2024年に発生したロンドン交通局(TfL)へのハッキング事件で2人の若い男が有罪判決を受けたことを受け、英国の警察幹部らは、この事件がサイバー犯罪リスク命令(CCRO)というより強力な法的権限の導入を後押しする説得力のある根拠になると述べています。
Owen Flowers容疑者(19歳)とThalha Jubair容疑者(20歳)は、英国のコンピュータ不正使用法(CMA)1990年法第3ZA条に基づき、TfLに対する不正行為を行った罪でそれぞれ懲役5年6カ月の判決を受けました。
両容疑者は、過去数年にわたり大規模なサイバー攻撃との関連が指摘されているサイバー犯罪集団Scattered Spiderのメンバーとみられており、2025年に発生したMarks & SpencerやCo-opの事件にも関与したとされています。
TfLハッキング事件、英国史上最大規模のサイバー犯罪訴追
7月16日、ロンドンのウーリッジ刑事法院で判決が言い渡されたことを受け、英国国家犯罪対策庁(NCA)副長官でナショナル・サイバー犯罪ユニット責任者のPaul Foster氏は、本件を「英国の裁判所においてこれまでに提起された中で最大規模のサイバー犯罪訴追」と評しました。
Foster氏は、Scattered Spiderが「近年英国にとって最も重大なサイバー犯罪の脅威」であったと指摘し、同グループの活動を阻止できたことは英国にとって間違いなくプラスになると述べました。
今回のサイバー攻撃により、TfLは約2900万ポンド(3800万ドル)の損害と1000万ポンド(1350万ドル)の減収を被ったとみられています。また、英国全土で700万人から1000万人の生活に影響を及ぼす混乱も引き起こしました。
さらにFoster氏は、捜査の複雑さと長期化を強調し、NCA、検察庁(CPS)、そしてロンドン市警察、FBI、Europol、オーストラリア連邦警察といった他の捜査パートナーによる「2年近くに及ぶ地道な作業」があったと述べています。
判決に先立つ記者説明会でFoster氏は次のように語りました。「これは間違いなく、我々がこれまでに手がけた中で最大かつ最も複雑で、最も困難な捜査です。多くの点で、2024年にオペレーション・クロノスによって実施されたLockbitランサムウェアのテイクダウンすら上回るものでした」
Flowers容疑者とJubair容疑者への有罪判決は、CMA第3ZA条に基づくものとしては2件目です。
Foster氏は、これを同法の「最も重い条項」と説明しています。この条項は、不正行為が重大な損害を引き起こす、あるいはそのような重大なリスクを生じさせ、かつ行為者がその損害を意図している、または損害の発生について無頓着であった場合に適用されるためです。
第3ZA条に基づく最初の有罪判決は、政府通信本部(GCHQ)の職員に関するもので、その職員は懲役6年の実刑判決を受けています。
「あの事件と比較できる要素は何もありませんでした」とFoster氏は認めています。
英国の法執行機関、より強力な法的権限の必要性を強調
Foster氏は、TfLハッキング事件の捜査において法執行機関が直面した主な困難として、逮捕当時17歳だったFlowers容疑者の年齢の問題と、同容疑者が2024年10月と2025年5月の2度にわたり保釈条件に違反した事実の2点を挙げました。
「まさにここに、[2026年5月の]国王演説で予告され、2027年後半から2028年前半にかけて導入される予定のサイバー犯罪リスク命令が、我々にとって非常に重要である理由があります」とFoster氏は述べました。
同氏は、複雑なサイバー犯罪の捜査には「何カ月もかかることがあり、その間、18歳未満の者を含む高リスクの容疑者が引き続き重大な危害を及ぼすリスクを抱え続ける可能性がある」と説明しています。
同氏によれば、重大犯罪防止命令をはじめとする既存の法的権限は、未成年の容疑者には適用されないため、こうした事案には不十分だといいます。
また同氏は、一部のコンピュータ不正使用犯罪が「重大犯罪の基準を満たさず、そのために現状ではリスク管理能力に空白が生じている」ことも遺憾であると述べました。
サイバー犯罪リスク命令によりより早期の逮捕が可能に
CCROは、コンピュータ不正使用法の改革案の一環として2026年5月に英国政府が提案した制度で、いわば「デジタル版の獄」を作り出すことで、さらなる攻撃が発生する前にサイバー犯罪の疑いがある、または有罪判決を受けた人物の行動を管理するための民事上の予防措置です。
この制度により当局は、起訴の要件を満たす前の段階であっても、継続的なサイバー脅威をもたらすとみなされる人物に対して行動制限を課す権限を得られる可能性があります。
Foster氏は、CCROがあれば「米国やオーストラリアのパートナーから提供された情報に基づいて対応できた可能性があり」、「Flowers容疑者をもっと早く逮捕できていただろう」と述べました。
同氏はこう説明しています。「提案されているCCROは、性犯罪リスク命令と原理的に似た、比例性のある予防的手段を法執行機関に提供するものです。捜査が継続している間も、条件を課すことで一般市民や企業の保護に役立てることができます」
「これらの条件は積極的に監視され、違反があれば、実刑を含む刑事制裁の対象となり得ます。それは、基となる捜査が終了しているかどうかにかかわらず適用されます」と同氏は付け加えました。
本誌Infosecurityの取材に対し、英国を拠点とするサイバーセキュリティコンサルタント兼アドバイザーのAdam Pilton氏は、コンピュータ不正使用法の改革について異なる見解を示しています。
同氏は「訴追のハードルを下げ、今日のサイバー犯罪の実態を反映した犯罪類型を導入する」立法であれば歓迎するとしつつも、CCROが実効性を欠く可能性についても警鐘を鳴らしました。
「これらの提案されているCCROの対象となる人物は、高度なスキルを持ち、大半の捜査官を欺く能力を備えており、違法行為を効果的に隠蔽してしまうでしょう。順守状況を確認する側に真に高度な技術的能力がなければ、これらの命令は約束されている効果を発揮できません」と同氏は述べました。
「制度が施行される前に、我々が何を達成しようとしているのか、そしてそれが実際に機能するのかどうかを、非常に慎重に検討する必要があります」
「デジタル版の獄」構想の是非
判決前の記者説明会では、ロンドン市警察のOllie Shaw警視正も、CCROの導入を「歓迎する」と述べています。
同氏は「強盗や携帯電話窃盗犯など、物理的な環境で活動する容疑者を管理するために我々が持つ従来型の仕組みは、サイバー犯罪者に対しては明らかに効果が薄いことがますます明白になってきています」と語りました。
同氏は、「Flowers容疑者やJubair容疑者のような容疑者による有害な行動をより適切に制御できる、デジタル版の獄」の創設を提唱しました。
同氏はこう説明しています。「従来型の重大犯罪防止命令について考えると、多くの場合、特定の場所への渡航を禁じるといった、個人に対する物理的な制限が語られます。例えば、万引き犯を特定の繁華街から締め出す、といった具合です。しかしもちろん、デジタル機器さえあれば、犯行を継続するために必要なツールに容易にアクセスできてしまいます」
Shaw氏は、容疑者が再犯に必要とするデジタルツールやプラットフォームへのアクセスを制限すべきだと主張しました。
同氏は、こうした措置はテクノロジー企業と連携して実施されるべきであり、アカウント利用状況の監視やデバイス台数の制限を可能にすべきだと論じました。また、特にデジタル機器を刑務所内に持ち込ませないようにする点など、実務上の運用上の課題があることも認めています。
「もちろん、これらのリスク命令は、警察やその他の法執行機関によるガイダンスによって具体化される必要があり、個人を保護するためには非常に厳格なものにする必要があります」とShaw氏は締めくくりました。
一方でPilton氏は、「デジタル版の獄」という表現を批判し、これを「CCROに関する、見出しを煽ることを狙ったマーケティング用語にすぎない」と評しました。
「デジタル版の獄など実際には存在しません。この命令を回避しようと決意した者は、監督官を欺くにせよ、単に技術的に上回るにせよ、必ず回避してしまうでしょう」と同氏は主張しています。
「制限措置はリスク管理に役立ち得ますし、実際に役立つでしょう。しかし、それが意味を持つのは、熟練した監督体制があってこそです」
CMA改革のための法案は、より広範な国家安全保障パッケージの一環として、今年後半に議会に提出される見通しです。
翻訳元: https://www.infosecurity-magazine.com/news/police-chiefs-tfl-cybercrime-risk/
