ウェブサービス・アプリをつくる人が知っておきたいこと

脆弱性を発見しても事前通知なしに公開・実行すると不正アクセス禁止法違反で検挙される可能性がある

セキュリティ脆弱性を発見した場合、まず運営者に非公開で通知する「責任ある開示（Responsible Disclosure）」の手順を踏むべき。事前通知なしに脆弱性や攻撃手法を公開したり、実際にアクセスして検証することは、不正アクセス禁止法違反に問われる可能性がある。

「検証のため」のアクセスでも不正アクセスとなる

脆弱性の存在を確認するためだけであっても、権限なしに他者のシステムにアクセスすることは不正アクセス禁止法違反となる。善意であっても「触らない」ことが重要。

攻撃手法の公開は模倣犯の責任も問われる可能性がある

攻撃手法を公開したことで第三者が同様の行為を行った場合、公開者も責任を問われる可能性がある。セキュリティ情報の公開には細心の注意が必要。

P2Pソフトウェアの開発・公開リスク

ファイル共有機能を持つソフトウェアを開発・公開する場合、それが違法な著作物の流通に使われる可能性を認識していると、著作権法違反の幇助罪に問われるリスクがある。最終的に無罪となったが、逮捕から無罪確定まで7年以上の裁判を強いられた。

開発の意図・発言が証拠として使われる

開発の動機や公開時の発言が「違法利用を意図していた」と解釈されうる場合、刑事責任を問われる可能性がある。本事件では掲示板（2ちゃんねる）への投稿が重要な証拠として使われた。SNSや掲示板での発言には注意が必要。

技術的に有用なソフトでも開発者が検挙される可能性がある

ソフトウェア自体が合法的な用途を持ち技術的に優れていても、悪用される可能性があれば開発者が刑事責任を問われうる。本事件は技術者コミュニティに大きな萎縮効果をもたらした前例となっている。

クラウドサービスでユーザーのコンテンツを複製・配信する場合は著作権者の許諾が必要

ユーザーが合法的に取得したコンテンツであっても、サービス事業者がサーバー上で複製・配信する構造は著作権侵害となりうる。「ユーザーのための複製」であっても、技術的にサービス事業者が複製行為を担う場合は著作権者の許諾が必要。

著作権法上の私的複製はユーザー自身が行う場合のみ適用される

著作権法第30条の私的複製の例外は、ユーザー自身が複製する場合にのみ適用される。サービス事業者が複製を代行する形態には適用されないため、ストレージサービス・変換サービス等を提供する際は著作権者との許諾が不可欠。

新技術サービス開始前に著作権を含む法的リスクを専門家と確認する

革新的な技術サービスを開始する前に、著作権を含む既存の法制度との整合性を弁護士・弁理士と確認することが不可欠。サービス開始後の差止めはユーザーへの損害も大きく、事業上のリスクも高い。

スクレイピング・クローラを含むサービスは偽計業務妨害で検挙される可能性がある

自動的にWebサイトへアクセスするクローラやスクレイピング処理を実装する場合、たとえ技術的に常識的なアクセス頻度であっても、相手側システムに障害が発生すれば偽計業務妨害として逮捕・勾留される可能性がある。本事件では無罪に等しい起訴猶予だったが、20日間勾留された。

robots.txtや利用規約の確認が必須

Webサイトへの自動アクセスを行う前に、対象サイトのrobots.txtや利用規約を必ず確認し、自動アクセスが禁止されていないか確認すること。また、アクセス間隔（クールダウン）を設けてサーバー負荷を抑えることが重要。

アクセスログを保存しておく

自身のアクセスが適切であることを証明するため、クローラのアクセスログを保存しておくことが重要。本事件では技術者コミュニティによる詳細な検証が無罪立証に貢献した。

マルウェア作成・使用は複数の刑事罪の対象となる重大な犯罪

遠隔操作ウイルスの作成・使用は、不正指令電磁的記録罪・不正アクセス禁止法違反・威力業務妨害罪など複数の刑事罰の対象となる。高度なITスキルを犯罪に用いた場合、厳しい刑事責任を問われる。

マルウェア感染により無関係の人物が犯人と疑われるリスクがある

IPアドレスや端末情報だけでは犯人特定に不十分であることを示した事件。マルウェアに感染したPCが犯行端末として使われた場合、PC所有者が誤認逮捕される可能性がある。自身のPCのセキュリティ管理が重要。

デジタル証拠の解釈誤りが冤罪を招く

捜査機関がマルウェアによる遠隔操作を見抜けず4人が誤認逮捕された。IPアドレスのみを根拠とした逮捕の危うさを示した事件として、日本の刑事手続きにおけるデジタル証拠の技術的検証の重要性を広く知らしめた。

ユーザーの同意なしにブラウザで処理を実行するスクリプトは不正指令電磁的記録罪で検挙される可能性がある

閲覧者に通知・同意なくブラウザ上でリソースを消費する処理（マイニング、重い計算処理など）を実行するスクリプトは、「不正指令電磁的記録」として検挙される可能性がある。最高裁で無罪となったが、4年以上の裁判を強いられた。

新技術へのグレーゾーンには法的リスクが伴う

技術的には広告表示と同程度の負荷であっても、「仮想通貨」「マイニング」といった社会的注目度の高いキーワードに関連する技術は、法執行機関から過剰に注目される可能性がある。新しい収益化手法を採用する際は法的リスクを考慮すること。

ユーザーのリソースを使用する場合は明示的な同意が必要

サイト閲覧者のCPU・メモリなどのリソースを使用する場合は、プライバシーポリシーや利用規約での明示、もしくはオプトイン方式の同意取得を行うことで法的リスクを低減できる。

セキュリティ技術の解説記事・サンプルコードを公開すると不正指令電磁的記録提供罪で検挙される可能性がある

セキュリティに関する技術解説記事にサンプルコードを掲載する場合、教育目的であっても「不正指令電磁的記録の提供」として検挙される可能性がある。マルウェアの仕組みを説明する記事は特に注意が必要。

投稿型サイトの管理者はコンテンツの責任を問われる

技術系の投稿サイトや掲示板を運営している場合、投稿者のコンテンツについて管理者も責任を問われる可能性がある。ユーザー投稿のモデレーション体制を整えることが重要。

「不正指令電磁的記録」の範囲は曖昧で予測困難

何が「不正指令電磁的記録」に該当するかの判断基準が不明確であり、専門家も意見が分かれるケースがある。セキュリティ分野の情報発信を行う際は、法的リスクについて弁護士に相談することを検討する。

ジョークプログラムへのリンクを掲示板に投稿するだけでも不正指令電磁的記録供用未遂で検挙される可能性がある

技術的に無害なジョークプログラムであっても、「不正指令電磁的記録」として家宅捜索・補導・書類送検されうる。プログラムの作成者でなく、リンクを投稿しただけの人物も摘発されている。

ブラウザに予期しない動作をさせるコードの公開は法的リスクを伴う

ユーザーが意図しない動作（閉じられないポップアップ、リダイレクトループ、過負荷など）をブラウザに引き起こすコードを公開・共有する行為は、たとえジョーク目的でも検挙される可能性がある。

「不正指令電磁的記録」罪の適用範囲は広く予測困難

兵庫県警による摘発はセキュリティ専門家からも強い批判を受けたが、逮捕・補導・家宅捜索は実行された。悪意や実害の有無に関わらず、捜査機関の判断で摘発される可能性がある点に注意が必要。