要約

  • 2026年10月18日に確認した9点の情報源の範囲では、マネージドDNSまたは権威解析サービスの提供者に対して、可用性・開示・継続性の義務を課す成立済みの文書、ライセンス条件、拘束力ある標準、規制当局の文書は見つからなかった。
  • 攻撃後に実際に採用された唯一の手段は、連邦政府自身によるモノのインターネット機器の利用と管理を対象とするものであり、独立した2つの媒体が、監察機関が関係する棚卸しと保守の要件を完全に満たしたのは対象22機関のうち7機関にとどまると報じている。
  • 事業者自身が公表した事後分析は、公開当時のアドレスでは読めなくなっていたため、本稿は流布している波ごとの説明を繰り返さない。

Dynamic Network Services, Inc. は、10年前に消費者向け機器から組み上げられたボットネットの標的となった権威ネームサーバーを持つ企業の法人名で、このディレクトリに収録されている。公開記録がこの出来事について記している内容は、その評判が示すよりも薄い。そして、事後の説明責任について記している内容は、さらに薄い。これは制度の道具立てに空いた穴についての一件記録であり、ある企業への評決ではない。

記録にあるもの、ないもの

まず、読めなかったものから述べる。事業者が公開した攻撃の分析は、発表時のアドレスが2026年10月18日の本取材の時点で既にその分析を指していなかった。アドレスは汎用の企業ブログのページへ転送され、分析の一節も取得できなかった（分析の元のアドレスを参照）。これはある日付における取得の観察であり、ページがなぜ移ったのか、誰がそう決めたのかについての断定ではない。その帰結は具体的である。二次的な再話で流通している波の構成、影響を受けたサービスの一覧、復旧までの時間は、ここでは出典を示せない。したがって本稿はそれらを繰り返さない。

第二に、刑事記録は本取材が開いたものではなく、本取材に伝えられたものである。米国司法省はミライに関与した3名に対する訴追と有罪答弁についての発表を行い、連邦検察当局はその結果としての有罪答弁に関する公表文を出した。いずれのアドレスも本文を返さなかった。したがって本取材が言えるのは、訴追が存在し、それが3名に関わるものだったということである。氏名、訴因、条文、答弁の条件、罰金、賠償、刑期は述べることができず、述べない。

警告が指していたのは機器だった

読めるのは連邦のサイバー防護警告である。警告TA16-288A「Heightened DDoS Threat Posed by Mirai and Other Botnets」は今も公開され、最終改訂日として2017年10月17日を掲げ、影響を受けるシステムの節でモノのインターネット機器を挙げて、プリンター、ルーター、ビデオカメラ、スマートテレビを例示している。これを配信するアドレスの経路には2016年の日付が含まれるが、取得した本文自体が示すのは後年の改訂日だけである。「攻撃の数日前に出された警告」と書きたくなる向きは、取得した文書が初回の発出日を自らは立証していないことに気づくべきだ。

最も強く読んでも、この文書は警告である。ある種の機器がサービス妨害のトラフィックに徴用されていると運用者に告げる。誰かに義務を創設するわけでも、義務を負う主体を指定するわけでも、履行の基準を定めるわけでもなく、名前解決サービスの提供者には届かない。予見可能性は台帳の一欄であって、義務の欄ではない。

法律が指していたのは機関だった

立法府は動いた。公法116-207の成立文には、国立標準技術研究所（NIST）の所長に対し、制定後90日以内に、連邦政府の各機関によるモノのインターネット機器の適切な利用と管理についての標準と指針を策定し公表することを命じる施行条項が含まれている。この法律となった法案の議会記録のページも、連邦機関への要件とNISTへの標準化作業という同じ言い方で説明している。

この条文は、書かれていないことのゆえに、ゆっくり読む価値がある。義務を負うのは一研究所の所長である。対象は標準と指針である。拘束されるのは連邦政府であり、各機関を通じて、自らによる接続機器の利用と管理においてである。引用した条項には、解析の提供者、権威ネームサーバー、登録機関、いかなる種類の継続性義務も名指されていない。製造者向けのNISTの公表ページは、解析層に適用される規則ではなく、機器の製造者向けの基礎的な活動を列挙するものとして本取材に説明された。それは要約であり、その法的効力と正確な範囲は本稿では確認していない。

実施の台帳

機関を拘束する義務は、その後に何が起きたかによって主に意味を持つ。独立した2つの媒体が、同じ日に同じ監察の結論を報じた。一方は「only seven of 22 civilian CFO Act agencies have fully met OMB requirements for inventorying and maintaining networked devices, according to GAO」と書き（最初の記事を参照、2026年10月1日付）、他方は「a handful of federal agencies missed deadlines to complete Internet of Things cybersecurity requirements called out in a 2020 law」と報じた（二番目の記事を参照）。二つの数字は混同してはならない。前者は計数であり、後者はそうではない。

どちらも、本取材が読んでいない監察の成果物についての二次報道である。価値は、別々の編集部から、実際に採用された唯一の手段が期限内に完全には実施されなかったという点で一致していることにある。これは下流の遵守に関する所見である。2016年10月の出来事についての証拠ではなく、障害を連邦機関に帰するためにも、事業者を免責するためにも使えない。

六つの欄、ひとつの評決ではない

この種の失敗は、通常「過失」という一つの欄で論じられる。六つに分けたほうが誠実である。

予見可能性：徴用されうる機器についての連邦の警告が記録にあった。正式な割り当て：見つかった手段は、名前解決サービスではなく機関の手元の機器について義務を配分している。制御：本取材は、事業者が何を吸収し、迂回させ、開示できたかについて技術的証拠を確立しておらず、それを前提ともしない。履行：事業者自身の履行についての説明は公開アドレスで読めないため、履行はここでは評価できない。因果：これらの文書のどこにも、どの失敗がどの影響を生んだかは示されていない。救済：個人への刑事訴追（伝えられたが読んでいない）、機関に適用される機器の制度、そして事業者側には見つかった手段がない。

こう読むと、本件はある企業についての道徳物語ではなく、設計上の問いになる。皆が依存している層が誰にも拘束されていないとき、いったい何がそれを規律するのか。この記録の範囲では、評判と、顧客が去る選択肢である。どちらも実在する経路であり、どちらも私的な経路であり、両者とも本取材では測定していない。

結論とその範囲

2026年10月18日に本取材が保持した9点の情報源の範囲では、マネージドDNSまたは権威解析サービスの提供者に対して、可用性・開示・継続性の義務を課す成立済みの文書、ライセンス条件、拘束力ある標準、規制当局の文書は見つからなかった。

これは日付のある否定の結果であり、範囲は狭く、膨らませてはならない。州法、契約、サービス水準合意、他の法域のライセンス、私的な標準に置かれた義務は、本取材には見えなかっただろう。手段がないことは、その層が危険だったことや、特定の事業者が注意を欠いたことを証明もしない。示しているのは帰属の非対称である。正式な関心は機器と政府自身の棚卸しに届き、名前をアドレスに翻訳する共有サービスは、文書ではなく期待によって義務を獲得した。