ACCS事件

要点

• 立場当時京都大学の研究員だった男性
• 問われた罪不正アクセス禁止法違反
• 結論2005年3月に東京地裁が懲役8か月、執行猶予3年の有罪判決を言い渡し、控訴の取り下げで確定しました。
• かかった年数最初の捜査から結論まで約1年

問題とされたこと

コンピュータソフトウェア著作権協会（ACCS）のサイトの送信フォームを書き換えて送り、サイトのプログラム本体と、約1,200人分の個人情報を含む記録のファイルを取り出したとされました。脆弱性を見つけたことや発表したことではなく、この取り出しが不正アクセスに当たるかが問われました。

経過

2003年11月8日から2005年6月6日までの記録。日付は出典が示す細かさで載せています。

1. 2003.11.08

   男性が都内のセキュリティイベントで、ACCSのサイトから個人情報を入手した方法と、入手した情報の一部を公開

2. 2004.02.04

   警視庁と池袋署が、男性を不正アクセス禁止法違反と威力業務妨害の疑いで逮捕したと報じられる

3. 2004.05.26

   東京地裁で初公判。男性は入手したことは認め、パスワードなどの制限は無かったとして無罪を主張

4. 2005.01.24

   検察が懲役8か月を求刑

5. 2005.03.25

   東京地裁が懲役8か月、執行猶予3年の有罪判決。男性は同じ日に控訴

6. 2005.06.06

   男性が控訴を取り下げ、一審判決が確定

争点

弁護側は、パスワードなどでアクセスが制限されていなかったので不正アクセスには当たらないと主張しました。東京地裁はこの主張を退けて有罪とし、脆弱性を3か月以上放置し、イベントで手口を公開した後にサイトの管理者へ連絡したことなどを挙げて、セキュリティ研究者の正常な活動の範囲を超えるとしました。弁護側の弁護士は判決後、何が不正アクセスに当たるかが示されず、管理者側の主観で決まる判断になったと不満を述べました。

その後

1. 2005年7月、男性はACCSと個人3人からの損害賠償の裁判で、謝罪と賠償金の支払いによって和解しました。
2. 2006年2月、ACCSはプログラムの提供元とも和解し、一連の争いが終わったと発表しました。