同じIDとパスワードを複数のWebサービスで使い回している人は非常に多い。
定期的にパスワードを変更することは使い回しの温床になるので推奨していない。
IDとパスワードの使い回しを狙って、不正取得したIDとパスワードを複数のサービスに1回ずつ入力して侵入を試みる手口が増えている。1回ずつしか試みられないので不正検知が難しい。
フィッシングやスパイウェア等によるtechnicalな不正アクセス事案は全体の4割程度であり、残り6割はパスワード設定管理の甘さや知人・友人にパスワードを漏らしたことによるソーシャルな手口である。
10代のオンラインゲームの不正操作事案が急増傾向にある。

不正アクセス禁止法について

不正アクセス行為とは「ネットワークに繋がったコンピュータの不正認証」を指すのでスタンドアロンの機器は対象外である。
「他人のパスワードを誰かに教える」などの不正アクセス行為を助長する行為も処罰対象であり、特に不正アクセス目的だと知った上でパスワードを漏らすと罪が重い。
たとえば、2012年の6月に、他人のオンラインゲームのIDとパスワードを掲示板に公開した少年が逮捕されている。
フィッシングサイトはインターネット上に公開された時点で処罰対象となる。

不正指令電磁的記録（コンピュータウイルス）について

「意図に沿う動作を阻害するもの」および「意図に反する動作をさせるもの」は不正指令電磁的記録にあたる。
実行形式であるかどうかは関係がなく、ソースコードの作成あるいは提供だけでも処罰対象となる。
マルウェア検出はパターンマッチング方式が主流である。従って、自分の作ったマルウェアが検知されるかどうかは容易に調べることができる。
あらかじめ100種類くらいマルウェアを生成してばら撒く手口が増えている。

ワンクリック詐欺について

ワンクリック詐欺は激減傾向にある。
従来の民法では「操作ミスをしたユーザに責任がある」と主張できるため、詐欺側が有利な状況にあった。
法改正により「契約内容の説明がなければ契約は無効である」と主張できるようになり、ワンクリックの手口は無効化された。
そこで「規約に同意しますか？」という最終確認のポップアップをかませることで法回避をするツークリックや４クリックの手口が激増した。
規約を画面外に置いておき、「画面を最後までスクロールすれば規約を確認できたはず。規約説明の責任は果たしており、確認しなかったユーザが悪い」と主張されるようになった。

違法・有害情報 対策について

わいせつ物はアップロードした時点で処罰対象である。掲示板にわいせつ画像を添付して逮捕に繋がり、「犯罪になるとは知らなかった」「そんなつもりじゃなかった」と主張される事例が極めて多い。
違法薬物は実際に所持していなくても「売ります・買います」と書き込んだ時点で処罰対象である。
たまたま拾ったIDとパスワードを掲示板に書き込んだりログインを試みただけでも処罰対象である。
「マジコン」は不正競争防止法違反にあたり、マジコンのパーツだけを売買していた男が大阪で逮捕されている。

その他の検挙事例

（パスワード管理が不適切だった事例）飛鳥村の職員が、偶然入手したパスワードを使って村長になりすまし、総務部長に電子メールを送信した。予想が容易なパスワードであった。
（運用ルールが不適切だった事例）元恋人の務めるオンラインショップの管理アカウントに不正アクセスし、商品情報データを削除した。被害企業の売上が９０％ダウンする大損害に繋がった。
ヤマザキマザックの中国人社員が工作機械の設計図を持ち出した。犯人は10年前に留学生として来日、6年前に入社、退社後に帰国予定であった。ヤマザキマザックは不審なデータコピーに対してIPアドレスに基づく遮断を行い対策していたが、IPアドレスは容易に変更可能である。

Permalink | 記事への反応(0) | 19:12

2014-03-04

■http://anond.hatelabo.jp/20140304213400

ニュース番組では、今のところ扱ってなさそう。

つ

片山祐輔被告の保釈が検察側の申し立てにより停止となる　堀江貴文「相当検察焦ってんな」

http://getnews.jp/archives/526480

昨年2月にPC 遠隔操作事件に関連し威力業務妨害容疑で逮捕された片山祐輔被告が、本日保釈予定となっていた。『ニコニコ動画』でも「片山祐輔氏保釈後の記者会見録画放送」を行う予定だったが、その保釈が検索側の申し立て（特別抗告）により停止となってしまった。これにより東京地裁は保釈の執行停止を決め、4日の保釈はなくなった模様である。
現在拘束する理由として、検索側が証拠隠滅を図るとにらんでいるようである。
過去にはこの事件関連で不正アクセスを行った朝日新聞と共同通信の記者。両媒体は「正当な取材で不正アクセスに該当しない」と主張している。
検察側もこれがもし冤罪だったら立場が危うくなるので、同被告に罪を認めさせるという流れになりそうだ。
この保釈停止に対して堀江貴文氏も「俺の時だって準抗告はされたけど、特別抗告は流石にされなかった。相当検察焦ってんな」とツイートしている。ネット上では「魔女狩り」、「中世だな」という意見まで挙がっている。

PC 遠隔操作事件で不正アクセスを行ったとして朝日と共同通信記者を書類送検　朝日共同「正当な取材で不正アクセスに該当しない」

http://getnews.jp/archives/367529

PC 遠隔操作事件の被告が犯行声明に使ったとされるメールサーバーに侵入したとして、朝日新聞と共同通信の記者が不正アクセス禁止法違反の容疑で書類送検された。
記者は複数おり、昨年10 から 11月に同被告が使っていたとみられるIDおよびパスワードを入力して、メールサーバに複数回無断アクセス。パスワードに関しては犯行声明をヒントにアクセス。この時点では被告が容疑者だと報じられる前であった。
この件に関してネットでは次の様な議論が挙がっている。
・起訴もされていない人物は実名で不正アクセスした記者は匿名放送かよ
・不正アクセスの方が罪重いんじゃね？
・IDはどこから入手したんでしょうかね。ポリ？
・こいつらが決めつけて猫カフェでも粘着して警察に売ったんじゃね？
・共同通信って猫カフェで盗撮してたメディアだよ。NHKと産経もだけど。
・こいつら証拠捏造とかしてないの？　大丈夫？
・進入できたんならこいつらが話題作りのために犯行声明送った可能性もあるだろ。容疑者増えたぞ！
と、様々な疑惑が持ち上がっている。今後も芋づる式に様々な犯行が浮上してきそうである。
不正アクセスを行った朝日新聞と共同通信の社会部はそれぞれ次のようにコメントしている。
共同通信「形の上では法律に抵触する可能性があるが、事件の真相に迫るための取材行為だったことを捜査当局に説明し、理解してもらえたと思う」
朝日新聞「正当な取材の一環で、法律上も報道倫理上も問題ないと考える。手続き上、書類送検されることになるが、弁護士を通じ、正当な業務だったとする見解を警視庁に伝えている」
どちらも正当と主張しており、事件の真相を探るのに必要なことだったとしている。要約すれば「マスコミ様は倫理違反してもいいんだよ」というわけだ。またそもそも不正アクセスに該当しないとも主張しており、正当な業務行為とコメント。今後このコメントがどう波紋を呼ぶのだろうか。
記者不正アクセス問題　共同・朝日がコメント（日本経済新聞）
http://www.nikkei.com/article/DGXNASDG2502C_V20C13A6000000/
※画像はテレビ映像から引用。
＜この記事に対するコメント＆ツイート＞
・人のアカウントで勝手にログインするのが正当とか…
・これはあり得ない。取材目的なら何やっても構わないと思ってるんだね。
・これはダメだろうさ。
・顔写真にモザイクが入り、やっと普通の報道です。良い傾向です。
・刑法の違法性阻却事由である正当業務行為を分かって書いているのか
※この記事は、ゴールドラッシュの「ソル」が執筆しました。[リンク]

Permalink | 記事への反応(0) | 22:01

2013-06-26

■不正アクセス容疑とされた朝日新聞の見解を読んでみる

朝日新聞デジタル：朝日新聞記者の不正アクセス容疑について

"【１】「不正アクセス禁止法」違反罪の構成要件に該当しない" かどうか

ブコメを読んでるとパスワードが本当に公開されているのか疑う声が多かったが、パスワードは確かに公開されている。

こちらの記事は400ブクマ近くついたのにみんな忘れてしまったのか？

●8/27
感染 PCを遠隔操作して（プロバイダ名）メールのアカウントを一つ作成し、
これを使って４箇所にメール送信。
メールアドレス：（メールアドレス）
パスワード：（パスワード）

遠隔操作事件・真犯人と称する者からのメール全文 2012-10-21 - 弁護士落合洋司　（東京弁護士会）　の「日々是好日」

よって論点は、これが承諾にあたるか否か、ということになる。

自分は難しいと思うけど、法律の読み方はわからないので詳しい人に任せたい。

ちなみに犯人が使ったメールアドレスは

犯行に使ったexciteのメールアカウントのもの
犯行声明に使ったyahooのメールアカウントのもの

の2つがある。

上記のメールアドレスとパスワードはexcite のもので、朝日新聞記者がアクセスしたのもこちらだと思われる。

"【２】報道機関として必要な取材であり、正当な業務行為" かどうか

遠隔操作事件の捜査では、無実の人の誤認逮捕が相次ぎ、真犯人の特定が社会の重要な関心事となっていました。

確かにはてなでもTwitterでもみなさん激おこでした。

当該アクセスは、「真犯人」を名乗る人物が送信した犯行声明メールが実際に当該メールアカウントから送信されたものであるかどうか（第三者が犯人になりすまして送った形跡はないか）などを確認するために行った、正当な取材行為です。
報道機関の記者が正当な取材として行った行為は、仮に犯罪の構成要件に該当するとしても、正当な業務行為として違法性を欠き、処罰されないことは判例でも明確に示されています（いわゆる『西山記者事件』での最高裁１９７８年５月３１日決定をご参照下さい）。

ということなので読んでみた。

最高裁判例昭和51(あ)1581 昭和51年07月20日

全文

引用は裁判要旨から。

六　報道機関が公務員に対し秘密を漏示するようにそそのかしたからといつて、直ちに当該行為の違法性が推定されるものではなく、それが真に報道の目的からでたものであり、その手段・方法が法秩序全体の精神に照らし相当なものとして社会観念上是認されるものである限りは、実質的に違法性を欠き正当な業務行為である。

確かに同じことが書いてある。

"違法性を欠き"というのは見た目上違法行為であっても違法性がなければ違法行為にはならない、ということだろうか。

報道の自由にはかなりの幅が許されていそうだ。

西山記者事件は次項の、はじめから文書を入手するつもりで既婚の女性事務官と強引に肉体関係を持ったことが悪質とされ、正当な行為ではないとされたようだ。

七　当初から秘密文書を入手するための手段として利用する意図で女性の公務員と肉体関係を持ち、同女が右関係のため被告人の依頼を拒み難い心理状態に陥つたことに乗じて秘密文書を持ち出させたなど取材対象者の人格を著しく蹂躪した本件取材行為（判文参照）は、正当な取材活動の範囲を逸脱するものである。

パスワードを入手するにあたってしたことは、自分に送られてきたメールを読んだだけ。

そしてそれを使って取材のためにexciteのサーバにアクセス。

この点が西山記者が女性を嵌めたこととは違うよ、と言いたいらしい。

そのため朝日新聞は以下の主張。

まして、当該アクセスは窃盗など不正な手段で当該識別符号を入手したものでも全くなく、正当な業務行為に該当することは明らかです。

パスワードを公開してまで自分がメールを送信したことを証明したがっている犯人。

そのメールアカウントへのアクセスが、"取材対象者の人格を著しく蹂躪"していると言えるかどうか……難しいのではと思う。

理屈は通っていそうだ。

Permalink | 記事への反応(0) | 14:42

2010-05-01

■法律って、つまんないよね

最近、ゲームのシステムについて考えている。

そこで気付いたのは、ゲーム内世界には法律がないということ。

弱肉強食であるということ。すべてシステムが管理している。

昔に「バーチャファイター２」が流行った頃、

ゲームセンターによってローカルルールがあった。

倒れた相手に対して、追加攻撃をしてはいけない、とか。

でも、そういうのって下らないよね。

そういう卑怯な戦法ができるのは、

ゲームシステムに問題があるからであって、

プレイヤーに責任を求めるのは間違ってるよ。

僕はMMORPGって遊んだことないけど、

大抵のゲームではPK(Player Kill)が認められているそうじゃないか。

そういうのって、いいよね。自由度が高くて。

別にPlayer Killが認められてなくてもいいけど、

そういう場合は、利用規約ではなくてシステム的に対処すべきだ。

利用規約で、ユーザーを縛るのは間違っている。

不正アクセス禁止法も、意味のない法律だ。

いくら法律で規制したところで、

違法なことを承知な犯罪グループに狙われたら意味ないし。

犯罪を抑制するどころか、かえって管理を怠らせてるんじゃないの？

ということで、僕はリバタリアンになりたいと思います。

Permalink | 記事への反応(2) | 20:28

2009-10-07

■http://anond.hatelabo.jp/20091007031136

８万無断で使った泥棒なのに、友情続けたいの？

サイバー犯罪窓口のサイトっぽいとこ見たら、

＞インターネットショッピングにおける不正アクセス禁止法・詐欺等事件

ってのもあったから、増田の場合は自己責任です泣き寝入りしとけって言われるの覚悟で

一応相談してみてもいいんじゃないの

犯罪者じゃねーかその友達

Permalink | 記事への反応(0) | 06:02

2007-12-02

■不正アクセス禁止法

不正アクセス禁止法

　不正アクセス禁止法とは、「ID・パスワードの不正な使用」や「そのほかの攻撃手法」によってアクセス権限のないコンピュータ資源へのアクセスを行うことを犯罪として定義するものである。不正アクセス禁止法の目的は以下のようになる。

　「電気通信回線を通じて行われる電子計算機に係る犯罪の防止及びアクセス制御機能により実現される電気通信に関する秩序の維持を図り、もって高度情報通信社会の健全な発展に寄与すること」（第1条より）

　この条文は簡単にいうと、「ネットワークを利用してほかの端末に不正行為が行われることを防止したり、アクセス制御を越えて権限のないコンピュータ資源へアクセスするなどの、ハッキングに代表される行為を犯罪として定義し、罰することを規定することで秩序を守り、それがネットワーク社会の正常な発展につながる」といった具合になる。なお、不正アクセス禁止法において犯罪と定義されるのは以下のような行為である。

他人のID・パスワードを奪取・盗用して、その者になりすましてアクセス認証を越える行為は犯罪になる

なりすまし以外の攻撃手法を用いて、認証サーバをだまし、それに従属する目標の端末を利用可能にする行為は犯罪になる

目標の端末を利用可能にするために、その端末の属するネットワークのゲートウェイ端末のアクセス認証をだまして、その内部ネットワークの目標を達する（目的端末を利用可能にしてしまう）ことは犯罪になる

Permalink | 記事への反応(0) | 20:13

■（参考）不正アクセス禁止法（抄）

第一条

この法律は、不正アクセス行為を禁止するとともに、これについての罰則及びその再発防止のための都道府県公安委員会による援助措置等を定めることにより、電気通信回線を通じて行われる電子計算機に係る犯罪の防止及びアクセス制御機能により実現される電気通信に関する秩序の維持を図り、もって高度情報通信社会の健全な発展に寄与することを目的とする。

第二条

　この法律において「アクセス管理者」とは、電気通信回線に接続している電子計算機（以下「特定電子計算機」という。）の利用（当該電気通信回線を通じて行うものに限る。以下「特定利用」という。）につき当該特定電子計算機の動作を管理する者をいう。

２　この法律において「識別符号」とは、特定電子計算機の特定利用をすることについて当該特定利用に係るアクセス管理者の許諾を得た者（以下「利用権者」という。）及び当該アクセス管理者（以下この項において「利用権者等」という。）に、当該アクセス管理者において当該利用権者等を他の利用権者等と区別して識別することができるように付される符号であって、次のいずれかに該当するもの又は次のいずれかに該当する符号とその他の符号を組み合わせたものをいう。　

一　当該アクセス管理者によってその内容をみだりに第三者に知らせてはならないものとされている符号　

二　当該利用権者等の身体の全部若しくは一部の影像又は音声を用いて当該アクセス管理者が定める方法により作成される符号　

三　当該利用権者等の署名を用いて当該アクセス管理者が定める方法により作成される符号

３　この法律において「アクセス制御機能」とは、特定電子計算機の特定利用を自動的に制御するために当該特定利用に係るアクセス管理者によって当該特定電子計算機又は当該特定電子計算機に電気通信回線を介して接続された他の特定電子計算機に付加されている機能であって、当該特定利用をしようとする者により当該機能を有する特定電子計算機に入力された符号が当該特定利用に係る識別符号（識別符号を用いて当該アクセス管理者の定める方法により作成される符号と当該識別符号の一部を組み合わせた符号を含む。次条第二項第一号及び第二号において同じ。）であることを確認して、当該特定利用の制限の全部又は一部を解除するものをいう。

第三条

　何人も、不正アクセス行為をしてはならない。

２　前項に規定する不正アクセス行為とは、次の各号の一に該当する行為をいう。　

一　アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ、当該アクセス制御機能により制限されている特定利用をし得る状態にさせる行為（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。）　

二　アクセス制御機能を有する特定電子計算機に電気通信回線を通じて当該アクセス制御機能による特定利用の制限を免れることができる情報（識別符号であるものを除く。）又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為（当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者の承諾を得てするものを除く。次号において同じ。）

三　電気通信回線を介して接続された他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に電気通信回線を通じてその制限を免れることができる情報又は指令を入力して当該特定電子計算機を作動させ、その制限されている特定利用をし得る状態にさせる行為

（罰則）

第八条

　次の各号の一に該当する者は、一年以下の懲役又は五十万円以下の罰金に処する。　

一　第三条第一項の規定に違反した者　

Permalink | 記事への反応(0) | 20:04