　そんな中、米議会下院で「アクティブ・サイバー・ディフェンス確実化」（Active Cyber Defense Certainty：ACDC）法案が2017年に提出され、議論を呼んだ。本法案は「第三者のコンピュータへのアクセスを取りしまるコンピュータ詐欺・不正使用取締法」（CFAA）の改正案で、「FBIとの連携のもと実行される積極的なサイバー防御策」を違反ではないとする内容だ。本法案の可決によって、これまでFBIなどの特定組織のみに許されていたサイバー防御策の権限が、民間にも移行することになった。

　日本でハックバックは「不正アクセス禁止法」で規制されている。一方で、脆弱（ぜいじゃく）なIoT（モノのインターネット）機器をあぶりだすため、不正アクセスを伴った調査や改善通知業務が、国によって2019年に実行認可されている。

ハックバックの具体例と問題点

　サイバー攻撃に対する対応・対策は「パッシブディフェンス」「アクティブディフェンス」（グレーゾーン）、「攻撃的サイバー」に区分される。セキュリティ対策として一般的なファイアウォールやアンチウイルスはパッシブディフェンスだが、入手した個人情報や機密情報を共有することや、「ホワイトハットランサムウェア」はアクティブディフェンス（グレーゾーン）に分類される。

　ハックバックは加害者への被害を直接的にもたらすものだ。具体例としては、2012年のグルジア（現ジョージア）政府の事例が挙げられる。ロシアからサイバー攻撃を受けたとして、政府が関与が疑われる男のコンピュータにマルウェアを仕込み、Webカメラによって犯人の顔写真などを収集して公表した。

　ハックバックを合法化する問題点として、「第三者が巻き込まれる可能性」や「被害のでっちあげによる犯罪の正当化」「反撃による攻撃の激化と被害の拡大」などの可能性が指摘されている。特に一点目に関しては、攻撃者はマルウェアを感染させた複数の機器を踏み台とするケースが多く、同じく被害者であるはずの媒介者が加害者と見なされる可能性がある。