FBIが「Cyber Strategy」を公開　サイバー犯罪・国家支援型攻撃への妨害を常態化、AI活用と官民連携も強化

米連邦捜査局（FBI）は2026年9月9日、サイバー部門の方針をまとめた17ページの「FBI Cyber Strategy」を公開しました。

戦略は、国家支援型攻撃者やランサムウェアを含むサイバー犯罪者に対し、逮捕・起訴だけでなく、インフラの停止、暗号資産の差し押さえ、攻撃ツールの無力化などを組み合わせ、継続的にコストを課す方針を示しています。

柱は「攻撃者の調査・妨害・コスト付与」「被害者支援」「パートナーシップによる影響拡大」「FBI自身のサイバー能力強化」の4つです。民間企業や海外当局との共同作戦、被害組織への迅速な情報共有、AIを使ったマルウェア分析や攻撃インフラ把握なども具体的な目標に含まれています。

The Recordは、FBIが公開する初のサイバーセキュリティ戦略だと報じています。一方、FBI自身の公開ページと戦略文書は「new Cyber Strategy」と説明しており、「史上初」とは明記していません。本稿ではFBIの公式文書を基準に、戦略の内容と企業側への影響を整理します。

FBI Cyber Strategyのサマリー

確認できている内容：

• FBIは2026年9月9日、17ページの「FBI Cyber Strategy」を公開しました。
• FBIはサイバー脅威として、国家支援型攻撃と収益目的のサイバー犯罪市場の双方を挙げています。
• 戦略は4本柱、14のObjectiveで構成されています。
• 第1の柱は、攻撃者の調査、妨害、コスト付与です。
• FBIは「joint, sequenced operations（共同・連続型作戦）」を速度と規模を高めて実行する方針です。
• 逮捕・起訴に加え、攻撃インフラの停止、暗号資産の差し押さえ、ランサムウェア基盤の無力化などを成果として位置付けています。
• 第2の柱は被害者支援で、FBIは脅威情報共有を「日から時間、時間から分」へ短縮する自動化を進めるとしています。
• 全56のFBI Field Officeで企業・組織との直接的な連絡経路を構築する方針です。
• 重要インフラ対応では、すべてのField OfficeにIndustrial Control Systems（ICS）Coordinatorを配置する計画です。
• 第3の柱は政府、同盟国、民間企業とのパートナーシップ強化です。
• FBI主導のNCIJTFには30以上の政府機関が参加しています。
• 第4の柱では、人材、技術、Computer Network Operations、ポスト量子暗号対応、AI活用を強化します。
• FBIはagentic AIを導入し、大規模データ分析、マルウェア解析、被害者通知、インフラ把握、帰属などを高速化する方針です。
• AIを利用する処理は、人間によるレビューと法的統制の下で行うとしています。

現時点で戦略文書に記載されていない内容：

• 各施策の具体的な実施期限
• 各Objectiveに対する定量KPI
• 予算配分の詳細
• 個別脅威グループごとの公開実施計画
• 民間企業がFBIの指示だけで任意に攻撃者へ侵入できる権限

項目	内容
文書	FBI Cyber Strategy
公開日	2026年9月9日
発行	Federal Bureau of Investigation
ページ数	17ページ
柱	4本
主な対象	国家支援型攻撃、ランサムウェア、サイバー犯罪、重要インフラ攻撃など
第1の柱	Investigate, Disrupt, and Impose Cost on Cyber Adversaries
第2の柱	Support Victims
第3の柱	Increase Impact Through Partnerships
第4の柱	Enhance FBI’s Cyber Capabilities
AI利用	分析、マルウェア解析、被害者通知、攻撃インフラ把握、帰属など
民間連携	情報共有、技術協力、共同作戦支援など
実施計画	戦略本文では具体的期限を設定していない

第1の柱は「逮捕」だけでなく攻撃基盤を継続的に壊す

FBI Cyber Strategyの第1の柱は「Investigate, Disrupt, and Impose Cost on Cyber Adversaries」です。

FBIは、サイバー攻撃を支える要素を次の4つに分けて捉えています。

• 攻撃を行う人物・組織
• インフラ
• 資金
• ツール

従来の刑事捜査で中心となる逮捕、起訴、身柄引き渡しに加え、米国の法執行が直接届きにくい国で活動する攻撃者については、インフラ、資金、ツールを狙います。

戦略では、攻撃インフラの停止は活動継続を妨げ、暗号資産などの資金差し押さえは攻撃規模の拡大や協力者への支払いを難しくし、攻撃ツールの無力化は攻撃手法の再構築を強いると説明しています。

つまり、FBIの成果指標を「逮捕者が出たか」だけに限定せず、攻撃者の活動コストや被害をどこまで下げたかも含める考え方です。

「joint, sequenced operations」を速度と規模を上げて実行

FBIが戦略の中心に置いているのが「joint, sequenced operations」です。

複数の政府機関、外国当局、民間企業が、それぞれの法的権限、情報、技術、インフラへのアクセスを持ち寄り、攻撃者に対して段階的に措置を実行します。

戦略は「best athlete model」と表現し、作戦の各段階で最も強い権限・アクセス・能力を持つパートナーが主導する方式を示しています。

例えば、1つの作戦で次の措置を組み合わせることが想定されています。

• 攻撃者や運営者の特定
• 起訴・逮捕
• サーバーやドメインの押収
• ボットネットやマルウェア基盤の無力化
• 暗号資産の追跡・差し押さえ
• 制裁につながる証拠提供
• 海外当局による捜査・執行
• 民間企業によるインフラ遮断や技術情報提供

FBIは、こうした共同作戦を単発の大規模摘発として待つのではなく、攻撃機会を捉えて継続的に実行する方向へ進めています。

The Recordによると、FBI Cyber DivisionのBrett Leatherman氏は、2025年初頭以降に50件の「sequenced operations」を実施したと説明しました。この「50件」という数字はFBI Cyber Strategy本文には記載されておらず、9月9日の記者向け説明で示された数字です。

ロシアGRUのルーター基盤を裁判所命令で無力化

戦略が示す「妨害」の具体例として、FBIと米司法省は2026年4月、ロシア軍参謀本部情報総局（GRU）26165部隊、通称APT28／Fancy Bearが利用していた米国内のSOHOルーター基盤を裁判所の許可を得て無力化しました。

GRUは脆弱なTP-Linkルーターへ侵入し、DNS設定を書き換えて標的の通信をGRU管理下のDNSサーバーへ転送していました。

米司法省によると、FBIは侵害された米国内ルーターへコマンドを送信し、GRUが設定したDNSを削除して正規のDNSへ戻すとともに、再侵入を防ぐ措置を実施しました。

この作戦では、ルーター所有者の正規通信内容を収集せず、通常機能へ影響を与えないよう事前検証したとしています。

FBI Cyber Strategyでも、Computer Network Operations（CNO）として、裁判所の許可など法的権限に基づく遠隔収集、監視、妨害の技術能力を継続して発展させる方針を明記しています。

ロシア系攻撃者によるルーター悪用については、以下の記事でも整理しています。

• 米英加豪など18機関、ロシアによるルーターを悪用した重要インフラへのサイバー攻撃を警告

第2の柱は被害者支援、脅威情報を「日から時間、時間から分」へ

第2の柱は「Support Victims」です。

FBIは、被害企業を単なる証拠提供者として扱うのではなく、侵害封じ込めと復旧を支援する対象として位置付けています。

戦略では、脅威情報の共有速度を大きく短縮する方針が示されています。

FBIは、攻撃者のIOCやTTPなどを自動共有する仕組みを構築し、FBIが脅威を検知してからパートナーへ通知するまでの時間を「日から時間へ、時間から分へ」短縮するとしています。

攻撃が成立する前に情報を届けられれば、企業は次の対応を行えます。

• IOCのブロック
• 攻撃者のTTPを使った脅威ハンティング
• 侵害端末の特定
• 認証情報の失効
• 攻撃インフラへの接続遮断

FBIは、侵害された組織が自ら認識する前にFBI側で兆候を把握した場合、能動的に被害組織へ通知する活動も継続するとしています。

56のField Officeで企業との直接連絡経路を構築

Cyber Strategyは、すべてのFBI Field Officeが地域企業や組織との直接的な関係構築を優先するとしています。

米国内には56のField Officeがあり、さらに数百のResident Agency、海外には20人を超えるCyber Assistant Law Enforcement Attachéが配置されています。

FBIは、重大インシデントが発生してから担当者を探すのではなく、平時から企業側の連絡先を把握し、情報提供や初動支援を迅速化する考えです。

IC3（Internet Crime Complaint Center）についても、通報データの処理速度と捜査利用を改善する方針です。

企業側にとっては、サイバー攻撃を受けた際にFBIや法執行機関へ報告することが、単独企業の被害処理だけでなく、同一攻撃者による他社被害の発見やインフラ妨害につながる可能性があります。

全Field OfficeへICS Coordinatorを配置

FBIは重要インフラ向けの支援も拡充します。

Cyber Strategyでは、Industrial Control Systems（ICS）Coordinatorプログラムを拡大し、すべてのField Officeへ専任担当者を配置するとしています。

ITだけでなくOTや物理プロセスが関係するインシデントでは、一般的な企業ITのインシデントレスポンスをそのまま適用できない場合があります。

電力、水道、製造、交通などの重要インフラについて、FBI側でもOT環境に対応できる人員を地域レベルへ配置する方針です。

第3の柱は民間企業を「作戦パートナー」と位置付け

第3の柱は「Increase Impact Through Partnerships」です。

FBIは、捜査に必要な証拠、通信テレメトリ、インフラへのアクセス、海外での法的手続き、専門技術は単一組織だけでは保有できないとしています。

特に民間企業について、Cyber Strategyは「operational partner」と表現しています。

クラウド事業者、セキュリティベンダー、通信事業者などは、攻撃者の活動についてFBIより先にテレメトリを持つ場合があります。

一方、FBIは法執行、情報機関、海外当局から得た情報や、複数被害を横断した攻撃者情報を提供できます。

戦略では、次の既存組織・プログラムも官民連携の基盤として挙げています。

• InfraGard
• National Cyber-Forensics and Training Alliance（NCFTA）
• National Defense Cyber Alliance（NDCA）
• CISO Academy
• Cyber Executive Summits
• Leadership in Cyber（LinCY）

NCIJTF（National Cyber Investigative Joint Task Force）には30を超える米政府機関が参加しています。

8月の大統領覚書は「民間企業による攻撃作戦」も制度化

FBI Cyber Strategyの官民連携と関連して、トランプ政権は2026年8月12日、「Expanding Capabilities to Combat Transnational Cyber-Enabled Crime」と題する大統領覚書を公表しています。

この覚書は、外国のサイバー犯罪組織に対する作戦へ、審査を受けた米民間企業を参加させるプログラムの設置を指示しています。

対象となる企業は、米政府の指揮・監督・法的権限の下で、次の活動を実施できる枠組みです。

• Cyber Surveillance Operations
• Cyber Effects Operations

Cyber Effects Operationには、外国の犯罪組織が管理する情報システムやインフラの操作、妨害、拒否、機能低下、破壊を伴う活動が含まれます。

ただし、これは企業が独自判断で攻撃者へ「hack back」できる制度ではありません。

参加企業は米司法省または国土安全保障省と契約し、技術能力や人員、施設などの審査を受けます。個別作戦には政府側の書面承認が必要で、活動は米政府の監督と法的権限の下で実施されます。

FBI Cyber Strategy本文が民間企業へ独自の攻撃権限を与えているわけでもありません。FBIの一般的な官民連携と、8月の政府監督下の攻撃作戦プログラムは分けて理解する必要があります。

FBI自身もagentic AIを導入

第4の柱「Enhance FBI’s Cyber Capabilities」では、人材と技術に加えてAIの活用が明記されています。

FBIは、攻撃者もAIを使って攻撃速度や規模を拡大しているとの認識を示し、自身のサイバー作戦でもAIを利用します。

Cyber Strategyが挙げている用途は次のとおりです。

• 大規模データのトリアージ
• データ間の関連性抽出
• マルウェア分析の高速化
• 被害者通知の優先順位付け
• 攻撃者インフラのマッピング
• 攻撃主体の帰属支援
• 人間では必要な速度で処理できないパターンの検出

さらにFBIは「agentic AI」を迅速に導入し、防御と妨害をスケールさせるとしています。

攻撃者を検知するだけでなく、必要に応じて「detect, divert, and deceive」、つまり検知、誘導、欺瞞にもAIを利用する方針です。

一方、FBIはAIによる処理について、人間のレビューと法的統制を維持すると明記しています。市民的自由、精度、作戦上の安全性に対する保護措置も設けるとしています。

ポスト量子暗号への移行も捜査基盤で進める

第4の柱には、ポスト量子暗号への対応も含まれます。

FBIは長期間続く刑事訴追や機密情報収集を維持するため、証拠管理や捜査手法に関係するシステムをポスト量子暗号へ移行できるよう準備するとしています。

攻撃者側も量子耐性を持つ技術へ移行することを想定し、長期間保存する証拠や機密情報を将来の復号リスクから守る狙いがあります。

国家戦略「Cyber Strategy for America」をFBIレベルへ具体化

FBI Cyber Strategyは、2026年3月にホワイトハウスが公表した「President Trump’s Cyber Strategy for America」を、FBIの権限へ落とし込む文書と位置付けられています。

ホワイトハウスの国家戦略は6本のPolicy Pillarを掲げ、その第1として「Shape Adversary Behavior」を設定しました。

米政府が持つ防御・攻撃双方のサイバー能力を利用し、攻撃者のインフラや能力を削り、行動コストを引き上げる方針です。

FBI版戦略は、その中でFBIが担う捜査、妨害、被害者支援、民間連携、人材・技術整備を4本柱に再整理したものです。

実施計画とKPIは今後の確認事項

公開されたFBI Cyber Strategyは方向性とObjectiveを示す文書であり、各施策の期限やKPIまでを記載した実施計画ではありません。

The Recordによると、Leatherman氏は9月9日の記者説明で、実施計画は今後策定するとし、完成期限は設定されていないと説明しました。

成功指標としては、FBI全体で利用する逮捕者数、回収資金額、被害者対応数などを使う考えを示しています。

今後は次の情報が確認ポイントになります。

• 脅威別の下位戦略
• joint, sequenced operationsの実施件数
• インフラ停止・資産差し押さえの成果
• 自動脅威情報共有の実装状況
• ICS Coordinatorの全Field Office配置時期
• FBIでのagentic AI利用範囲
• 民間企業参加型サイバー作戦プログラムとの実務的な連携

日本企業のCSIRT・CISOが確認したいポイント

FBI Cyber Strategyは米国内向けの法執行戦略ですが、日本企業にも関係する部分があります。

国境をまたぐランサムウェア、情報窃取型マルウェア、国家支援型攻撃では、米国のクラウド、ドメイン、通信インフラ、暗号資産サービスなどが攻撃基盤として利用される場合があります。

FBIや米司法省によるインフラ停止が、日本企業を狙う攻撃キャンペーンへ影響する可能性もあります。

日本企業のCSIRTやCISOでは、次の点を確認できます。

• 海外法執行機関へ連絡する必要がある場合の社内窓口を決めているか
• FBI、CISA、JPCERT/CC、警察、国内外のCSIRTなどへの報告判断をインシデント対応手順へ入れているか
• 攻撃ドメイン、ウォレット、IP、マルウェア検体など、法執行機関へ共有可能な技術情報を保存できるか
• 被害発覚後にログや証拠を消さず、フォレンジック調査へ利用できる状態で保全できるか
• ランサムウェアやBECで不正送金が発生した際、金融機関と法執行機関へ即時連絡できるか
• 海外拠点や米国子会社がFBI Field Officeとの連絡先を把握しているか
• 攻撃基盤のテイクダウン後も、認証情報や永続化が残っていないか自社側で確認する手順があるか

Lumma Stealerでは2025年、米司法省、FBI、Microsoft、Europolなどが連携し、インフラの大規模な停止を行いました。

• Lummaマルウェアネットワークを摘発、司法省とMicrosoftがドメインを押収

今回のFBI Cyber Strategyは、こうした個別のテイクダウンを単発の作戦としてではなく、国家支援型攻撃やサイバー犯罪のエコシステムへ継続的に圧力をかける運用へ位置付けるものです。

出典

• FBI Cyber Strategy – Federal Bureau of Investigation
• Cyber Strategy – Federal Bureau of Investigation
• FBI Cyber 2026 Strategy – Federal Bureau of Investigation
• President Trump’s Cyber Strategy for America – The White House
• White House Unveils President Trump’s Cyber Strategy for America – The White House
• Combating Cybercrime, Fraud, and Predatory Schemes Against American Citizens – The White House
• Expanding Capabilities to Combat Transnational Cyber-Enabled Crime – The White House
• Justice Department Conducts Court-Authorized Disruption of DNS Hijacking Network Controlled by a Russian Military Intelligence Unit – U.S. Department of Justice
• Justice Department Seizes Domains Behind Major Information-Stealing Malware Operation – U.S. Department of Justice
• Disrupting Lumma Stealer: Microsoft leads global action against favored cybercrime tool – Microsoft