や，サイバー通信情報監理委員会の承認等の手続を確認する必要がある。
委員会の承認は事前に得ることが原則である。
承認を得るいとまがないと認める特段の事由がある場合（重要電子計算機に重大な障害を生じさせる加害関係電気通信が現に送信されている場合等）は例外とされ，その場合は処置後速やかに委員会へ通知し，委員会が適切に行われたかを確認して必要に応じ勧告する仕組みである（同条４項ただし書・９項・１０項）。
一律に「実施後の承認でよい」と説明するのは正確ではない。
根拠は，令和７年法律第４３号の警察官職務執行法改正部分と，政府説明資料のアクセス・無害化措置の部分である。
第３ 海外の事例で確認できる効果と限界
１ Qakbot―感染を除く範囲は作戦ごとに異なる
米国司法省は２０２３年８月２９日，Qakbotに感染したとみられるコンピューターを世界で７０万台超，うち米国内で２０万台超特定したと公表した。
同発表によると，法執行機関が通信を管理下のサーバーへ誘導し，アンインストーラーをダウンロードさせる方法でQakbotを除去した。
重要なのは，Qakbotを除去する措置と，その端末に存在する他のマルウェアを除去する措置を区別することである。
司法省は，この作戦では他のマルウェアは除去せず，端末所有者のデータにもアクセスしなかったと説明している。
「感染を除去した」という発表から，端末内のすべての侵害が解消したと読み替えることはできない。
出典は，米国司法省のQakbot作戦発表である。
２ Volt Typhoon―一時的な対策と機器の更新を分ける
米国司法省は２０２４年１月３１日，Volt Typhoonが活動の秘匿に利用していたとするボットネットに対する，裁判所の許可を得た２０２３年１２月の作戦を公表した。
発表では，主にサポートを終了したCisco製・Netgear製の米国内の家庭・小規模事業者向けルーターが使われていたと説明されている。
誰が背後にいるかという評価も，同発表における米国政府の判断である。
作戦ではマルウェアを除去するとともに，再感染を防ぐための措置が行われたが，司法省はその措置が一時的であり，所有者がルーターを再起動すれば解除できると説明している。
再起動すれば必ず再感染するという意味ではなく，再び感染し得る状態に戻るという説明である。
サポート終了機器の置換えなど，機器管理者側の対策を作戦だけで代替できないことが分かる。
出典は，米国司法省のVolt Typhoon関連発表である。
３ LockBit―７３％減少という数値の範囲を確かめる
英国国家犯罪対策庁は２０２４年５月７日，２月の作戦以後，英国におけるLockBitの月間平均攻撃件数が７３％減少したと発表した。
この７３％は英国の数値であり（発表は他の国でも減少が報告されているとしている），世界全体の被害が７３％減少したという数値ではない。
７３％減少は，２月に国家犯罪対策庁がLockBitのネットワークに侵入し，リークサイトを含むサービスを掌握した作戦以後の数値である。
指導者の実名公表と英米豪の制裁は，この数値と同じ２０２４年５月７日の発表で明らかにされたものであり，７３％減少を実名公表や制裁の効果として読むことはできない。
２月の作戦のどの措置がどれだけ寄与したかも，この発表からは切り分けられない。
犯人の特定には意味があっても，「特定したから攻撃が止まった」という単独の因果関係まで証明した資料として扱うべきではない。
出典は，英国国家犯罪対策庁のLockBit関連発表である。
第４ 英国のActive Cyber Defenceと日本の制度は同じ名前だけでは比較できない
英国NCSCの２０２５年年次報告は，Active Cyber Defenceの取組として，自動化した警告，不正サイトの削除支援などを紹介している。
これらには，事業者との協力や利用者への警告によって被害を抑える取組が含まれる。
同じActive Cyber Defenceという言葉でも，日本のアクセス・無害化措置の権限と同一とは限らない。
比較するときは，誰が，どの機器に，どの権限で，何をしたのかをそろえる必要がある。
出典は，英国NCSC年次報告のActive Cyber Defenceの部分である。
第５ 効果を検討するための４つの確認点
１ 攻撃のどの段階を止めたのか
攻撃用の指令サーバーを停止したのか，感染端末から特定のマルウェアを除去したのか，送金や情報持出しを止めたのかを確認する。
対象とした機能が異なれば，成功の意味も異なる。
２ どの期間・地域・件数を比較しているのか
作戦直後の減少と，数か月後の再開は併存する。
被害件数，検知件数，感染機器数及びIPアドレス数も別の指標である。
指標の定義と比較期間を確認せずに，異なる作戦の数値を並べることは避けるべきである。
３ 再感染の原因が残っていないか
攻撃の仕組みを一時的に止めても，脆弱性，サポート終了機器及び漏えいした認証情報の問題が残れば，再び侵害される可能性がある。
無害化措置と，機器の更新・置換えや認証情報の見直しを組み合わせて考える必要がある。
家庭用機器が踏み台になる仕組みは，レジデンシャルプロキシの解説も参照されたい。
４ 第三者の機器・業務への影響を確認したか
攻撃に使われているという事情だけでは，その機器の所有者が犯人であることにはならない。
サービス停止による第三者への影響や，措置の対象範囲も，効果と併せて確認する必要がある。
また，政府に認められる権限から，民間企業が独自に第三者の機器へアクセスできるという結論は導けない。
民間の追跡・ハックバックについては，企業による逆探知・ハックバックの解説を参照されたい。