サイバー犯罪による被害は拡大の一途をたどっている。FBIが公表した「FBI Internet Crime Report 2025」によれば、通報件数は同局の歴史上初めて100万件を突破し、被害額は208億7000万ドル（約3兆円）に達した。
一方で、これほど巨額の被害が発生しているにもかかわらず、実際に身柄を拘束され、裁かれる犯罪者はごくわずかだ。なぜ犯人は捕まらないのか。その背景には、単なる捜査能力の問題ではなく、国際情勢や犯罪ビジネスの変化を利用した「捕まらないための仕組み」が存在する。
本稿では、サイバー犯罪者が司法の網をすり抜ける3つの理由と、それに対して法執行機関がどのような戦略へ転換しているのかを整理する。
サイバー犯罪者は、攻撃手法だけを考えている訳ではない。「どうすれば捕まりにくいか」まで含めて攻撃を設計している。
サイバー防衛企業Silent PushのCEO、ケン・バグナル氏は、「誰を標的にし、どのように攻撃するかという判断の多くは、起訴が困難かどうかに基づいている」と指摘している。
同氏が「インフラ洗浄」（Infrastructure Laundering）と呼ぶ手法では、攻撃に利用するサーバやサービスを、互いに十分な司法協力が期待できない複数の国へ分散配置する。例えば、ロシア系グループが欧米企業を標的にする場合、国家間の管轄権の壁を利用することで捜査を困難にしている。
さらに、米国はロシアや中国を含む多くの国と犯罪人引き渡し条約を締結していない。仮に法執行機関が捜査を開始しても、国際的な手続きが進む頃にはデジタル証拠が消えてしまうケースも少なくない。国によってはデータ保持義務が十分ではなく、証拠そのものが失われることもある。
つまり攻撃者は、「侵入経路」だけでなく、「捜査経路」まで遮断するように行動しているのである。
犯人の特定が難しい理由は、犯罪組織の構造にもある。MaaS（Malware-as-a-Service：サービスとしてのマルウェア）の普及によって、高度な技術を持たない人物でも、既存の攻撃ツールを利用してランサムウェア攻撃を実行できるようになった。
さらに、多くのランサムウェア組織では、マルウェアを開発するグループと、実際に攻撃を実行するアフィリエイト（実行犯）が分業している。
そのため、法執行機関がある犯罪組織を摘発しても、実行犯は別の組織へ移籍したり、新たなグループを立ち上げたりして活動を再開する。
セキュリティベンダーBreachsenseが2026年2月に公開した調査結果によると、2025年に被害を主張したランサムウェアグループは138に達し、2024年の98から大幅に増加した。
つまり、1つの組織を解体しても、市場そのものが残る限り、新たな組織が次々と誕生する構造になっている。