Alliance4Europeが2026年10月に公開した「TAMM: Threat Actor Mapping Methodology」は、どの組織やソーシャルメディア資産がどの脅威アクターにつながっているのかという帰属情報を、対策コミュニティが共通の語彙で記録・交換するための方法論文書である。Alliance4Europeはミュンヘン、ベルリン、ワルシャワ、ブリュッセルに拠点を置くドイツの公益有限会社で、欧州民主主義の防衛を掲げ、デジタル・インテリジェンス分析と市民社会組織の連携を活動の軸とする。著者は同団体で脅威対応部門を率いるSaman Nazari、編集はシニア研究員のLumi Sarvelaである。本文書は、同団体がプラハ安全保障研究所などと整備してきたDISRUPT Toolkitの一部で、脅威インテリジェンス共有基盤TRANSCRIPTと組み合わせて使う前提で書かれている。全25ページの本文書は実証データや事例分析を含まず、定義、3つの分類体系、調査手順で構成され、冒頭で公開協議の叩き台であると明言している。分類体系が同団体の運営するTRANSCRIPT上でのデータ交換を前提に設計されていること、つまり自組織の共有基盤の普及と表裏一体の提案であること、影響工作の定義が著者自身の白書から引かれていることは、読む際の前提として押さえておく必要がある。
帰属作業の重複という問題設定と依拠する先行枠組み
出発点は対策側の資源配分である。対策組織は同じチャンネルの帰属を調べ、同じネットワークをマッピングし、同じ工作に名前を付けており、その多くは公表されないまま終わる。脅威アクターが高度化する一方で対策側の資金は細っており、この重複はもはや許容できない、というのが要旨の主張である。そこでAlliance4Europeは、脅威インテリジェンス、知識ベース、妨害措置の調整を一体化したTRANSCRIPTを立ち上げたが、組織や国をまたいでデータを交換するには共通の分類体系が要る。TAMMはその分類体系と手順を提示する。
依拠する先行研究は4系統である。第一に、EUのHorizonプロジェクトADAC.IOの成果物で、カーディフ大学のInnes & Ahonenによる「Attribution and Information Influence Operations: A ‘Field Guide’ for Open-Source Investigators and Researchers」と、ルンド大学心理防衛研究所のPalmertz, Isaksson & Pammentによる「A Framework for Attribution of Information Influence Operations」（2025年2月）。第二に、フランス国防・国家安全保障事務総局の下で外国からのデジタル干渉を監視するVIGINUMが2026年1月に公表した情報操作セット（IMS）の概念文書。第三に欧州対外行動庁（EEAS）の外国情報操作・干渉に関する第1次報告（2023年）と第3次報告（2025年3月）、第四に影響工作の戦術・技術を体系化したDISARM Red Frameworkである。要旨は、ナラティブの一致や単一の非技術的指標だけに依拠した帰属は行わないと明記する。IMSを分析単位として運用化した先行例にはEU DisinfoLabの作業部会による「Building a common operational picture of FIMI」（2026年1月）があるが、TAMMはIMSを取り巻くアクター間の関係記述と命名規則に重心を置く点で役割が異なる。
定義：帰属を「行為」ではなく「関係」として定義する
脅威アクターは、政治的・金銭的・評判上その他の目的のために影響工作を用いる主体（国家、組織、集団、個人）と定義される。影響工作は、違法なコンテンツ、違法な活動、非真正な振る舞い、秘匿された活動、外国からの干渉を用いて、標的とする受け手の信念・行動・意思決定を操作しようとする組織的かつ意図的な取り組みで、出典は著者らのDISRUPT白書である。「情報工作」という語は情報を知らせる活動を含意するため使わないと明言している。
最も注意を要するのは帰属の定義である。本文書は脅威アクターの帰属を、アクター間の関係を示すこと、またはソーシャルメディアのページやアカウントをアクターに結び付けることと定義し、特定の行為を特定のアクターに帰することは帰属と呼ばないと明記する。「この工作は誰によるものか」を問う一般的な用法から離れ、帰属の対象をエンティティ間の関係網に限定している。マッピングは、脅威アクターに連なる資産を特定する作業で、使い捨てアカウントだけの協調的非真正行動ネットワークの特定も含む。IMSについてはVIGINUMの定義、すなわち同一の脅威アクターまたはアクター群（未特定でもよい）に結び付くと推定される敵対的な振る舞い、ツール、戦術・技術・手順の集合をそのまま採り、帰属回避を図る「秘匿性」と、同じスポンサーのために資産が協調運用されていると推定される「協調性」を成立要件とする。帰属を関係記述に限定する定義は、データベースのエンティティとエッジの設計と直結しており、本文書全体がデータモデルとして構想されていることを示している。
関係の分類体系：EEASの4段階区分との対比
第一の分類体系はアクター間の関係を記述するラベル群である。比較対象のEEAS区分は、2023年の3区分から2025年の第3次報告で4段階に拡張された。政府が直接運営する「公式国家チャンネル」、国家任命機関や与党が資金・経営・編集を統制する「国家統制メディア」、所属を公表せず国家の監督下で運営される「国家連携チャンネル」、国家に直接帰属できないが体系的な同調の兆候を示す「国家同調チャンネル」である。本文書はこの区分を、関係の中身について粒度が粗く解釈の余地を残すと批判し、とりわけ国家同調チャンネルは主観的評価とみなされうるため法的責任が生じると指摘する。
TAMMのラベルは組み合わせ可能で、脅威アクターの性質を付記する（例は「中国の国家資金かつ編集統制下のメディア」）。各関係には公然か秘匿かの区別が付く。秘匿は自らの発信で関係を明らかにせず隠蔽しようとしている状態で、第三者経由で知られていても当事者が確認・申告していなければ秘匿のままとされる。確信がない場合は「unknown」を付す。
| ラベル | 定義 | 例 | 指標の例 |
|---|---|---|---|
| Owned | 株式等の法的構造による全部または一部の所有 | オリガルヒが所有する企業 | 所有記録 |
| Controlled | 所有を伴わない統制も含む | 編集の自由がない国のメディア、政党員が支配する理事会 | 国営メディアを自称する旧ページ、信頼できる機関の機密情報に基づく帰属、統制を強いる国内法、役員の任命権 |
| Funded | 一つのアクターが全額を負担 | 国家が全額負担するメディア、国家統制下の大学の研究者 | 税務・行政文書、年次報告、資金提供元の専用ページ、署名欄の記載 |
| Supported | 補助金・助成・寄付による部分的支援、無償提供 | ITインフラ、事務所、会場、録音スタジオ、定期的な旅行の無償提供 | 会場や事務所の住所、IPアドレス、補助金関連文書 |
| Shared Infrastructure | 寄付ではない基盤の共有 | ITインフラ、事務所、会場、スタジオの共有 | 住所、IPアドレス |
| Collaborates | 金銭の授受を伴わない提携 | 共同イベント、コンテンツ共有協定 | 提携に関する公式声明 |
| Service Provider | 商取引関係 | 人員の供給、コンテンツ制作の受託 | 公共入札結果、取引関連の税務文書 |
| Systematic Amplification | 体系的な宣伝・共有による露出の付与 | 国家統制メディアが常連で起用する専門家、外交官による特定ページの定期的共有 | 定期的な間隔・一定量での共有、他の増幅対象と比べて突出した宣伝 |
細部の規定には実務上の判断基準が埋め込まれている。所有されていても経営が放任されていれば統制は及ばない場合がある。少数株主としての所有は明示する。フリーランスは資金提供先ではなくサービス提供者に分類し、無償提供かどうか確信が持てなければ支援ではなく基盤共有を使う。この設計は、関係を国家への近さで序列化するEEAS方式から、検証可能な指標と対になった関係の型への分解へと発想を転換しており、意図の推定を経ずに主張を構成できる。代償として、国家同調チャンネルが捕捉していた「証拠は足りないが同調は明白」という領域は独立区分を失い、体系的増幅かunknownに吸収される。
玉ねぎ型マッピング手法と証拠指標
本文書が「Onion Threat Actor Mapping Methodology」と呼ぶ手法は、既知の情報から出発して層を剥ぐように外側のアクターと証拠を掘り起こす。起点は省庁、国営メディア、大使館、既に帰属済みの脅威アクターなどエコシステムの中心である。証拠の型としては、本文書が「Lund paper」と呼ぶ文献の4類型、すなわち画像・動画から作成者を特定するコンテンツ・シグナル、非真正な活動の組織のされ方を見る行動シグナル、ドメイン、サーバー、IPアドレス、SSL証明書などを分析し過去に特定アクターと結び付いた構成要素を再利用する技術シグナル、資金の流れから誰が誰を統制しているかという関係の方向まで確定する財務シグナルが示される。EEAS第3次報告はこれを、提携・財務記録・統一社会信用コードなどの共有基盤から成る技術的証拠と、体系的増幅や協調的メッセージ発信から成る行動的証拠の2類型にまとめており、本文書はEEAS方式の方が運用向きと評価する。
手順は3段階で、先行研究が特定したアクターと既知資産を把握し、次にそれらを監視して新たな資産とアクターをたどる。この段階の指標は次の通りである。
| 指標 | 着眼点 |
|---|---|
| 公表された提携 | 検索エンジンとソーシャルリスニングでの組み合わせ検索、ウェブアーカイブ、サイトのフッターや提携先一覧 |
| 財務記録 | 請求書、税務記録、所有記録、上場情報、年次報告の役員・住所。国により公開か請求か異なる。制裁対象については判決文 |
| 財務資産 | PayPal、暗号資産ウォレット、Patreon、カード決済アカウントの使い回し、広告ID |
| 物理的証拠 | 共有事務所、同一の私書箱、特定地域での反復的活動 |
| 人員 | 複数アクターを掛け持ちする契約者、別ブランドで活動する被雇用記者、株主・経営者・編集者 |
| ウェブサイト | IP、サーバー事業者、ドメイン登録事業者、SSL証明書、CDN、管理者ユーザー名、フォルダ名、使用ソフトウェア |
| ソーシャルメディア | 旧アカウント名、最初の投稿、作成日、初期ロゴの出所、イベントや会談の告知 |
| 体系的な相互作用と増幅 | 継続的な共有・翻訳、出所を消した再掲載、共同制作やイベント共催 |
| 協調的非真正行動 | 投稿時刻、プロフィール構成、リダイレクト手法、共有・いいね・視聴・投稿のパターン、標的の固定、なりすまし |
提携の検索例は「”Threat Actor A” AND “Signed” AND “Threat Actor B”」である。決済アカウントは作成と本人確認が煩雑なため同じ運営者の複数アクター間で使い回されやすく、広告IDも子会社を含む多数の資産で共通化されがちだという指摘は、作戦コストに着目した実務的なものである。ロシアの全面侵攻と中国の秘匿型工作への移行以降、改名して所属の痕跡を消した資産が多いため、改名履歴や初期ロゴの出所が手掛かりになるとも述べる。他方、一度や二度の共有は偶然とみなしうるとし、継続的な共有、他言語への翻訳、出所を消した再掲載（情報ロンダリング）があって初めて体系的な増幅者と認定でき、それでもそれ以上の強い関係を必ずしも意味しないと留保している。
第三段階で証拠をHunchlyやWayback Machineで保全し、TRANSCRIPTに集約する。TRANSCRIPTはWikiのように他者が成果に積み上げられる仕組みで、既知資産のコンテンツにリンクすると該当アクターと資産が自動的に案件にタグ付けされる。本文書はここで、検証可能な証拠なしに公の場で特定の主体を脅威アクターと呼んではならず、脅威アクターは調査を封じるために訴訟を起こしうると警告する。逆に、制裁対象への役務提供者を特定できれば制裁違反として罰金や禁錮の対象になりうること、所有関係が判明すれば新たな制裁を講じうることも指摘し、関係マッピングを法的措置の起点としても位置づけている。
影響工作の7層分類：VIGINUMモデルの改変
第二の分類体系は、VIGINUMが政策（スポンサー）、戦略（脅威アクターとIMS）、作戦（情報キャンペーン）、戦術（情報工作）、技術（デジタル資産）の5段階で整理したモデルを、7層に組み替えたものである。
| VIGINUMの5段階 | TAMMの7層 |
|---|---|
| 政策（スポンサー） | 01 脅威アクター・エコシステム |
| 戦略（脅威アクターとIMS） | 02 脅威アクター／03 IMS |
| 技術（デジタル資産） | 04 資産 |
| （対応する層なし） | 05 振る舞い |
| 作戦（情報キャンペーン） | 06 影響キャンペーン |
| 戦術（情報工作） | 07 影響工作 |
最大の改変は、スポンサーを脅威アクター・エコシステムに置き換えた点である。エコシステムは特定国家への所属などの共通項を持つアクターの集まりで、見通しのための便宜的な単位だが、純粋にイデオロギーに基づくのではなく行動に基づく必要があるとされる。本文書は、VIGINUMのスポンサー方式の方が客観的で粒度も細かいと認めつつ、直接的な資金関係を立証できる場合に研究範囲を限定してしまうと理由を述べる。例はロシア国家、中国共産党、モルドバの親ロシア派実業家イラン・ショルで、中心には政府、政党、企業、オリガルヒなどが存在し、エフゲニー・プリゴジンとショルのエコシステムは既にロシア国家のエコシステムに統合されたと記述している。
脅威アクターは複数のエコシステムに属しうる。IMSは悪意と秘匿性を要件とし、同一エコシステム内、望ましくは同一の資金提供者のために働くアクターが担うが、アクターが特定済みである必要はない。資産はDISARMの資産確立の節を下敷きにしたウェブ、ソーシャルメディア、通信、物理、財務、ソフトウェア、法的資産の7類型である。振る舞いはDISARM財団の2.0が完成するまでv1.7に依拠し、他の層と重複する技術や妨害に寄与しない技術を削った軽量版レイヤーも公開されている。影響キャンペーンは同一エコシステムかつ同一IMSのアクターによる工作の集合で、特定の主体や国家を標的とするか、国家の分断などの長期目標に持続的に取り組むものに限られ、目的はナラティブと標的層から推定される。影響工作は単発でもよく、IMS由来でない工作は使い捨てではない資産を用いるものとして区別される。例は、国営メディアが政治家のディープフェイク動画を拡散する報道や、外国の外務省からの資金を隠して不法占領地域を訪れるインフルエンサーである。工作の期間は通常数日から数週間で、同一アクター、同一の標的またはナラティブ、同一期間の3条件で区切られる。
エコシステムの導入は実務的な工夫だが、立証可能な関係だけを主張するという第一の分類体系の原則と、行動に基づく便宜的なクラスタリングとの間には緊張があり、どの程度の行動的証拠で構成員とみなせるかの基準は示されていない。
IMS命名規則：Doppelgangerを記述的名称に置き換える
第三の分類体系は命名規則である。本文書は、Doppelganger、Overload、Storm-1516、CopyCopy、Spamouflageが別々の主体に命名されてきたと指摘する。Storm-1516はMicrosoftの命名体系によるもので、同社は中国をTyphoon、ロシアをBlizzard、金銭目的をTempestとする気象用語で分類し、帰属未確定の新興集団に「Storm」と4桁の数字を付す。本文書はこれを認知されにくく、国を動物名で呼ぶCrowdStrike方式も明快さに欠けるとして、エコシステムはロシア、中国、イランのように単純に名指し、「<脅威アクター・エコシステム> <IMS類型> <IMS類型2>」の構造に後から固有識別子を付す方式を提案する。書き換え例では、Doppelgangerが「Russian Web Mimic Bot Content Network」、Operation Overloadが「Russian Flood Social Network, Targeted Messaging」となる。標準化された名称は人目を引きにくいという難点は本文書自身が認めている。
| 類型（短縮名） | 内容 |
|---|---|
| ボットコンテンツ網（Flood） | リダイレクトなしで大量のコンテンツを投稿 |
| ボット誘導網（Re-router） | 他サイトへのリンクを増幅 |
| ボット相互作用網（Amplifier） | 共有・いいねによる投稿の増幅 |
| ボットコメント網（Commenter） | 記者・政治家・メディアの投稿の返信欄を埋め尽くす |
| ボット視聴網（Viewer） | 視聴数による増幅 |
| ボットフォロー網（Follower） | フォローによるアカウントの増幅・正当化 |
| なりすましサイト（Web Mimic） | 正規の主体を模倣し、その信用を利用するか毀損する |
| ロンダリングサイト（Laundromat） | 出所を隠して脅威アクター発のコンテンツを再掲載 |
| 秘匿サイト（Shadow Web） | 資金・所有を隠して「ニュース」を発信 |
| アストロターフ網（Astroturf Web） | 偽の記者・専門家・住民などの人格を作り込んだ人手運用アカウント |
| 乗っ取りアカウント網（Hijack Socials） | 侵害・購入した認証済みや既存の聴衆を持つアカウントの転用 |
| 標的型接触網（Targeted Messaging） | 記者・ファクトチェッカー・研究者へのメールやDMで資源を浪費させ報道を誘う |
| チャンネル網（Messaging channels） | Telegram、YouTube、TikTokの相互転載・増幅 |
| インフルエンサー網（Influencer） | 自覚の有無を問わず報酬や指示でナラティブを広める実在の個人 |
| フロント組織（Front Orgs） | 脅威アクターとの関係を隠すNGO、研究所、シンクタンク、選挙監視団 |
| 広告網（Ad network） | 有料広告・スポンサー投稿による自然到達の限界突破 |
| AIコンテンツファーム（AI Web） | 人手をほぼ介さずAI生成記事を量産するサイト。秘匿サイトやロンダリングサイトの下位類型としても扱いうる |
17類型のうちボット系が6種を占める。もっとも、本文書の書き換え例は短縮名と長い類型名を混在させ、一覧にない「Social Network」という語も含んでおり、規則の適用自体がまだ揺れている。また、Microsoftの「Storm-数字」が未帰属という状態を名称に符号化しているのに対し、TAMMの構造はエコシステムを名称の先頭に置くため、命名の時点でエコシステムへの帰属判断を迫る。アクターが未特定でもIMSと認定できるとする本文書自身の定義との両立は、協議で詰めるべき論点である。
評価：分類体系の射程と未解決点
意義は、法的防御可能性を分類体系の設計原理に据えた点にある。関係を登記・税務文書・公開声明・インフラ共有と対応づけて記述する方式は、訴訟や圧力の標的になりやすい欧州の市民社会組織にとって実利がある。他方で、文書として未整備な部分も少なくない。
第一に、要旨は手法の柱としてABCDEフレームワークを挙げるが、本文には説明も適用もない。ABCDEは、Camille Françoisが2019年に示したアクター・振る舞い・コンテンツのABC枠組みを、James Pammentが2020年にカーネギー国際平和財団の論考で程度と影響を加えて拡張したもので、帰属手続きよりも事案の脅威評価に向いた枠組みである。第二に、出典表記に混乱がある。公式ページ版で「Lund paper」としてリンクされている先はカーディフ大学のField Guideで、ルンド大学の論文はPalmertzらの方であり、序論でも両文献のリンク先が入れ替わっている。第三に、RT、Sputnik、CGTNを国家との関係を「隠している」例として挙げている点である。RTを運営する非営利法人TV-Novostiの国家資金は連邦予算上公開されており、CGTNも中国共産党中央宣伝部の指導下にある中央広播電視総台の傘下にあることが公式に示されてきた。本文書自身の定義に照らせば少なくとも資金・統制関係は公然に分類されるのが自然で、秘匿が別ブランドや個別資産の水準を指すのであれば区別を明示する必要がある。
手法面で欠けているのは証拠の閾値と確信度である。NATO戦略的コミュニケーション中核拠点がウクライナ戦略コミュニケーション・センターと共同で2026年に公表したロシアの影響工作に関する帰属検証報告が、デジタルサービス法や制裁の下で法的審査に耐える証拠閾値と確信度水準を主題にしているのに対し、TAMMは指標の列挙にとどまり、どの指標の組み合わせでどのラベルを付与してよいかの基準を持たない。Wiki型の共有基盤で信頼性を左右する登録内容の検証、編集権限、異議申立ての手続きにも触れていない。重複を減らすという目的の裏面として、誤った帰属が共有基盤を通じて複製されるリスクの管理こそが、協議で最も問われるべき点になる。それでも、関係ラベル、7層構造、命名規則を一つのデータモデルとして束ねた提案は、具体的に批判し改訂できる叩き台として機能する水準に達している。
コメント