警察庁の資料は、この言葉を次のように説明しています。

ここで押さえるべきは目的が「抑止」だという点です。犯人を裁くためでも、被害を回復するためでもありません。「見えているぞ」と伝えることで、次の攻撃をやりにくくするための手段です。だから、逮捕できない相手にこそ意味があります。

「アトリビューション」との違い

警察庁は、サイバー攻撃への対処を一連の流れとして示しています。事案認知 → 捜査・実態解明 → 部門を越えた横断的・俯瞰的分析 → 検挙 → パブリック・アトリビューション → アクセス・無害化措置。パブリック・アトリビューションは、その流れの後半に置かれたひとつの選択肢です。捜査の代わりではなく、捜査の先にあります。

そして、この流れの手前には大きな壁があります。そもそも、誰がやったのかを決めるのが難しいという壁です。同じ資料は、事案を認知した段階では「国家を背景とする事案か、犯罪組織による金銭目的の事案かなどを認定することは困難」であるとし、別の箇所では「サイバー攻撃は、その性質上、事案発生時点では、その攻撃主体や目的等を即座に判断できるものではない」と書いています。名前を呼ぶまでには、時間がかかります。

第1章 おわり — 次は第2章

「日本は何も言わない国だ」という印象があるかもしれません。実際には、ここ数年で繰り返し実施されています。警察庁の資料に載っている事例を、日付とともに並べます。

出典：警察庁サイバー警察局『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月）の「パブリック・アトリビューションの事例一覧」および本文。NISCは2025年7月1日に国家サイバー統括室（NCO）へ改組されたため、時期によって名称が異なります。

この表から見えるのは、日本が単独で名指しすることはほとんどないという事実です。多くが「連名」か「共同署名」。2025年8月のSalt Typhoonでは、その規模がはっきり分かります。

出典：同上。日本を含めると13の国・地域の機関が名を連ねたことになります。

なぜ足並みをそろえるのか。1国だけの主張は「言いがかり」と反論できますが、13の国が同じ評価を出せば、その反論は通りにくくなるからです。名指しの重みは、証拠の量だけでなく、何か国が同じことを言っているかでも決まります。

MirrorFaceの事例が示したこと

2025年1月の事例は、少し性格が違います。警察庁とNISCは、MirrorFaceと呼ばれるグループが令和元年（2019年）頃から日本国内の組織・事業者・個人に対して情報窃取を目的としたサイバー攻撃を行っていたことを確認し、これが中国の関与が疑われる組織的なサイバー攻撃活動であると評価したうえで、手口と未然防止対策を公表しました。

ここで注目したいのは「令和元年頃から」という部分です。公表は2025年、攻撃の開始は2019年頃。6年ほどの隔たりがあります。名前を呼ぶには、それだけの積み上げが要るということです。

第2章 おわり — 次は第3章

警察庁が示している対処の流れに沿って、公表までの道のりを並べます。どの段階も省略できません。

段階は警察庁資料の記述（事案認知、捜査・実態解明、部門を越えた横断的・俯瞰的分析、検挙、パブリック・アトリビューション、アクセス・無害化措置）に沿って筆者が整理しました。5と6の順序は事案により前後します。

実務として重要なのは5と6の関係です。注意喚起は、攻撃者が誰か分からなくても出せます。手口さえ分かれば、防ぐ側は動けるからです。一方、パブリック・アトリビューションは「より詳細に国家の関与を特定できた場合」に限られます。警察庁の資料は、この条件をはっきり書いています。

なぜ即断できないのか

1・2・4は警察庁資料の記述にもとづきます。3については、別の攻撃主体を装う手口が国際的に指摘されていることを踏まえた筆者の整理です。

第3章 おわり — 次は第4章

第4章 おわり — 次は第5章

この分野のニュースは、見出しだけ読むと必ず強く見えます。元の資料が何と言っているかを推し量るために、いくつかの言い回しの意味を知っておくと便利です。

表現の対応は、警察庁資料での使われ方をもとにした筆者の整理です。厳密な定義ではありません。迷ったら、報道ではなく発表元の原文を読むのがいちばん確実です。

そしてもうひとつ。個人にとって実際に役に立つのは、非難の部分ではありません。同時に公表される「手口」と「対策」です。MirrorFaceの事例では個人も標的とされていました。パスワードの使い回しをやめる、更新を当てる—そういう地味な部分が、名指しされた攻撃グループへの現実的な対抗手段になります。

第5章 おわり — 次は第6章

組織にとって、パブリック・アトリビューションの発表は質の高い脅威情報が無料で公開された日です。政治的な部分を脇に置くと、次の4つが手に入ります。

Salt Typhoonの例で言えば、公表された手口は「既知の脆弱性や設定不備から入り、ネットワーク機器の設定を改変して居座り、認証情報を集め、データを持ち出す」という流れでした。この4行があれば、自社で確認すべき箇所はほぼ決まります—ネットワーク機器の更新状況、設定の変更履歴、認証情報の保護、外部への通信です。

ひとつ注意があります。「その国からの通信を止める」は対策になりません。攻撃は他国のサーバや国内の家庭用ルーターを経由します。警察庁も、家庭用ルーターがサイバー攻撃に悪用されていたとして注意喚起を行った例を挙げています。国で切るのではなく、手口で守るのが実務です。

第6章 おわり — 次は第7章

3について、突き合わせるログが残っていない場合は、そもそも確認ができません。保存期間の考え方は「ログ管理」の記事で扱っています。

第7章 おわり — 次は第8章

この用語とセットで覚えると理解が早くなる語です。

第8章 おわり — 最後にFAQ