企業脅迫

企業を相手に金銭・利益を要求して脅迫する行為であり、刑法上の恐喝・脅迫罪およびサイバー犯罪規定によって規律される。

企業脅迫

概要

企業脅迫とは、個人・組織・集団が企業を相手に、金銭、取引上の利益、人事措置、契約変更など特定の要求を貫徹する目的で脅威を加える行為をいう。伝統的には刑法上の恐喝罪・脅迫罪で処罰される対人的な犯罪であったが、デジタル転換以降、ランサムウェア、データ流出脅迫、ディープフェイク成り済ましなどサイバー手段と結合するにつれ、企業経営全般における中核的リスクとして浮上した。企業脅迫は単純な犯罪被害を超え、株価下落、信用格付けの悪化、サプライチェーンの麻痺、ブランド信頼の毀損など複合的な損失を引き起こすという点で、法律・セキュリティ・経営が交差するテーマである。

主な内容

概念と成立要件

脅迫とは、相手方に恐怖心を生じさせるに足る害悪を告知する行為であり、その害悪の内容が必ずしも違法である必要はない。例えば、事実を適法に通報するとの通告であっても、それが利益を得るための手段として濫用されれば、恐喝罪の構成要件に該当し得る。企業脅迫の成立において核心となるのは、①害悪の告知、②相手方の恐怖心の惹起、③財物または財産上の利益の取得意思、④因果関係である。ただし、正当な権利行使や公益通報が社会通念上許容される範囲を超えなければ違法性が阻却され得るため、脅迫と正当な権利主張の境界は個別事案の具体的判断にかかっている。

主な類型

  • 金銭恐喝型: 協力会社・納品業者・フランチャイズ加盟店主などが、不当な補償金、取引断絶補償、営業権補償を要求し、集団行動や物理的示威を口実に圧力をかける形態である。
  • 言論・苦情悪用型: 虚偽の通報、悪質な苦情、報道機関への通報を餌に広告契約や金銭を要求する類型で、オンラインコミュニティやSNSを通じた拡散速度が速い。
  • サイバー脅迫型: ランサムウェアによるファイル暗号化と個人情報流出を同時に脅す二重恐喝（double extortion）、DDoS攻撃の予告、内部データの販売脅迫などが代表的である。
  • 内部者脅迫型: 退職した役職員や営業秘密へのアクセス権限を有する内部者が、資料流出を口実に金銭や再就職、示談金を要求する事例である。
  • 権利濫用型: 特許・商標訴訟を繰り返し提起したり、無理な刑事告訴を乱発して示談金を引き出そうとするアグレッシブ・リティゲーション（aggressive litigation）、および特許非実施事業体（NPE）のライセンス圧迫が含まれる。

法的規制と処罰

国内では、刑法第350条の恐喝罪、第283条の脅迫罪が基本規範であり、情報通信網利用促進及び情報保護等に関する法律、情報通信基盤保護法、産業技術の流出防止及び保護に関する法律、不正競争防止及び営業秘密保護に関する法律、公益通報者保護法などが個別の類型を規律する。脅迫の過程で名誉毀損、侮辱、業務妨害、強要、個人情報侵害が伴うと、罪数が競合して刑が加重され得る。海外では、米国のRICO法や州単位の反恐喝法、EUのサイバーセキュリティ規制、日本の暴力団対策条例のように、組織的恐喝に対する別途の制裁体系を運用する場合が多い。

企業に及ぼす影響

直接的損失としては、身代金の支払い、復旧費用、法的費用、稼働停止に伴う売上損失が発生する。間接的損失はさらに大きい。顧客の個人情報流出時には信頼の低下と離脱、規制当局の過料、集団訴訟、株価下落が続き、役員個人に対する標的型脅迫は意思決定の萎縮につながり得る。特に製造・物流・金融のように稼働停止への感度が高い産業群では、復旧時間がそのまま損失規模に直結する。

対応戦略

  • 原則の確立: 「身代金支払い禁止」原則と危機対応マニュアルを事前に文書化し、取締役会の承認を得る。
  • 通報と連携: 捜査機関、業種別情報共有分析センター（ISAC）、サイバーセキュリティ専門機関に早期に通報し、共同対応体制を稼働させる。
  • 法的検討: 脅迫メッセージの違法性、示談金支払いの刑事的リスク（恐喝罪の幇助・横領の論争）を法務チームと検討する。
  • 技術的防御: バックアップの隔離、多要素認証、権限の最小化、エンドポイント検知・対応（EDR）、ゼロトラストアーキテクチャを導入する。
  • レピュテーション管理: ステークホルダーコミュニケーション計画を事前に策定し、流出情報の拡散を遮断するためのモニタリングを並行する。
  • 保険と契約: サイバー保険への加入、協力会社との契約にセキュリティ条項と通知義務を明文化する。

最新動向

2024～2025年の最大の変化は、脅迫の自動化・知能化である。生成AIを活用して役員の音声・映像を模倣したディープフェイク成り済ましによる送金要求や、精巧な多言語の脅迫メールが急増し、ランサムウェア組織は暗号化と流出脅迫に加え、規制当局への通報を口実にした三重恐喝まで試みている。サプライチェーンを経由した大規模侵害やSaaS型サービスを標的とする攻撃が増えるにつれ、中小協力会社が脅迫の迂回経路となる事例も頻繁である。決済手段としては追跡が困難な暗号資産の要求が一般化し、一部の国ではランサムウェア支払い禁止の立法議論が本格化した。規制面では、EUのNIS2指令や米国SECの重大サイバー事故の4日以内の開示義務などが施行され、企業が事故を隠蔽する余地が減り、国内でも侵害事故の通報と情報保護の公示義務が強化される傾向にある。これに伴い、企業はセキュリティ組織を法務・広報と統合した危機管理体制へと再編し、役員を対象とした標的型脅迫に備えた個人セキュリティプログラムまで導入する傾向にある。あわせて、悪質な苦情・虚偽の通報を防御するための法的対応の専担組織を置く企業が増えており、正当な公益通報と恐喝性の脅迫を区別する内部ガイドラインの策定が主要な課題として浮上した。

関連トピック

  • [[恐喝罪]]
  • [[サイバー犯罪]]
  • [[ランサムウェア]]
  • [[内部告発]]
  • [[企業倫理]]
  • [[コンプライアンス]]
  • [[営業秘密]]
  • [[危機管理]]