なか2656のblog

とある会社の社員が、法律などをできるだけわかりやすく書いたブログです

タグ:不正指令電磁的記録作成罪

computer_sagi_virus

1.はじめに

5月28日の読売新聞の報道(「生成AI悪用しウイルス作成、警視庁が25歳の男を容疑で逮捕…設計情報を回答させたか」)などによると、生成AIを悪用してランサムウェア(身代金ウイルス)のコンピューターウイルスを作成したとして、警視庁は27日、川崎市、無職の男(25)を不正指令電磁的記録作成罪(ウイルス作成罪)容疑で逮捕したというニュースが非常に話題となっています。しかしこれが不正指令電磁的記録作成罪が成立するといえるのでしょうか?

記事によると、男性は「複数の対話型生成AIに指示を出してウイルスのソースコード(設計情報)を回答させ、組み合わせて作成した」とのことです。また、「攻撃対象のデータを暗号化したり暗号資産を要求したりする機能が組み込まれていた」とのことです。

ところで読売新聞の別の記事等によると、逮捕された男性は元工場作業員でIT会社への勤務歴やIT技術を学んだ経歴はなく、これまでの捜査では協力者の存在も浮上していないとのことです。いくら生成AIをうまく利用したとしても、IT技術の素人(失礼)が作成したものが刑法が定める不正指令電磁的記録作成罪が成立するといえるのでしょうか?

2.不正指令電磁的記録作成罪の客体に該当するか

刑法
(不正指令電磁的記録作成等)
第百六十八条の二 正当な理由がないのに、人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。
  人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録
  前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録
 正当な理由がないのに、前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。
 前項の罪の未遂は、罰する。
不正指令電磁的記録作成罪の客体は、刑法の専門書である鎮目往樹・西貝吉晃・北條孝佳『情報刑法Ⅰ』160頁によれば、「電磁的記録」つまり「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録」(刑法168条の2第1項1号)と、「前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録」(同条同項2号)の2つです。

ここで電磁的記録とは、刑法7条の2で「電子的方式、磁気的方式その他人の知覚によっては認識することができない方式で作られる記録であって、電子計算機による情報処理の用に供されるものをいう」と定義されていることから、コンピュータによる情報処理の用に供されるものであり、つまり客体の要件として、そのままの状態でコンピュータ上で実行動作可能であること、要するに、通常はソースコードをコンパイルした実行ファイル(バイナリコード)であることが必要であるとされています(「指令を与える記録」(1号))。一方、コンパイルすればそのままウイルスとして実行可能なソースコードは「指令を記述した記録」(2号)に該当するとされています。(またソースコードを印刷したもの等も2号の「指令を記述した記録」に該当します。)(鎮目・西貝・北條・前掲162頁)

つまり、刑法の専門書によると、不正指令電磁的記録作成罪の構成要件としての「指令を与える記録」(1号)および「指令を記述した記録」(2号)は、「そのままの状態でコンピュータ上で実行動作可能」な実行ファイルであるか、または「コンパイルすればそのままウイルスとして実行可能なソースコード」(またはそれを印刷等したもの)である必要があります。

新聞などの報道によると、男性は目的を伏して複数の生成AIに質問をしてソースコードを作成したとのことですが、IT技術のない男性が、そのような「つぎはぎ」の状態で「コンパイルすればそのままウイルスとして実行可能なソースコード」等を作成することができたのでしょうか。

新聞報道からは詳しいことはよくわかりませんが、もしそうでないとしたら、客体の観点から不正指令電磁的記録作成罪の構成要件には該当しておらず、犯罪は不成立ということになりそうです。

3.まとめ・専門家のコメント

このように見てみると、本事件は詳しいことはまだわかりませんが、逮捕された男性はランサムウェア的なウイルスのようなものを作成したことは確かだとしても、それが刑法の定める不正指令電磁的記録作成罪が成立するかは慎重な検討が必要なのではないかと思われます。

なお、本事件を取り上げた朝日新聞記事のネット版(「「AIなら何でもできる」「楽して稼ごうと」 ウイルス作成容疑の男」)には、鳥海不二夫・東大教授(計算社会科学)の「(本事件の警察やマスメディアは、)「生成AIとウイルス」というキャッチーな内容に飛びついているだけの可能性が否定できません。少なくとも、知識のない人が「悪用対策が不十分な生成AI」にアクセスして簡単にウイルスを作って広められる時代になった、ということを意味するのかどうかは、続報を慎重に見極める必要があるニュースではないでしょうか。」とのコメントが付されておりますが、まさにそのとおりだと思われます。

また同様に須藤龍也・朝日新聞記者(情報セキュリティ)の「サイバーセキュリティ分野の専門記者として私が懸念しているのは、「不正指令電磁的記録に関する罪」の乱用です。今回の事件報道、「生成AI」というキーワードで先行している印象が否めません。」とのコメントが付されていますが、これは非常に正論であると思われます。

2019年に発生・発覚したCoinhive事件(コインハイブ事件)においては不正指令電磁的記録の罪により神奈川県警等が容疑者を逮捕しましたが、2022年には最高裁は同事件について無罪判決を出しました(最高裁令和4年1月20日判決)。警察・検察当局はCoinhive事件の反省に立ち、不正指令電磁的記録の罪の濫用を厳に慎まねばならないはずです。

このブログ記事が面白かったらシェアやブックマークをお願いします!

■参考文献
・鎮目往樹・西貝吉晃・北條孝佳『情報刑法Ⅰ』160頁、162頁
・いわゆるコンピュータ・ウイルスに関する罪について|法務省

■関連するブログ記事
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件

人気ブログランキング

PR
このエントリーをはてなブックマークに追加 mixiチェック

log4j

このブログ記事の概要
「Log4jの脆弱性などの情報をSNSやウェブサイトなどでやり取りしたり情報共有したりすることはウイルス作成罪に該当するおそれがある」との日本ハッカー協会などの見解は、ウイルス作成罪に関する法務省の立案担当者の「いわゆるコンピュータ・ウイルスに関する罪について」や刑法の教科書における、「人の電子計算機における実行の用に供する目的」、「正当な理由がなく」および「反意図性」・「不正性」に関するバグの問題などの解説から疑問の余地がある。

1.Log4jの脆弱性の情報をネット上でやり取りしたり共有するとウイルス作成罪に該当する?
Javaのログ出力ライブラリ「Apach Log4j」ゼロデイ脆弱性があることが発覚し、12月10日(金)ごろからTwitterなどネット上で大きな話題となり、システム関係の方々は対応に追われています。

ところで、このLog4jの脆弱性に関して、日本ハッカー協会(@JapanhackerA)は12月13日昼につぎのようなTwitter上のツイートを行いました。

日本ハッカー協会1
日本ハッカー協会2
(日本ハッカー協会のTwitterより)
https://twitter.com/JapanhackerA/status/1470229222681878530

また、これを受けてITmedia NEWSも12月13日夜に「「Log4j」の脆弱性を突く攻撃手段の情報共有は違法?日本ハッカー協会に聞いた」との記事を掲載しました。
・「Log4j」の脆弱性を突く攻撃手段の情報共有は違法?日本ハッカー協会に聞いた|ITmedia NEWS

このITmedia NEWSの記事を読むと、取材に対して、日本ハッカー協会の杉浦隆幸理事は、『「log4jの脆弱性をつく攻撃を実際に実行して、成功してしまうと不正アクセス禁止法に該当する」と前置きした上で「そのコードを共有する行為は不正指令電磁的記録に関する罪に問われる可能性は十分にある。」「そもそも警察が検挙するのかは分からない」(同)としつつも、現状の法整備では共有などの行為でも法に触れるリスクがあるという。』』と回答したとのことです。

また、取材に対して日本ハッカー協会の杉浦理事は、『「画像が直接不正指令を与えるわけではないため、文字を画像に変えたものは問題ない。情報を共有するには一工夫を加えるなど、うまくやる必要がある」』と回答したとのことです。

たしかにウイルス作成罪(不正指令電磁的記録作成罪・刑法168条の2、168条の3)に関しては、現在、最高裁でCoinhive事件が係争中であり、とくにその構成要件の「不正性」(=社会的許容性)にcoinhiveが抵触するのか否かが争点となり、12月9日には最高裁で弁論が行われ、最高検の検察側の主張がITリテラシーに欠けるなどと大きな批判がネット上に寄せられ、社会的注目が集まっているところです。しかし、日本ハッカー協会の主張は妥当といえるのでしょうか?

2.ウイルス作成罪(不正指令電磁的記録作成罪)から考える
刑法のウイルス作成罪(不正指令電磁的記録作成罪)の条文はつぎのようになっています。

(不正指令電磁的記録作成等)
第168条の2 正当な理由がないのに人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。
 人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録
 前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録
 正当な理由がないのに、前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。
 前項の罪の未遂は、罰する。

(不正指令電磁的記録取得等)
第168条の3 正当な理由がないのに、前条第一項の目的で、同項各号に掲げる電磁的記録その他の記録を取得し、又は保管した者は、二年以下の懲役又は三十万円以下の罰金に処する。

つまり、ごくおおまかにいうと、不正指令電磁的記録作成罪とは、「正当な理由」がないのに、「人(=他人)の電子計算機(=コンピュータやスマホなど)における実行の用に供する目的」で、「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせる(=「反意図性」)べき不正(=「不正性」)な指令を与える電磁的記録(=いわゆるコンピュータ・ウイルス)」を、他人の電子計算機(=コンピュータ、スマホなど)に実行させるために「作成」または「提供」「取得」または「保管」することを処罰する罪です(刑法168条の2,168条の3)。

3.「人の電子計算機における実行の用に供する目的」
不正指令電磁的記録作成罪は、2001年(平成13年)にサイバー犯罪条約が制定され日本が批准したことを受けて、2011年(平成23)年6月に国会で「情報処理の高度化等に対処するための刑法等の一部を改正する法律」が制定されたことを受けて刑法に新設された罪です。この法改正においては、参議院法務委員会で「犯罪の構成要件などを国民に周知すること」が付帯決議され、法務省の立案担当者「いわゆるコンピュータ・ウイルスに関する罪について」との文書を作成し、法務省サイトで公表されています。
・いわゆるコンピュータ・ウイルスに関する罪について|法務省

不正指令電磁的記録作成罪は、上で条文をみたとおり、「人(=他人)の電子計算機における実行の用に供する目的」がある必要があります。つまり、本罪は単にウイルスのプログラムを作成等するだけでなく、「他人の電子計算機における実行の用に供する目的」がないと犯罪が成立しないいわゆる「目的犯」です。

この点、この法務省「いわゆるコンピュータ・ウイルスに関する罪について」は、「人の電子計算機における実行の用に供する目的」についてつぎのように解説しています。

すなわち、他人のコンピュータ上でプログラムを動作させる行為一般を指すものではなく,不正指令電磁的記録であることの情を知らない第三者のコンピュータで実行され得る状態に置くことをいうものである。このように 「実行の用に供する」に当たるためには,対象となる,不正指令電磁的記録が動作することとなる電子計算機の使用者において,それが不正指令電磁的記録であることを認識していないことが必要である。

不正指令電磁的記録提供罪は,後記のとおり,それが不正指令電磁的記録等であることを認識している者に取得させる行為であるが,この場合も,提供の相手方以外の第三者(使用者)が不正指令電磁的記録であることを認識していないのにこれを当該第三者の電子計算機で実行され得る状態に置く目的があることを要する。

法務省文書1
法務省文書2
(法務省「いわゆるコンピュータ・ウイルスに関する罪について」6頁、7頁より)

つまり、ウイルス作成罪は、「人の電子計算機における実行の用に供する目的」を要する目的犯であるため、他人・第三者のパソコンやスマホのユーザーが、ウイルスがウイルスであると知らないこと、認識していないことが必要です。

この点、日本のエンジニア等の方々が、Log4jのソースコードやプログラムなどにおける脆弱性の部分などの情報をTwitterなどのSNSやウェブサイト、ブログなど、ネット上でやり取りしたり情報共有することは、Log4jの脆弱性の対策、セキュリティ対策をする目的であると思われ、「人の電子計算機における実行の用に供する目的」が欠けるので、ウイルス作成罪の犯罪は成立しないのではないでしょうか。

(もちろん逆に、ウイルスであると知らない他人・第三者のパソコン・スマホなどでウイルスを動作させる目的で、Log4jのプログラム、ソースコードの脆弱性の部分をSNSやウェブサイトなどでやり取りしたり情報共有したりした場合には、「人の電子計算機における実行の用に供する目的」があるとして、本罪が成立する可能性があります。)

4.「正当な理由がないのに」
つぎに、上で条文を確認したとおり、ウイルス作成罪は、「正当な理由がない」ことが犯罪成立に必要となります。つまり、ウイルス作成罪の「反意図性」「不正性」などの構成要件が満たされたとしても、「正当な理由」があった場合には、違法性がないことになり(違法性阻却)、本罪は成立しません。

この点、法務省「いわゆるコンピュータ・ウイルスに関する罪について」8頁は、つぎにように開設しています。
「正当な理由がないのに」とは「違法に」という意味である。ウイルス対策ソフトの開発・試験等を行う場合には,自己のコンピュータで,あるいは,他人の承諾を得てそのコンピュータで作動させるものとして,コンピュータ・ウイルスを作成・提供することがあり得るところ,このような場合には 「人の電子計算機における実行の,用に供する目的」が欠けることになるが,さらに,このような場合に不正指令電磁的記録作成・提供罪が成立しないことを一層明確にする趣旨で 「正当な理由がないのに」との要件が規定されたものである。

つまり、セキュリティ会社などがウイルス対策ソフトなどを研究開発したり作成・試験することは違法性が欠けるので、ウイルス作成罪に該当しないことを明確化するために、この「正当な理由がないのに」の文言が条文に置かれたと法務省の本文書は解説しています。

そして法務省の本文書はつぎのように解説を続けています。

このほか,コンピュータ・ウイルスを発見した人が,ウイルスの研究機関やウイルス対策ソフトの製作会社に対しウイルスの研究ウイルス対策ソフトの更新に役立ててもらう目的で,ウイルスであることを明らかにした上で,そのウイルスを提供し,ウイルスの研究機関やウイルス対策ソフトの製作会社が,そのような目的で用いるためにこれを取得する場合なども 「人の電子計算機における実行の用に供する」目的による提供や取得とはいえないので,不正指令電磁的記録提供罪や同取得罪は成立しないが,それぞれ「正当な理由がある」場合にも該当するといえる(なお,この例の場合には 「人の電子計算機における実行の用に供する」行為に当たらないから,不正指令電磁的記録供用罪も成立しない 。)

法務省文書3
法務省文書4
(法務省「いわゆるコンピュータ・ウイルスに関する罪について」8頁より)

すなわち、法務省「いわゆるコンピュータ・ウイルスに関する罪について」8頁は、ウイルスを発見した人が、研究機関やセキュリティ会社などに、ウイルスの研究や対策に役立ててもらう目的、つまりセキュリティ対策の目的で、当該ウイルスを研究機関やセキュリティ会社などに提供などすることや、ウイルス対策の目的で研究機関やセキュリティ会社などが当該ウイルスをセキュリティ対策の目的で当該ウイルスを取得する場合などは、「正当な理由がある」ので、違法性が欠けて、ウイルス作成罪や提供罪、収集罪、保管罪などは成立しないと明記しています。

したがって、今回発覚したLog4jの脆弱性について、その脆弱性をつくウイルス・マルウェアや攻撃の方法や結果などを発見し、Log4jの脆弱性への対策や、Log4jの脆弱性をつくウイルスや攻撃などへの対策を議論し研究・開発等するなどの各種のセキュリティ対策を行うために、Log4jの脆弱性への対策や脆弱性をつくウイルスや攻撃などの情報をSNSやウェブサイトなどでやり取りしたり情報共有などすることは、まさに法務省のウイルス作成罪の立案担当者の本文書の「「正当な理由がある」場合に該当する」に当たるといえるので、違法性が欠けて、ウイルス作成罪、提供罪、取得罪、保管罪などは犯罪不成立となるのではないでしょうか。

5.「バグ」の問題-「反意図性」と「不正性」
上で条文を確認したとおり、ウイルス作成罪は、パソコンやスマホなどのユーザーの「意図に反する」(反意図性)、かつ、「不正」(不正性)な動作をさせるプログラムを作成・提供・収集・保管した場合に成立する犯罪です。

つまりウイルス作成罪の「ウイルス」とは、パソコン・スマホなどのユーザーの「意図」に反し、かつ「不正」な動作をさせるものとされています。そしてこの「不正」とは、「社会的許容性がないこと」とされています(西田典之・橋爪隆補訂『刑法各論 第7版』413頁)。

この点、この「不正性」(=社会的許容性)とプログラムのバグとの関係について、法務省の本文書はつぎのように解説しています。

いわゆるバグについては,プログラミングの過程で作成者も知らないうちに発生するプログラムの誤りないし不具合をいうものであり,重大なものも含め,コンピュータの使用者にはバグは不可避的なものとして許容されていると考えられることから,その限りにおいては,「意図に沿うべき動作をさせず、又はその意図に反する動作をさせる」との要件も 「不正な」との要件も欠くこととなり,不正指令電磁的,記録には当たらないこととなる。

他方,プログラムの不具合が引き起こす結果が,一般に使用者がおよそ許容できないものであって,ソフトウエアの性質や説明などに照らし,全く予期し得ないものであるような場合において,実際にはほとんど考えられないものの,例えば,プログラムにそのような問題があるとの指摘を受け,その不具合を十分認識していた者が,この際それを奇貨として,このプログラムをウイルスとして用いて他人に害を与えようとの考えの下に,あえて事情を知らない使用者をだましてダウンロードさせたようなときは,こうしたものまでバグと呼ぶのはもはや適当ではないと思われ,不正指令電磁的記録供用罪が成立し得ることとなる。

もっとも,不正指令電磁的記録に関する罪が成立し得るのは,そのプログラムが不正指令電磁的記録であることを認識した時点以降に行った行為に限られ,それより前の時点で行った行為についてはこれらの罪は成立しない。

つまり、法務省の本文書は、プログラムのバグは、「コンピュータの使用者(=ユーザー)にはバグは不可避的なものとして許容されていると考えられることから」「反意図性」もなく、社会的許容性があり「不正性」もないので、原則として、「重大なものも含め」ウイルス作成罪等は成立しないとしています。

ただし、あるプログラムのバグが一般にユーザーがおよそ許容できない重大なもので、プログラムの性質などから全く予期できないものであるような場合であって、そのようなプログラムのバグを奇禍として、その重大なバグのあるプログラムを、他人・第三者のユーザーに害を与える目的で、当該ユーザーをだまして当該重大なバグのあるプログラムをダウンロードさせるなどの行為はウイルス作成罪に該当し得るとしています。

しかし法務省の本文書は、その場合であっても、ウイルス作成罪が成立するためには、その犯人・行為者は、当該プログラムがウイルスに相当するプログラムであることを認識した後であることが必要であり、それ以前にダウンロードや提供などをした場合には犯罪は成立しないとしています(目的犯)。

したがって法務省の立案担当者は、一般論としてウイルス作成罪との関係では、重大なものも含めプログラムのバグは、原則として、「反意図性」と「不正性」がないため、ウイルス作成罪の「ウイルス」(不正指令電磁的記録)に該当しないとしています。

また、今回のLog4jの脆弱性・バグは、「一般にユーザーがおよそ許容できない重大なもので、プログラムの性質などから全く予期できないものであるような場合」という例外的な場合に該当するとも考えられますが、しかし仮にそうであっても、Log4jの脆弱性・バグについてウイルス作成罪が成立するためには、行為者・犯人には、「他人・第三者のユーザーに害を与える目的」で、Log4jの脆弱性・バグがウイルスに相当するものであることを認識した後に、提供・保管などを行う必要があります。

したがって、「反意図性」と「不正性」、バグの問題との関係においても、エンジニアや研究者などの方々が、Log4jの脆弱性への対策や、Log4jの脆弱性をつくウイルスや攻撃などへの対策を議論し研究・開発等するなどの各種のセキュリティ対策を行う目的で、Log4jの脆弱性への対策や脆弱性をつくウイルスや攻撃などの情報をSNSやウェブサイトなどでやり取りしたり情報共有などすることは、法務省の本文書が説明するように、他人に害を与える目的があるという例外的な場合を除いて、原則としてウイルス作成罪、提供罪、取得罪、保管罪などは犯罪不成立となるのではないでしょうか。

6.保護法益
法務省の「いわゆるコンピュータ・ウイルスに関する罪について」は、ウイルス作成罪の保護法益(罪の趣旨・目的)を、『本罪は,電子計算機のプログラムが 「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず,又はその意図に反する動作をさせるべき不正な指令」を与えるものではないという,電子計算機のプログラムに対する社会一般の者の信頼を保護法益とする罪であり文書偽造の罪(刑法第17章)などと同様、社会的法益に対する罪である』と解説しています。

この点、刑法の教科書は、「現代社会においては、世界的な規模でコンピュータネットワークが政治、経済、社会活動の重要なインフラとなっていることを考慮すると、コンピュータプログラムが健全に機能していることに対する社会一般の信頼を保護法益とする」と解説しています(西田・橋爪・前掲412頁)。

このウイルス作成罪の、「コンピュータのプログラムは反意図性や不正性のあるものではないという、コンピュータプログラムへの社会一般の信頼」や、「政治・経済・社会の重要インフラのコンピュータネットワーク等のコンピュータプログラムが健全に機能していることに対する社会一般の信頼」などの社会的法益がウイルス作成罪の保護法益であることを考えると、「「政治・経済・社会の重要インフラのコンピュータネットワーク等のコンピュータプログラムが健全に機能」するために、多くのエンジニアの方々などがLog4jの脆弱性の対策のためにネット上や職場などで日夜連日、活躍・奮闘なさっていることに対して、さすがのcoinhive事件の神奈川県警サイバー犯罪対策本部などでも、ウイルス作成罪などで検挙などすることはあまり考えにくいのではないでしょうか。

7.ウイルスの「画像」
なお、ITmedia NEWSの記事によると、日本ハッカー協会は、画像が直接不正指令を与えるわけではないため、文字を画像に変えたものは問題ない。情報を共有するには一工夫を加えるなど、うまくやる必要がある』と取材に回答しているとのことです。

しかし、法務省の「いわゆるコンピュータ・ウイルスに関する罪について」5頁、6頁や刑法の教科書は、本罪の刑法168条の2第1項2号の「不正な指令を記述した電磁的記録その他の記録とは、「内容としてはコンピュータウイルスとして実質的に完成しているが、そのままではいまだコンピュータにおいて動作させる状態にないもの、たとえば、不正なプログラムのソースコードを記録した電磁的記録や、そのソースコードを紙媒体に印刷したものなどがこれにあたる」(西田・橋爪・前掲413頁)としています。
法務省文書7
(法務省「いわゆるコンピュータ・ウイルスに関する罪について」5頁、6頁より)

つまり、法務省の本文書などは、ウイルスのソースコード等を紙にプリントアウトしたもの等も、本罪の刑法168条の2第1項2号の「不正な指令を記述した電磁的記録その他の記録」に該当する可能性があるとしています。

ウイルスのソースコード等を紙にプリントしたものなどでも「不正な指令を記述した電磁的記録その他の記録」に該当する可能性があるのですから、ウイルスのソースコードやプログラム等を仮にPCやスマホ画面のスクリーンショットやハードコピーにより「画像」にしたとしても、その画像が「内容としてはコンピュータウイルスとして実質的に完成しているが、そのままではいまだコンピュータにおいて動作させる状態にないもの」、つまり「不正な指令を記述した電磁的記録その他の記録」に該当すると判断される余地もあるように思われるので、ウイルスのソースコード等を画像にしたからウイルス作成罪との関係で安全であるとは必ずしもいえないのではないでしょうか。この点には疑問が残ります。

8.まとめ
このように、ウイルス作成罪・不正指令電磁的記録作成罪について、法務省の立案担当者の「いわゆるコンピュータ・ウイルスに関する罪について」を基に、「人の電子計算機における実行の用に供する目的」、「正当な理由がなく」および「反意図性」・「不正性」つまりバグの問題、保護法益の問題などの各論点を検討してみましたが、少なくとも法務省の立案担当者の考え方によれば、今回のLog4jの脆弱性やそれをつくウイルスや攻撃などの情報をセキュリティ対策目的でSNSやウェブサイトなどでやり取りしたり情報共有したりすることは、原則としてウイルス作成罪は成立しないのではないでしょうか。(日本ハッカー協会のご見解は、同協会の「弁護士費用助成サービス」を宣伝する意図もあるのではないでしょうか。)

とはいえ、このウイルス作成罪はとくに「不正性」の部分があいまい・漠然としており、Coinhive事件では、coinhiveが社会的に妥当なプログラムなのか否か、意見が分かれていた2018年当時に、神奈川県警と神奈川県の検察は、自らのウェブサイトにcoinhiveを設置していただけのモロ氏を立件・起訴してしまい、現在、coinhive事件は最高裁で係争中です。また、ITmedia NEWSも指摘するとおり、2017年のWizard Bible事件も、警察が不正アクセス禁止法とウイルス作成罪の容疑で逮捕・略式起訴を行ってしまっており、警察・検察当局によるウイルス作成罪の解釈や運用は以上にグレーな部分が大きいといえます。

そもそも犯罪と刑罰については、国家が犯人・被告人に刑罰という不利益な処分を科すものですから、「刑法の謙抑性」「疑わしきは被告人の利益に」との大原則があり、また罪刑法定主義とともに、刑法などの法律の条文には「通常の判断能力を有する一般人の理解」で法律の条文が理解できる必要があるという「規定の明確性」が要求されます(憲法31条、最高裁昭和50年9月10日判決・徳島市公安条例事件)。そのため、ウイルス作成罪の「不正性」の部分の構成要件が非常にあいまい・漠然としており、警察・検察当局が恣意的ともいえるグレーな運用を行っていることは、憲法31条との関係で違法・違憲の可能性があります。

そのため、coinhive事件においては、事件が係属している最高裁第一小法廷はぜひまともな判断を示していただきたいと思っています。裁判長は刑法学の重鎮の東大名誉教授の山口厚先生でありますし。

また、先日、本記事について、ITmedia NEWSにLog4jの脆弱性の件は不正指令電磁的記録作成罪の「正当な理由」がある等として同罪は成立しないと考える余地もあるのではないか、セキュリティや刑法の専門家に取材してほしいとの趣旨の意見を同社サイトの入力フォーマットからお伝えしてみたところ、ITmedia NEWS編集部より、「本記事は大きな反響をいただいており、さらにセキュリティの専門家や弁護士などに取材することを検討中」との返信をいただきました。

ITmedia NEWS編集部におかれては、セキュリティや情報法の専門家の産業技術総合研究所主任研究員の高木浩光先生や、刑法・刑事訴訟法のサイバー犯罪に詳しい成城大学の指宿信教授や筑波大学の渡邊卓也准教授などの学者・研究者や、法務省、警察庁・警視庁、検察庁などのサイバー犯罪の担当部署などに取材をして、ぜひ続報を報道していただきたいと思います。

このブログ記事が面白かったら、ブックマークやいいね、シェアをお願いします!

■関連する記事
・西田典之・橋爪隆補訂『刑法各論 第7版』412頁、413頁
・高木浩光「コインハイブ不正指令事件の控訴審逆転判決で残された論点」『Law&Technology』91号46頁
・いわゆるコンピュータ・ウイルスに関する罪について|法務省
・懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」|高木浩光@自宅の日記
・「Log4j」の脆弱性を突く攻撃手段の情報共有は違法?日本ハッカー協会に聞いた|ITmedia NEWS

■関連する記事
・コインハイブ事件の最高裁の弁論の検察側の主張がひどいことを考えた(追記あり)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・コインハイブ事件について横浜地裁で無罪判決が出される

・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・練馬区が親子に家庭のSNSルールを作成させ学校に提出させるプリントにパスワードの記入欄があることを考えた(追記あり)-セキュリティ・プライバシー・不正アクセス
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える





























このエントリーをはてなブックマークに追加 mixiチェック

最高裁
1.コインハイブ事件
■追記
2022年1月22日に最高裁第一小法廷(山口厚裁判長)でこのコインハイブ事件について無罪判決が出されました。詳しくはこちらをご参照ください。
・【速報】コインハイブ事件の最高裁判決で無罪判決が出される

あるウェブデザイナーの方(モロ氏、以下「被告人」)が、自身のウェブサイトに仮想通貨採掘アプリ「coinhive」を設置していたことが、不正指令電磁的記録等罪(いわゆるウイルス罪・刑法168条の2以下)に問われたいわゆるコインハイブ事件において、2018年の横浜地裁平成30年3月27日判決は、不正指令電磁的記録等罪の構成要件における、「反意図性」の該当は認めたものの、「不正性」(社会的許容性)の該当は認められるとはいえないとして、被告人を無罪としました。

ところが、控訴審の東京高裁令和2年2月7日判決(栃木力裁判長)は、「反意図性」および「不正性」の両方が成立するとして、被告人を罰金10万円の有罪とし、ネット上では高裁判決に対して、多くの批判が沸き起こりました。

(関連)
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件

とくに、本高裁判決は、「不正性(社会的許容性)」について、『『本件プログラムコードは、(略)、その使用によって、プログラム使用者(閲覧者)に利益を生じさせない一方で、知らないうちに電子計算機の機能を提供させるものであり、一定の不利益を与える類型のプログラムといえる上、その生じる不利益に関する表示等もされないのであるから、(略)、プログラムに対する信頼保護という観点から社会的に許容すべき点は見当たらない。』という文章を何回もコピペで使いまわしてcoinhiveの不正性を強調しています。

この東京高裁に対して、被告人のモロ氏と弁護人の平野敬弁護士が最高裁に上告を行ったところ、最高裁は弁論を行うことを決定し、本日(2021年12月9日)、その弁論が最高裁で行われました。

2.最高裁での弁論
本日の最高裁の弁論について、弁護士ドットコムニュースはつぎのように報道しています。
・コインハイブ事件で最高裁弁論、弁護側改めて無罪主張 判決期日は追って指定|弁護士ドットコムニュース

弁護側は憲法上、刑法上、刑事訴訟法上の問題があると指摘。1審と2審で判断が分かれた不正性について「コインハイブが社会的に許容されていなかったと断じることはできない」などと述べ、無罪を主張した。

検察側は「クリプトジャッキングに相当する行為で、国際的にもサイバー犯罪として取り締まられている。今回の行為の違法性を否定するならCPU等の無断使用を解禁することになり、日本を世界中からの草刈り場に置くことと等しい」などと上告棄却を求め、結審した。

また、弁護士ドットコムニュースによると、弁論後の記者会見で、平野敬弁護士とモロ氏はつぎのように述べたとのことです。

モロ氏
「これがもし有罪となってしまった場合、クリエイターの方々がやりにくい世の中になってしまうと思うので、無罪という形で正しい判決がいただけることを願っています」

平野敬弁護士
「クリプトジャッキングと言うのは他人のウェブサイトを不正に改ざんして、仮想通貨採掘ツールを埋め込む行為をいう。今回のケースのように、自分のウェブサイトにJavaScriptを設置して、仮想通貨を採掘する行為とはまるで違うものだ。たしかに、世界ではクリプトジャッキングが問題になっていて、刑事的な訴追対象になっているのは事実だが、それと今回のケースを意図的に混同しようとする検察官の主張は悪質で、誤導的な説明だったと思う

つまり、平野弁護士は、「他人のウェブサイトを不正に改ざんして、仮想通貨採掘ツールを埋め込む行為(クリプトジャッキング)と、自らのサイトにツールを設置した本件はまったく異なるのに、両者を混同させる主張をしている検察側の主張は悪質」と述べておられますが、このご見解は非常に正当であると思います。

3.サラミ法?一厘事件ではないのか?
また、本日の最高裁の弁論を傍聴した、寿司アイコン様(@mecab)のツイートによると、弁論はおおむねつぎのような感じだったようです。
mecab様のツイート
(寿司アイコン様(@mecab)のTwitterより)
https://twitter.com/mecab/status/1468823606742634496

このツイートによると、検察側はおおむねつぎのように主張したそうです。
「他人のコンピュータリソース無断でつかうのは不正なことは常識である。影響は軽微だというが、「サラミ法」を知らないのか。」
この点、「サラミ法」とは「犯罪や不正行為の手口の一つで、一回あたりの数量や影響を発覚しにくい小さな値に抑え、数多くの対象や回数に分散して繰り返す手法」です(e-words.jpより)。

しかし、本事件において、モロ氏がcoinhiveを設置したサイトは自らの一つのウェブサイトであり、しかもcoinhiveで得られた収益は数百円程度で、しまもcoinhiveの仕様で1000円未満は支払対象外だったため、モロ氏が実際に受け取った収益は0円です。

このような事実を、「一回あたりの数量や影響を発覚しにくい小さな値に抑え、数多くの対象や回数に分散して繰り返す手法」の「サラミ法」として弁論で主張を行った検察側は、事実を不当に大きく表現し、今回のcoinhive事件があたかも日本のIT業界やデジタル業界を揺るがすような凶悪な重大事件であると裁判官に訴えようとしているように思われますが、このような誇大妄想的な主張は、法曹三者の法律家の一人である検察官の主張としてどうなのでしょうか。

モロ氏が得たcoinhiveの収益が実際には0円であり、設置したサイトも自身のサイト一つであったことを考えると、最高検の検察官達は、サラミ法でなく、明治時代の大審院の一厘事件(煙草一厘事件、大審院明治43年10月11日判決)の判決に思いを致すべきだったのではないでしょうか。

つまり、ある農家がタバコに関して非常に軽微な違法行為をしたところ、当時の最高裁にあたる大審院は、形式的には法律違反で刑罰の構成要件に該当するとしても、あまりにも軽微な違法行為は可罰的違法性が欠ける、すなわち違法性が阻却されるとして無罪の判決を出しています。

本件の最高検の検察官達も、被告人が自らのサイトで一人で設置したcoinhiveで得られた収益が実際には0円だったのですから、仰々しく「サラミ法」などを持ち出すのではなく、「一厘事件」の判例の可罰的違法性の問題を検討すべきだったのではないでしょうか。

4.刑法違反とならないためにパソコンやスマホのスタンドアローンでの利用が要求される?
また、検察側は本日の弁論で、「今回の行為の違法性を否定するならCPU等の無断使用を解禁することになり、日本を世界中からの草刈り場に置くことと等しい」と主張したそうです。

しかし、エンジニアなどの専門家ではない、我われ一般人のユーザーにとって、自分のパソコンのCPU等が、とくにネットに接続して使用している状態においては、ネットワークやISP、その先のサーバー等とさまざまな情報のやり取りをした上でネットを閲覧したりメールを授受したり、クラウドのサービスを利用しているわけであり、エンジニアなどの専門家ではない一般人のユーザーにとっては、自分のパソコンのCPC等がある程度は「無断使用」されている状況は当たり前なのではないでしょうか?

本事件の東京高裁判決の裁判官達も「ウェブサイト上のバナー広告は表示されているから不正性はない」と判示していますが、東京高裁の裁判官達や本件の最高検の検察官達は、パソコンのモニター画面の裏側のCPU等で、さまざまなプログラムやソースコードなどが稼働し、ネットやISPやさまざまなサーバーとやり取りをしている、そのそれらの多くのプログラムやソースコード、各種のサーバーなどの目的等を逐一把握し、それらをすべて同意や合意のもとに利用できているのでしょうか?

近年は、スマホやパソコンにおけるcookieやFlocなどを利用したネットの行動ターゲティング広告において、DMP業者などがユーザー・国民のネットの閲覧履歴や位置情報・移動履歴や購入履歴などを収集・分析・加工・販売している個人データの取扱が、個人情報保護法の観点から違法・不当なのではないかと、例えば2019年の就活生の内定辞退予測データの販売などに関するリクルートキャリアやトヨタなどの「リクナビ事件」において大きな社会的問題となりました。リクルートキャリアやトヨタなどは、同年に個人情報保護委員会や厚労省から、個人情報保護法違反、職業安定法違反であるとして行政指導を受けています。

ネット上の広告にはこのような個人の尊重やプライバシー、人格権などの基本的人権(憲法13条)に関する大きな問題があるのに、最高検の検事達や東京高裁の裁判官達は、「ネットの広告はユーザーに表示されているから合法で、coinhiveはユーザーに表示されていないから違法で犯罪」と主張するのでしょうか。しかしそれはあまりにも個人情報保護法などの国会の制定した法律や、一般国民の感覚とかけ離れているのではないでしょうか?

(参考)
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える

あるいは、最高検の検察官の主張のように、国民や企業などが不正指令電磁的記録作成罪などの刑法に違反しないためには「CPU等の無断使用を禁止すべき」などと言い出したら、それこそクラウドサービスや5Gどころか、1980年代、90年代のパソコン通信だけでなく、そもそも冷戦下に生み出されたインターネットへの接続すら放棄し、パソコンをスタンドアローン「鎖国」の状態で利用することが必要となるのではないでしょうか。

しかし、近年、クラウドや5Gの時代となり、「日本社会のデジタル化」が国策の一つとなりデジタル庁が設置され、ますますスマホやパソコンなどをネットに接続し、官民がデジタル社会における経済活動などを推進しようとしている世の中なのに、「CPU等の無断使用」を禁止せよと主張する最高検の検察官達や本事件の東京高裁の裁判官達の考え方は、さすがにあまりにも時代錯誤であり、ITリテラシーが無さすぎなのではないでしょうか。

かりにそれで検察官や裁判官の方々は刑法的に満足だとしても、それでは「刑法守ってデジタル敗戦」となってしまい、日本社会のITやデジタルが1970年代以前に逆戻りしてしまうのではないでしょうか。

5.まとめ
そもそも、検察官は裁判所に対して「法の正当な適用を請求」する職責を負っており(検察庁法4条)、「法と正義の実現を目指して公平・公正でならねばならない」という「検察官の客観義務」を負っており、かりに訴訟の経緯がそう要求する場合には、検察官は無罪を主張しなければならないとされています(田宮裕『刑事訴訟法 新版』24頁)。

この検察官の客観義務の観点からは、「とにかく神奈川県警が立件した以上は有罪としたい」という本件における検察官側の姿勢には大きな疑問を感じます。また繰り返しになりますが、裁判官や検察官や神奈川県警サイバー犯罪担当などのITリテラシーの低さを感じます。

(一般人の私が述べてもしかたのないことですが、「デジタル社会」が国策となる現在、さすがにそろそろ司法試験にも個人情報保護法やITパスポート的なものも試験科目に加えたり、あるいは検察官、警察官や裁判官の職場研修などに個人情報保護法やIT・情報セキュリティの初歩などを導入することを、最高裁や法務省、検察庁などは検討すべきなのではないでしょうか。)

同時に、本日の弁論後の記者会見でモロ氏が述べておられたように、「これがもし有罪となってしまった場合、クリエイターの方々がやりにくい世の中になってしまう」、つまりITやデジタル関係のエンジニアの方々や法人などが、自分達の研究開発しているプログラムやIT関係の先端技術が、いつ裁判所や検察官、警察などから不正指令電磁的記録作成罪などに抵触する違法なものであると判断されるか分からないという、IT技術、先端のテクノロジーの研究開発に予測可能性がなくなってしまうという大問題があります。これでは日本のITやデジタルに関する企業やエンジニア、学者・研究者の方々などは委縮して、自由に研究開発や学問研究、企業活動を行うことができなくなってしまいます。

そのため、本事件について、最高裁はぜひまともな判決を出してほしいと思います。本事件の最高裁第一小法廷の裁判長は、刑法学の重鎮の山口厚・東大名誉教授です。ぜひとも、山口厚先生のまともなご判断を期待したいところです。

(余談)
本日の平野敬弁護士(@stdaux)のツイートにつぎのようなものがあったのですが、一番下は冗談ではなく本当なのでしょうか。いくらサイコーな最高裁とはいえ、ちょっと演出過剰というか、エヴァのゼーレの会議や、サンダーバードの会議などを連想してしまいます・・・。

スドー先生ツイート
(平野敬弁護士のTwitterより)
https://twitter.com/stdaux/status/1468841211637399560

しかし、本日の最高裁の弁論の前の平野先生のツイートは、サイコーにカッコいいとしかいいようがありません。
スドー先生ツイート2

■追記(2021年12月10日)
12月9日の最高裁の弁論について、小野マトペ様(@ono_matope)がTwitter上で、詳細な傍聴メモを公開なさっています。
小野マトペ様ツイート
(小野マトペ様(@ono_matope)のTwitterより)
・https://twitter.com/ono_matope/status/1468858327094657028

この傍聴メモをみると、「第一審の横浜地裁の証人の高木浩光氏の、coinhiveが作動した際にもパソコンの快適性などは損なわれないとの主張は、高木氏がMacBook Pro を使用した再現実験を元にした主張であるので信用できない」などと最高検の検察側が主張しているのは、これも検察官のITリテラシーのなさを表しており、思わず笑ってしまいます。

ところで、モロ氏・平野弁護士側は、憲法31条は、法律の明確性を要求しているが、不正指令電磁的記録作成罪の「不正性」は専門家でも判断が困難であるなど明確性を欠き違法・違憲である」とも弁論で主張されていたとのことです。

憲法31条は「何人も、法律の定める手続によらなければ、その生命若しくは自由を奪はれ、又はその他の刑罰を科せられない。」と、いわゆる適正手続きの原則を定めています。

これは、警察や行政などの公権力を手続き的に拘束し、国民の人権を手続き的に保障するものですが、これは法律で定められた手続きが適正であることだけでなく、法律の実体の規定の内容自体も適正でなければならないことを要求していると判例・通説は解しています。この法律の実体の適正性には、罪刑法定主義や、法律の「規定の明確性」(犯罪の構成要件の明確性、表現の自由の規制立法の明確性など)が含まれていると解されています(芦部信喜・高橋和之補訂『憲法 第7版』252頁)。

この「規定の明確性」に関して裁判所は、「通常の判断能力を有する一般人の理解」で法律や条例の規定の内容が理解できることが必要であるとしています(徳島市公安条例事件・最高裁昭和50年9月10日判決)。

この点、本事件で争点になっている不正指令電磁的記録作成罪(刑法168条の2)のとくに「不正性(社会的許容性)」に関する構成要件は、まさに本事件が最高裁まで争われ、文献などをみても刑法学者などの専門家の間でも意見が分かれているなど、非常に難解であいまい・漠然としたものとなっており、「通常の判断能力を有する一般人の理解」で本罪の「不正性」を理解することは困難であり、本罪の構成要件は明確性を欠くので、憲法31条に照らして違法・違憲とのモロ氏・平野弁護士側の主張は正当であると思われます。(本事件の最高裁判決が出されたら、国会はその判決を踏まえて、不正指令電磁的記録作成罪の条文の見直しなどを実施すべきであると思われます。)

上でもみたとおり、コンピュータウイルス等に関するこの不正指令電磁的記録作成罪の構成要件が明確性を欠き、まさにモロ氏の本事件のように、警察・検察側の恣意的な判断や運用でITに関するエンジニアやIT企業が立件・逮捕などされてしまうことは、エンジニアの方やIT企業などの予測可能性を害し、ITに関する自由な研究開発や企業経営が委縮してしまうことになりかねません。憲法31条の観点からも、本事件について最高裁のまともな判断が望まれます。

このブログ記事が面白かったらブックマークやいいねをお願いします!

■参考文献
・西田典之・橋爪隆補訂『刑法各論 第7版』411頁
・田宮裕『刑事訴訟法 新版』24頁
・芦部信喜・高橋和之補訂『憲法 第7版』252頁
・高木浩光「コインハイブ不正指令事件の控訴審逆転判決で残された論点」『Law&Technology』91号46頁
・懸念されていた濫用がついに始まった刑法19章の2「不正指令電磁的記録に関する罪」|高木浩光@自宅の日記
・いわゆるコンピュータ・ウイルスに関する罪について|法務省
・コインハイブ事件で最高裁弁論、弁護側改めて無罪主張 判決期日は追って指定|弁護士ドットコムニュース
・寿司アイコン様(@mecab)のTwitterのツイート
・小野マトペ様(@ono_matope)のTwitterのツイート

■関連する記事
・コインハイブ事件高裁判決がいろいろとひどい件―東京高裁令和2・2・7 coinhive事件
・コインハイブ事件について横浜地裁で無罪判決が出される
・リクルートなどの就活生の内定辞退予測データの販売を個人情報保護法・職安法的に考える

・飲食店の予約システムサービス「オートリザーブ」について独禁法から考えた
・LINE Pay の約13万人の決済情報がGitHub上に公開されていたことを考えた
・練馬区が親子に家庭のSNSルールを作成させ学校に提出させるプリントにパスワードの記入欄があることを考えた(追記あり)-セキュリティ・プライバシー・不正アクセス
・xID社がプレスリリースで公表した新しいxIDサービスもマイナンバー法9条違反なことについて(追記あり)
・コロナ禍の就活のウェブ面接での「部屋着を見せて」などの要求や、SNSの「裏アカ」の調査などを労働法・個人情報保護法から考えた
・コロナ下のテレワーク等におけるPCなどを利用した従業員のモニタリング・監視を考えた(追記あり)-個人情報・プライバシー・労働法・GDPR・プロファイリング




























このエントリーをはてなブックマークに追加 mixiチェック

警察庁
(警察庁サイトより)

5月下旬にcoinhiveなど仮想通貨マイニングのプログラムについてブログ記事を書きましたが、つい最近の新聞各紙によると、とうとう警察当局が大々的に動き出したようです。

■関連するブログ記事
・サイト等にCoinhive等の仮想通貨マイニングのプログラムを設置するとウイルス作成罪(不正指令電磁的記録作成罪)が成立するのか?

6月14日にはつぎのような報道が新聞各紙で行われました。

・違法マイニングで16人摘発 10県警、仮想通貨獲得で不正アクセス|産経新聞

記事タイトルのとおり、全国の10県警が16人の容疑者を不正指令電磁的記録作成罪の疑いで摘発したとのことです。

この問題に関して、新聞の取材に対し、産業技術総合研究所の高木浩光主任研究員は「(HPが閲覧者の)CPUを使うのは表現(方法)の一部として日ごろ行われていることだから、『意図に反する動作をさせる』に該当しない」とコメントしておられます。

・仮想通貨マイニング初立件 「不正採掘」真っ向対立 警察「PC無断使用」/弁護側「合法」|毎日新聞

ところで、6月15日には、警察庁は仮想通貨マイニング(仮想通貨マイニングツール)についてつぎのような注意喚起をサイト上で発表しています。

・仮想通貨を採掘するツール(マイニングツール)に関する注意喚起|警察庁サイバー犯罪プロジェクト

この注意喚起においては、警察当局が仮想通貨マイニングについて、とくに「自身が運営するウェブサイトに設置する場合であっても、マイニングツールを設置していることを閲覧者に対して明示せずにマイニングツールを設置した場合、犯罪になる可能性があります。」と、「サイト閲覧者にマイニングツール設置を明示しているか否か」を犯罪の成立のポイントとして重視していることがうかがわれます。

したがって、今後も自身のウェブサイト等にcoinhiveなどの仮想通貨マイニングのプログラムを設置しようと考えている方は、当該ウェブサイトにはマイニングツールを設置していることを明示する必要があると思われます。

Q&A インターネットの法的論点と実務対応 第2版

基本刑法II 各論 第2版

このエントリーをはてなブックマークに追加 mixiチェック

コインハイブ

1.はじめに
最近、SNSにて、「Coinhiveはウイルス作成罪などが成立するのか?」という話題につきやや盛り上がっているため、私も少し調べてみました。

■関連するブログ記事
・サイト等にCoinhive(仮想通貨マイニングのプログラム)を設置した被疑者16名を警察がウイルス作成罪で摘発

2.Coinhiveとは
Coinhive(コインハイブ)とは、サイトの運営者がサイトの閲覧者のPC等に仮想通貨を採掘(マイニング)させその収益を受け取るサービスです(マイニングツール、仮想通貨マイニング)。

サイト運営者がCoinhiveのJavaScriptコードをサイトに埋め込むと、そのサイトを閲覧した人のPCのCPUパワーを使い、仮想通貨「Monero」を採掘し、採掘益の7割がサイト運営者に、3割がCoinhiveの運営者に分配される仕組みであるそうです。

「多くのウェブサイトには邪魔な広告が表示されている。その代替手段を提供することが我々の目的だ」とCoinhiveの運営者は同サービスの趣旨を示しているそうです(「話題のCoinhiveとは?仮想通貨の新たな可能性か、迷惑なマルウェアか」ITmedia2017年10月11日付)。

・話題の「Coinhive」とは? 仮想通貨の新たな可能性か、迷惑なマルウェアか|ITmedia

この点、トレンドマイクロは同社のサイトでCoinhiveについて、つぎのように説明しています。

「Coinhive の公式サイトによると、1 日に 10~20 人の訪問者がいる Web サイトで、1 カ月に約 0.3 XMR(2018 年 3 月 7 日時点で約 1 万 1,100 円)の利益を上げることが可能とされています。つまり、少ないリソースでも十分な発掘が期待できる Monero は、インターネット利用者のリソースを盗用して発掘を行うサイバー犯罪者たちにとって、収益可能性の高い仮想通貨の 1 つと言えます。」(「2018 年にサイバー犯罪者が狙う最大の標的は「仮想通貨の発掘」?」トレンドマイクロ)

・2018 年にサイバー犯罪者が狙う最大の標的は「仮想通貨の発掘」?|トレンドマイクロ

3.ウイルス作成罪(不正指令電磁的記録作成罪)とは
(1)ウイルス作成罪(不正指令電磁的記録作成罪)の概要
ウイルス作成罪(不正指令電磁的記録作成罪)とは、刑法の一部改正により平成23年に新設された刑罰です(刑法168条の2、168条の3)。

刑法

(不正指令電磁的記録作成等)
第百六十八条の二 正当な理由がないのに、人の電子計算機における実行の用に供する目的で、次に掲げる電磁的記録その他の記録を作成し、又は提供した者は、三年以下の懲役又は五十万円以下の罰金に処する。
一 人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録
二 前号に掲げるもののほか、同号の不正な指令を記述した電磁的記録その他の記録
2 正当な理由がないのに、前項第一号に掲げる電磁的記録を人の電子計算機における実行の用に供した者も、同項と同様とする。
3 前項の罪の未遂は、罰する。

(2)保護法益・構成要件など
不正指令電磁的記録作成等罪は、「コンピュータ・プログラムに対する社会一般の信頼」という社会的な法益を保護しようとする刑罰です。

そして、不正指令電磁的記録作成等罪の構成要件はつぎのとおりです。

①「正当な理由がないのに」
②「人の電子計算機における実行の用に供する目的で」(目的)
③「「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録その他の記録を(同条同項1号)」(客体)
④「作成し、又は提供」(行為)

(3)「正当な理由がないのに」
ここで、まずやや分かりにくいのは、①「正当な理由がないのに」ですが、法務省の立案担当者は、「「正当な理由がないのに」とは「違法に」という意味である」と解説しています。

そして具体例として、「ウイルス対策ソフトの開発・試験等を行う場合…コンピュータ・ウイルスを作成・提供することがあり得る…このような場合には、「人の電子計算機における実行の用に供する目的」が欠ける」と解説しています。

・「いわゆるコンピュータ・ウイルスに関する罪について」法務省サイト

(4)「不正な指令」
つぎに、Coinhiveと不正指令電磁的記録作成等罪との関係で一番悩ましいのは、③「「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録その他の記録を」のなかの「不正な指令」をどのように解釈すべきかです。

この点、上述の法務省の立案担当者の解説ペーパーは、「プログラムによる指令が「不正」なものに当たるか否かは、その機能を踏まえ、社会的に許容し得るものであるか否かという観点から判断することになる。不正指令電磁的記録作成等罪の処罰対象となるのは、このような意味での不正指令電子的記録であり、これに該当するか否かの判断において核となるのは、そのプログラムが使用者の「意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える」か否かである。」としています。

(5)裁判例
ところで、不正指令電磁的記録作成等罪が成立するとされた裁判例をみると、①ネット上の有料アダルト動画サイトの運営者が、被害者らに利用料金の支払いを心理的に強制するために被害者のPCに女性の半裸画像を表示し続けるプログラムをダウンロードさせ実行させた事案(京都地裁平成24年7月3日)や、②被告人の掲示板に脅迫文言を書き込ませるウイルスを被害者(被告人の民事訴訟の相手方)のPCに感染させ書き込ませ虚偽の被害申告を行った事案(大阪地裁堺支部平成25年8月27日)などがある一方で、③市販のオンラインストレージ(=クラウドサービス)等を使用者の了解なくインストールして設定した事案においても不正指令電磁的記録作成等罪の成立が認められています。 (①②について、東京弁護士会『Q&Aインターネットの法的論点と実務対応』337頁、③について、浅田和茂・井田良『新基本法コンメンタール刑法 第2版』365頁)

個人的には、③の裁判例については、「その意図に反する動作をさせるべき不正な指令」に当てはまるとして、市販のドロップボックスなどのようなプログラムをインストールしたことが、「その機能を踏まえ、社会的に許容し」えないと判断されるのは疑問なものがあります。

(6)学説
学説も、「「不正」という概念が多義的であり、その判断基準が規範的に理解された意図に依存していることからすれば、これらの要件によって具体的な基準が明示されるとはいえない」と批判的です(浅田・井田・前掲365頁)

4.まとめ
このように裁判例をみると、裁判所は「不正な指令」を広範に解釈できると考えているようです。一般人からみてもこれはアウトだろと思う悪質なプログラムだけでなく、無断とはいえ市販のプログラムをインストールしただけでも不正指令電磁的記録作成等罪が成立する可能性があるようです。

そのため、サイトやブログ運営者は、Coinhiveなどの仮想通貨マイニング・マイニングツールに係わるプログラムをサイトなどに設置することには慎重であるべきと思われます。

■参考文献
・大塚裕史・十河太朗・塩谷穀・豊田兼彦『基本刑法Ⅱ各論 第2版』450頁
・浅田和茂・井田良『新基本法コンメンタール刑法 第2版』365頁
・東京弁護士会『Q&Aインターネットの法的論点と実務対応 第2版』337頁

基本刑法II 各論 第2版

Q&A インターネットの法的論点と実務対応 第2版

新基本法コンメンタール刑法[第2版] (新基本法コンメンタール(別冊法学セミナー))

このエントリーをはてなブックマークに追加 mixiチェック

↑このページのトップヘ