「予告.in、XSS攻撃を受け不正コードを埋め込まれる」記事へのコメント

何の罪になる？

[ukenerai (36532)]

「予告.in」の中の人は警察に届けたそうですが、攻撃を仕掛けた人は、
何の罪になるんでしょうか？
不正アクセスじゃあないですよね？

犯罪でも犯罪でなくても、この際、「予告.in」が犯罪予告の通報だけ
じゃなくてサイバー攻撃のハニーポット役になって、クラッカーを
捕まえるきっかけになって欲しいもんです。

--
-- う～ん、バッドノウハウ？

Re:何の罪になる？

[shiten (11861)]

過去の判例からみると、ACCSの事件を思い出しますね。
スラッシュドット・ジャパン | ACCS事件でoffice氏に有罪判決 [srad.jp]　←　有罪確定 [srad.jp]

これによると、「アクセスはプログラムの脆弱（ぜいじゃく）性を利用したもので、管理者は想定もしていなかった。アクセス制御機能による『特定利用の制限』がかかっていたといえ、被告の行為は不正アクセスに当たる」とのことです。

どちらにしても、「XSSの脆弱性に対処してないほうが悪い。だから罪にはならないよー」とは日本人の倫理観では言えないと思う。カギが開いてたから空き巣に入りました、と同レベルに感じる。

Re:

[Anonymous Coward]

> 過去の判例からみると、ACCSの事件を思い出しますね。

思い出しませんね。
河合の件は[意図して]個人情報の抜き取りを行い、[意図して]それを公開したわけですから、全然性質が違います。

Re:

[Anonymous Coward]

XSSの脆弱性をついたアクセスは「不正アクセス」になるってことが言いたいだけかと思うんですが。性質とか公開うんぬん以前の話でしょ。

今回の件では皆さん犯罪者にえらく寛容ですな。

Re:

[Anonymous Coward]

> XSSの脆弱性をついたアクセスは「不正アクセス」になるってことが言いたいだけかと思うんですが。

思いません。
プレイヤーが二種類いることをよく考えましょう。

> 今回の件では皆さん犯罪者にえらく寛容ですな。

別に。

Re:

[Anonymous Coward]

セキュリティの事件と言ったらoffice氏と言いたいだけちゃうんかと

Re:

[Anonymous Coward]

全然思い出しませんね。手段がまったく違いますから。officeのアレは、不正アクセス禁止法第三条第二項第二号違反（との地裁判決）。XSSは違法ではない。XSSでその後何を実現したかで、罪になる場合がある。今回のは業務妨害だろう。

これによると、「アクセスはプログラムの脆弱（ぜいじゃく）性を利用したもので、管理者は想定もしていなかった。アクセス制御機能による『特定利用の制限』がかかっていたといえ、被告の行為は不正アクセスに当たる」とのことです。

判決文はそんなロジックじゃない。原典をあたった方がいいよ。