高木浩光＠自宅の日記

■ ダウンロード刑罰化で夢の選り取り見取り検挙が可能に

罰則ないから*1として2010年1月から施行された「ダウンロード違法化」*2。これに今、「2年以下の懲役又は200万円以下の罰金」の罰則が設けられようとしているようだ。

• 違法ダウンロードに罰則 著作権法改正案を可決 衆院本会議, 産経新聞, 2012年6月15日
• 違法ダウンロード:罰則を科す法案 審議なく衆院を通過, 毎日新聞, 2012年6月15日

そこで、Winnyネットワークを対象に、どのくらい簡単に利用者を検挙できるようになるか、以下、考察してみる。

これまで、Winnyネットワークでは違法な公衆送信が数多くなされてきたが、刑事訴追はあまり順調に進んでいるとは言い難い状況であった。その原因は、公衆送信の故意の立証が容易でなかったためであろう。

ここは「一次放流者」と「二次共有者」を分けて考える必要がある。一次放流者（最初にWinnyネットワークに流した者）については、発見さえできればそこそこ立件できるようだが、問題は二次共有者（どこかからダウンロードしたファイルをそのまま共有状態にした者）であり、「ダウンロードしただけで自分がそのファイルをアップロードしているとは思わなかった」などと供述されると、公衆送信可能化の故意を立証しにくい。その結果として「アップロード側を検挙すればよい」は非現実的となっていた。

実際、Winnyにおいて二次共有者の起訴はたしか皆無のはず。2008年に、兵庫県警の巡査がWinnyでゼンリンの住宅地図を共有状態にした（二次共有者）として、福岡県警が書類送検したという報道があったが、その事件はその後、不起訴処分（起訴猶予）になっている。

この事件では、被疑者が「誰もが電子地図のソフトをダウンロードできることはなんとなく知っていた」と供述し*3、福岡県警は「巡査はデータをダウンロードすれば自動的に不特定多数が入手できる状態になるウィニーの特性を認識しており（略）公衆送信権侵害に当たると判断」*4したと報道されていたが、それでも起訴が無理だったようで、福岡地検は「たまたまネットで閲覧できる状況だった」とし、「巡査が故意に流出させた可能性は低いと判断した」と報道*5されている。

こういうことがあまりに続けば、この程度の疑いでは強制捜査できなくなってしまう。

このような状況があってか、今もWinnyの利用者数は何万人規模である。Winnyのノード数は年々減少しており（2006年ごろのピーク時の10分の1ほど）、最近の観測値は4万前後であるが、この値はあくまでも過去24時間における数であって、一週間当りの利用者数や、一か月当りの利用者数となると、この数倍から十数倍の数となるはず*6であり、ざっくり見積もって10万人から50万人くらいではないかと推測する。

ここで、違法ダウンロードの刑罰化が実現されると、状況は一変する。違法ダウンロードの立証はわりと容易だからだ。

Winnyでは検索ワードが無作為に流通している。Winnyプロトコル互換のプログラムを用いてどこかのWinnyノードに接続すると、接続しただけで、キー情報（どのファイルを持っているという情報）の他に、検索ワードの情報（どんなファイルがどこにあるかを問い合わせる情報）が流れ込んでくる。たとえば図1のように検索ワードが飛び込んでくる。

図1: Winnyネットワークからコマンド13により検索ワードが飛び込んでくる様子

このように、検索ワードはいくつかのノードを中継して飛んでくることもあるが、そこには中継経路が書かれており、発信元のIPアドレスがわかる。

これを、Winnyクローラーを用いて各ノードを巡回しながら検索ワードを観測するようにすれば、大量の検索ワードについてどこから発信されているかを記録できるだろう。

これらの検索ワードのうちいくつかは、違法化されているダウンロード行為を意図していると疑うのに十分足りるものがあるだろう。これは機械が自動で作り出したものではなく、利用者が手で入力した単語であるだけに、そこにWinny利用者の意思が表れている。

他の方法もある。2009年の7月18日の日記に書いたように、ダミーのキー（当該ファイルを持っているという情報）を散布して、ダウンロード要求が到着するのを観測するという方法である。

たとえば、ジャニーズ系アイドルなど、著作権侵害の被害を親告してくれ易そうな会社の音楽や映像作品のタイトルをファイル名としてダミーのキーを散布すれば、そのタイトルに合致する音楽や映像作品を探して手動又は自動ダウンロードをかけているWinny利用者から、ダウンロード要求（コマンド11のファイル送信要求）が次々と飛び込んでくることになる。

図2: 「WinnyPot」でファイル送信要求の到着を観察
（2009年の7月18日の日記の図2を再掲）

図2: ダウンロード要求が到着した様子
（2009年の7月18日の日記の図3を再掲）

これらのダウンロード要求は、当該ファイルをダウンロードしようとする故意があるとは限らない（他のファイルをダウンロードしようとして巻き添え的に一緒にダウンロードしようとしてる場合が十分に有り得るし*7、Winnyの中継機能によりダウンロードさせられている可能性もある）けれども、前記の、検索ワードの事実と合わせることによって、嫌疑を補強することができるだろう。

クローラーによる「サイバーパトロール」は既に行われている*8ところ、こうした手法を新たに導入すれば*9、あとは被害の親告を確保することによって、捜査を開始できるのではないか。

一つ一つの事案を個別に捜査していくには手間がかかるだろうが、IPアドレスから当該IPアドレスの契約者を特定すべくISPに照会をかけるところまでは容易にできるだろう。大手数社のISPに照会をかけるだけで、捜査対象の半分くらいの被疑者リストを得ることができるのではないか。

あとはそのリストから、家宅捜索したい対象を好きに選んで、捜索令状が出るだけの証拠を追加すればよい。検索ワードやダウンロード要求の観測を、そのIPアドレスに対して集中的に継続して行えば、証拠固めできる場合があるだろう。そして、パソコンを押収し、そこにWinny利用の痕跡が存在して、検索時のログとダウンロードしたファイルが残っていれば逮捕だ。

はたして警察は、何人くらいの候補者リストから家宅捜索対象を好きに選べるようになるだろうか。

先月ACCS（一般社団法人コンピュータソフトウェア著作権協会）が発表した資料によると、中高生の利用者が増加しており、特にWinnyの利用が多いのだという。

• 中高生のファイル共有ソフトの利用が増加〜ファイル共有ソフトの利用に関する調査結果まとまる, ACCS, 2012年5月25日

  アンケート調査結果では、ファイル共有ソフトの「現在利用者」は一般消費者4.7％、中学生・高校生7.7％となり、（略）

  2．主に利用しているファイル共有ソフト（現在利用者）

  （略）中学生・高校生がが主に利用しているファイル共有ソフトは、上位から「Winny・Winnyp」44.2%、「BitComet・BitTorrent・μTorrent」16.2%、「Cabos」12.8%、「Share」6.3%「Limewire」4.8%、の順。

  3．ダウンロード経験など（現在利用者）

  （略）中学生・高校生がダウンロード経験のあるファイルのジャンルの内訳は、「日本のテレビ番組」68.1％、「音楽（テレビ番組以外）」37.0％、「ソフトウェア」11.7％、「マンガ・コミック・書籍・画像」8.8％、「映画・劇場用アニメ」8,5%、「海外のテレビ番組」8.0%、「アダルト関連」6.0％

中高生の7.7%がこれらのファイル共有ソフトを利用しているのだそうだ。中高生の人口は約700万人なので、約54万人ということになる。そのうち主に使用するのがWinny・Winnypと答えたのが44.2%とのことなので、約24万人。この人数は上で示した週間・月間利用者数推測とさほど矛盾しない。*10

利用目的にテレビ番組や音楽が挙っており、それぞれ68.1%、37.0%だそうなので、被害を親告してくれそうなメジャーどころのものをダウンロードしている者が仮に2割前後だとすれば、24万人の中高生のうち、5万人くらいが被疑者となり、大手ISPへの照会だけでISP契約者を特定できるのがその半分とすると、2.5万世帯の家庭が強制捜査の候補となる。

2.5万世帯の関係者はざっと10万人くらいだろうか。国民の1000人に一人くらいが関係者ということになる。

国会議員を例にすれば、全部で722人なので、ちょうど誰か一人くらいのご子息に検挙者が出る可能性があるといったところだろうか。

■ カレログ様のものでストーカー行為、不正指令電磁的記録供用罪の適用が現実に

「カレログ*1」がテレビのワイドショーを騒がせていた昨秋、人のスマホに勝手にインストールする行為が、はたして、改正されたばかりの刑法、第168条の2第2項の不正指令電磁的記録供用罪に当たるのか否かが焦点となっていた。理論上の話としては、先日の「法務省担当官にウイルス罪について質問してきたパート2」に書いたように、考え方としては有り得るとのことだったが、6月5日の毎日新聞神奈川版によると、現実に事件となったようだ。

• 不正指令電磁的記録供用:パソコンの操作記録を自動送信、無断でプログラム入れた容疑で再逮捕, 毎日新聞/神奈川, 2012年6月5日

  元交際相手のパソコンにキーボードで打ち込んだ内容を記録して自動送信するプログラムを無断で入れたとして（略）被告（略）＝ストーカー規制法違反で起訴＝を不正指令電磁的記録供用容疑で再逮捕した。

  （略）昨年10月29日（略）女性（略）のノートパソコンに「キーロガー」などのプログラムを勝手に入れ、キーボードで打った内容を記録し、そのままインターネット上のサーバーに自動送信するよう設定したとしている。

  （略）女性のスマートフォンの位置情報をこれらのプログラムを使って入手し、本人らに居場所を知っていることを伝えるメールを送るなどしたとして、ストーカー規制法違反容疑で逮捕、起訴された。

まさにこういうことがいずれ起きるのではと言われていたが、ずいぶん早く現実になったものだ。

しかしこの記事はちょっと解せない。ノートパソコンにキーロガーを入れたとあるのに、スマホの位置情報を入手していたという。どういうことだろうか。よく見ると「キーロガーなどの」「これらのプログラムを使って」と書かれている。考えられる可能性は以下などだろうか。

• 可能性A: ノートパソコンに入れたというのは誤報で、スマホに入れた。入れたのは、キーロガー機能の他に位置情報を送信できる機能も持つ総合監視ソフト（「Kidlogger」等）だった。
  （当該ソフトがどういうものか一般的な説明を受けた記者が、そのような行為があったものと混同した可能性。）

• 可能性B: ノートパソコンにキーロガーを入れたというのは誤りではなく、これによって、GoogleアカウントのIDとパスワードを盗み出し、このID・パスワードを用いてGoogle Play（Android Market）を操作し、位置情報を送信できるアプリ（「カレログ」等）をスマホにリモートでインストールした。

• 可能性C: ノートパソコンにキーロガーを入れたというのは誤りではなく、これによって、iTunesストアのパスワードを盗み出し、このID・パスワードを用いて「iPhoneを探す」を用いて位置情報を得ていた。

• 可能性D: ノートパソコンにキーロガーを入れたうえ、スマホに位置情報を送信できるアプリ（「カレログ」等）を入れた。位置情報を入手したことにキーロガーは無関係。

可能性BとCは、不正アクセス禁止法第3条違反も犯したことになるが、そうは報道されていない。この件を伝える報道はこの記事以外に見当たらず、真相は不明である。*2

昨秋の時点では、不正指令電磁的記録の罪に当たらないとする指摘として、「位置情報を取得するといったスマホにある機能を使い、アプリの機能も説明されている。記録を取られることを本人が知らなかったとしても、犯罪には当たらない」*3、「事前に説明されているアプリの目的と違った動作をするわけではなく、ウイルスとまでは言えない」*4といった意見が出ていた（詳細は4月21日の日記「法務省担当官にウイルス罪について質問してきたパート2」参照）が、今回の事件で使われたソフトが、一般に流通している監視ソフトであるなら、そういったものは「子供や老人を見守るため」とか「紛失した自分のスマホを捜索するため」など、正当な用途を掲げて作成・配布されていることが多いので、その場合には、この意見の法解釈の下では不正指令電磁的記録の罪には問えないことになる。

そこを今回、神奈川県警が供用罪で立件したわけである。*5

「法務省担当官にウイルス罪について質問してきたパート2」では、供用罪に当たり得るとする考え方が示されたものの、法務省担当官は、「ご質問のソフトをたとえば、ヤクザ、闇金をやっているヤクザが、債務者、高金利で貸している債務者が逃げられないようにするために、その携帯電話に勝手に入れ込んだ」という例を挙げ、「誰が考えても悪いという例」で説明されていた。そのため、「元交際相手の女性に」という程度の事案で、条文にある「不正な」の要件を満たすのかは不明であった。

今回、その点について、ストーカー規制法違反との牽連犯か併合罪のケースではあるものの、逮捕という段階まで進んだ。この後、追起訴に至るのか、裁判でどう判断されるのか、興味深い。

ここはぜひ弁護人には上記の該当しないとする理由を掲げて争って頂いて、明確な判例が残されるのを待ちたい。

■ 流出パスワードの紹介は改正不正アクセス禁止法第5条に注意

20日ほど前のこと、Twitterのものらしきパスワードが5万5千件ほど流出したそうだということで、「自分のものが含まれていないか確認しよう」という呼びかけが、Twitterやまとめサイトで展開されていた。この呼びかけは、「自分のメールアドレスとIDを調べることで、流出リストに自分が含まれているかどうか確認できます」として、晒されたID・パスワードのリストを紹介し、見てみることを奨めるものであった。このような行為は、5月1日に施行された改正不正アクセス禁止法の第5条に違反する虞れがあるので注意が必要である。

不正アクセス禁止法は、今年3月に国会で改正案が成立し、5月1日から改正法が施行されている*1。他人の識別符号を提供する行為は、「不正アクセス行為を助長する行為の禁止」として改正前では4条に規定されていたが、これが5条に移されて、内容が以下のように変更された。

改正前：

（不正アクセス行為を助長する行為の禁止）
第四条 何人も、アクセス制御機能に係る他人の識別符号を、その識別符号がどの特定電子計算機の特定利用に係るものであるかを明らかにして、又はこれを知っている者の求めに応じて、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。ただし、当該アクセス管理者がする場合又は当該アクセス管理者若しくは当該利用権者の承諾を得てする場合は、この限りでない。

改正後：

（不正アクセス行為を助長する行為の禁止）
第五条 何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。

変更点は以下の3つである。

• 「その識別符号がどの特定電子計算機の特定利用に係るものであるかを明らかにして、又はこれを知っている者の求めに応じて」との要件が削除され、禁止行為の範囲が大幅に拡張された。
• 「業務その他正当な理由による場合を除いては」との要件が加えられた。
• 「当該アクセス管理者がする場合又は当該アクセス管理者若しくは当該利用権者の承諾を得てする場合は、この限りでない」との但し書きが削除された。

改正前では、どこのアクセス制御機能で使えるID・パスワードなのか不明な場合は禁止対象でなかったのが、改正後では、どこかのアクセス制御機能で使える（行為者の認識においてもそうだろうという）ID・パスワードであれば禁止対象となった。これは大幅な変更であり、すべての人が注意を要する。

パスワードの流出事件はこれまでにも何度もあり、その都度セキュリティ関係者の間で、流出したID・パスワードのリストのURLが紹介されるという事態は起きていた。その場合でも改正前4条に違反する虞れはあったが、当該アクセス管理者が対策処置（当該パスワードの変更やアカウントの削除）をとった後であれば、それはもはや当該アクセス制御機能における識別符号ではなくなる*2ので、そのような場合には、流出したパスワードを誰かに紹介する行為は合法であり、正当なものとしては、主に、パスワードにはどんなものが多く設定されているかその実態の分析と周知のためなどに、そうした情報共有が行われることがあった。

今回のケースでも、Twitterのアクセス管理者が即座に対応をし、以下のようなツイートをしていたことから、「既に対策はとられている」という理由をもって改正前4条ならば違反にならないという考え方も可能であった。

まだ社内で調査中ですが、一部のアカウントにパスワードリセットが行われたようです。スパムアカウントだけで、一般のユーザーさんには影響がないと思われますが、ご心配の方はパスワードの変更をされてください。ご心配をおかけして申し訳ありません。support.twitter.com/articles/24192…

— twjさん (@twj) 5月 9, 2012

• 昨日の「パスワード流出」というニュースについて, Twitter Blog, 2012年5月10日

  流失したとされているアカウントには、Twitterからパスワードのリセットのリクエストをかけました。大半はスパムアカウントとして停止されているもので、普通にTwitterを使われている方々のアカウントはこのリストには含まれていません。

しかし、今回は、改正法施行後に起きた。改正後5条では、その識別符号がどこかのアクセス制御機能で使えるもの（行為者の認識においても）であれば、提供行為は禁止される。

今回晒されたID・パスワードには、Twitterだけでしか使われていないとは言えないものも含まれていた。つまり、Twitter公式ブログでは「大半はスパムアカウント」とされ、多くのID・パスワードが乱数で機械的に生成されたもののようだとする説もあったが、実際のリストを確認してみたところ、そのようなものばかりではなく、実在しそうなメールアドレスと人が使いそうな普通のパスワードの組のものもかなりの量が含まれていた（図1）。

図1: 晒されたID・パスワードのリストに普通のものも含まれていた様子

このようなID・パスワードは、Twitter以外の様々なWebサイトその他で、アクセス制御機能の識別符号として使われている可能性がある。これらが実際にそのようなもので、そのような認識でこれらを提供すれば、不正アクセス禁止法第5条違反ということになる。

ここで、「提供しているのはPastebinに貼付けた奴で、自分はそこにリンクしただけだ」という釈明が通るかという論点がある。ここには2つの論点があり、1点目は、リンクで閲覧を誘導する行為が提供に当たるのかという点、2点目は、公開状態のものをさらに提供する行為も禁止されているのかという点である。

2点目について、逐条解説書（改正前に書かれたもの）に、第2条第2項の識別符号の定義の解説において次の記述がある。

識別符号であるID・パスワードがハッカーによりホームページで公開されて第三者に知られてしまっている場合など、利用権者等でない第三者が当該識別符号の入力による特定利用ができる状態があったとしても、アクセス制御機能により特定利用が制限されていることに変わりはない（略）。ただし、ID・パスワードが広く知られてしまっている状態をアクセス管理者があえて放置していて、誰でもそのID・パスワードを用いて特定利用することができるようになっている場合は、当該特定利用については、アクセス制御機能による制限がないと言わざるを得ないと解されよう。

逐条 不正アクセス行為の禁止等に関する法律〔補訂〕, p.61, 立花書房, 2001年

つまり、例えば今回のケースで言えば、Twitter運営者があえて放置している場合には、もはやその識別符号による「アクセス制御機能による制限」はないということで、公開状態になっているID・パスワードを（TwitterのID・パスワードであることを明らかにして）さらに誰かに提供しても、それは（改正前では）違法とならないという考え方が有り得た。

しかし、「アクセス管理者があえて放置していて」というのは、当該アクセス管理者がその状況を認識していることが前提であって、今回のTwitterのケースであれば、「TwitterのID・パスワードだぞ」と名指しされたからこそ認識できるわけであって、Twitter以外の他のサイトで、同一のID・パスワードが利用されている場合に、それら他のサイトの全てのアクセス管理者が、この流出の事態に気付くということは考えにくい。したがって、改正後5条の観点からは、当該識別符号が使われている全てのアクセス管理者について「アクセス管理者があえて放置していて」という状況は考えにくい。

この点でも、「流出パスワードの提供」という行為のうち改正前では合法であった場合が、改正により合法でなくなっている。

このように、今回の改正で、他人の識別符号の提供行為の禁止は大幅に拡張されている。そのようなものまで処罰対象とするのは過剰な規制ではないかという意見もあるかもしれない。

しかし、今回の法改正の趣旨は、法の制定から12年以上が経過した今日では、ID・パスワードを登録するサービスの数が大幅に増え、人々は同じID・パスワードを複数のアクセス制御機能に使い回して登録せざるを得ない状況になったという情勢変化に対応したものである。

実際、3年ほど前から、不正アクセス事件の原因として、他のサイトで流出したID・パスワードが入力されているのではないかとの疑いがもたれるようになっていた。

• iTunesストアの不正アクセス被害で問題にすべきポイントは何か, 高木浩光＠自宅の日記, 2010年2月17日
• 「おまえがパスワードを流出させたんだ」と決めつける迷惑な人々, Web屋のネタ帳, 2008年9月10日

このような疑いはこれまで憶測でしか語ることができず、検証が行われたこともなかったが、今回の法改正に際して警察庁が調査を開始しており*3、ひとまず以下の結果が出ている。

• 侵入、100回に4回成功 不正アクセス「ログイン攻撃」 警察庁調査, 朝日新聞2012年3月10日夕刊

  大量のIDとパスワード（PW）の組み合わせを次々に自動入力してシステムへの侵入を試みる「ログイン攻撃」の実態を、警察庁が調べたところ、100回に4回もの頻度で侵入されていたことがわかった。同庁は、他人になりすました取引やメールの盗み見などに悪用されている恐れもあると見て、不正アクセスの実態把握に乗り出す。

  調査は昨年、ゲームやショッピングなどのサイト運営企業14社に実施した。うち8社が、1カ月間に約265万回の攻撃を受け、約10万回不正侵入されていた。

  （略）警察庁幹部は「有効だとわかったIDとPWは、売買され、悪用される」と見るが、実態はわかっていない。（略）同庁幹部は（略）「同じPWなどを使い回す人は多く、1社が黙っていれば被害は広がる。情報は攻撃対象や手口を分析し対策にいかす」と説明している。

今後この調査が進めば、どこかで流出したID・パスワードのリストが「ログイン攻撃」（「大量のIDとパスワードの組み合わせを次々に自動入力してシステムへの侵入を試みる」）に使われている事実が立証されるかもしれない。

「同じパスワードの使い回しをする奴が悪い」という考えの人もいるだろうが、私はそれに同調しない。自己防衛策として「パスワードを使い回ししないようにすると良いですよ」とするアドバイスは結構だが、「パスワードの使い回しをしてはならない」ことを前提とした社会になるべきではない。同じパスワードを使い回す自由がある。

このような状況に鑑みて、今回の法改正は、当初の目玉であったフィッシング行為の禁止（7条）の他に、識別符号の不正な流通を防止する禁止規定も設けたのである。このことについて、警察庁の「不正アクセス禁止法改正Q&A」は次のように説明している。*4

• 不正アクセス禁止法改正Q&A, 警察庁, 2012年4月

  Q5 改正法により禁止・処罰範囲が拡張される助長罪（第5条）について教えてください。

  A 改正前は、他人のID・パスワードを、そのID・パスワードがどのウェブサイト（のサービス） に対するID・パスワードであるかを明らかにして、又はこれを知っている者の求めに応じて、無断で第三者に提供する行為を禁止・処罰の対象としていました。

  しかし、近年、一人の人間が利用するコンピュータのサービスの数が増加しており、同一のID・パスワードを多数のサイトで使い回す例が一般化しています。その結果、提供されたID・パスワードがどのウェブサイト（のサービス）に対するものかが明らかでなくとも、多数のID・パスワードを入力すれば一定程度の割合で不正ログインに成功する場合があることから、今回の改正により（略）他人のID・パスワードを提供する行為が全て禁止され、違反者は（略）こととなりました。

今回の改正では、識別符号の不正な流通を防止するため、提供の他に、取得と保管も禁じている。

（他人の識別符号を不正に取得する行為の禁止）
第四条 何人も、不正アクセス行為（第二条第四項第一号に該当するものに限る。第六条及び第十二条第二号において同じ。）の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得してはならない。

（不正アクセス行為を助長する行為の禁止）
第五条 何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。

（他人の識別符号を不正に保管する行為の禁止）
第六条 何人も、不正アクセス行為の用に供する目的で、不正に取得されたアクセス制御機能に係る他人の識別符号を保管してはならない。

不正アクセス行為の禁止等に関する法律 最終改正：平成二十四年三月三十一日法律第十二号

このように、他人の識別符号を取得する行為（第4条）や保管する行為（第6条）も禁止されているが、これらはいわゆる「目的犯」であり、不正アクセス行為の用に供する目的がなければ違法でない。「不正アクセス行為の用に供する目的」とは、自分自身が不正アクセス行為に及ぶ際に使うつもりがある場合や、自分以外の誰かが不正アクセス行為に及ぶ際に使われるであろうことを期待している場合など、そのような目的がある場合を指す。

したがって、今回Pastebinに晒されたリストを閲覧したとしても、（閲覧しただけで取得には当たる*5が）それだけでは（不正アクセス行為の用に供する目的がなければ）4条違反でないし、閲覧したリストをハードディスクに保存したとしても、それだけでは（不正アクセス行為の用に供する目的がなければ）6条違反ではない。（加えて、6条では、保管が違法となるのは「不正に取得された」他人の識別符号に限られている*6。）

単純所持罪ができたわけではないので、不正アクセス目的取得罪とか、不正アクセス目的保管罪と言うべきものだろう。*7

今回の騒動で、Pastebinに貼られた識別符号を閲覧した人、保存した人はかなりの人数にのぼると思われるが、不正アクセス行為の用に供する目的がなければ違法でないので、そこを心配することはない。

しかし、提供（第5条）は違う。第5条は目的犯ではない。不正アクセス行為の用に供する目的がなくても、単純に他人の識別符号を（利用権者やアクセス管理者以外の者に）提供したら、それだけで違法である。

このことは、改正前4条でも同様で、「不正アクセス行為を助長する行為」として禁止されている。不正アクセスを助長する行為は慎むべきとして単純に禁止されているのである。「悪気はなかった」は通用しないのであるが、罰則は軽めで、懲役刑や禁固刑はなく、30万円以下の罰金とされている。

5条違反であっても、12条1項2号に規定されている通り、「相手方に不正アクセス行為の用に供する目的があることの情を知って識別符号を提供した」場合の罰則は、1年以下の懲役又は50万円以下の罰金となっており、目的犯である4条、6条と同じ重さに規定されている（そうでない単純提供の場合は第13条の規定が適用される）ように、不正アクセス目的の有無で罪の重さが差別化されている。

そのことからも改めて認識させられるように、相手方に不正アクセス行為の用に供する目的があることの情を知っていなくても、他人の識別符号を提供するのは、罰金刑のある違法行為なのである。

このことに気付かずに、ついつい、晒されているID・パスワードをさらに広めてしまう過ちを犯してしまいがちな予感がするので注意したい。

なお、これが禁止されてしまうと、従来行われてきたような、パスワード流出の事実を通報したり、注意喚起することができなくなってしまうのではないかとの懸念が出てくるわけだが、5条では、（改正前4条にはなかった）「業務その他正当な理由による場合を除いては」との要件を設けて、違法となる範囲を狭めている。

「業務その他正当な理由」とは何なのかだが、刑法改正のときの「正当な理由がないのに」の要件は何ら限定するものにならないという刑法学者の見解とは違って、このような法定犯（行政犯）の「業務その他正当な理由による場合を除いては」という条文はちゃんと意味を持つのだそうだ。警察庁の「不正アクセス禁止法改正Q&A」は次のように説明している。

• 不正アクセス禁止法改正Q&A, 警察庁, 2012年4月

  Q6 改正により「業務その他正当な理由による場合」を除いて他人のID・パスワードを提供する行為が全て禁止された（第5条）ということですが、「業務その他正当な理由による場合」とはどのような場合を言うのですか。

  A 「業務その他正当な理由による場合」とは、社会通念上、正当と認められるような場合をいいます。例えば、

  • 情報セキュリティ事業者が、インターネット上に流出しているID・パスワードのリストを契約している企業に提供する行為
  • インターネット上に流出している他人のID・パスワードを発見した者が、これを情報セキュリティ事業者や公的機関に届け出る行為
  • ID・パスワードとしてよく用いられている単純な文字列を、ID・パスワードとして設定すべきでないものとして示す行為

  等は、不正アクセス行為を防止する目的で行われるものであり、「業務その他正当な理由による場合」に該当します。

  また、

  • 情報セキュリティに関するセミナーの資料等において、ID・パスワードのインターネット上への流出実態を示すために実際に流出したID・パスワードのリストを掲載する行為

  等も、流出実態の危険性を訴えることや対応策を検討することを目的に行われるものであるので「業務その他正当な理由による場合」に該当します。

この手の解説に出てくる例示は、確実なものだけが書かれているものなので、これらに該当しないケースはどうなのかという疑問はいっぱいあることだろう。

たとえば、流出しているパスワードを発見した者が、「情報セキュリティ事業者や公的機関」以外（たとえば報道機関に）に通報するのはどうなのかとか、不正アクセス行為を防止する目的で、知り合いのアクセス管理者に（そのアカウントをロックしたりパスワードリセットした方がいいと奨めるために）流出パスワードのことを個人が（情報セキュリティ事業者でない者が、契約なしに）親切で教えてあげるといった行為はどうなのか。

少なくとも、いくら不正アクセス行為を防止する目的を標榜していても、「自分のID・パスワードが流出していないか確認しよう！」と不特定多数に流出パスワードを広める行為は、除外されにくいのではないか。そのような目的では、パスワードまで知らせる必要はなく、IDだけを知らせるとか、IDを隠したまま該当の有無を知らせるだけで足りる。