（その5）兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました

目次

はじめに：前提知識

CoinHive事件に皆さん夢中になっているので、誤解されないよう再確認です。

いま私が追求している兵庫県警の案件は、CoinHive事件とは別です。いわゆる「無限アラート事件」です（Wikipedia-無限アラート事件）。これは兵庫県警が、無限ループでポップアップを出すだけのジョークプログラムへリンクを張った3名を家宅捜索し、2名を書類送検、1名を補導（その後、児童相談所へ通告）した事案です。

混同しないでくださいね。繰り返しますが、CoinHive事件ではなく、無限アラート事件です。

「無限アラート事件」という呼び名は正しいのか（集合論）

いきなり余談ですが、私は理系の大学院を一応出ているので、こう簡単に「無限」という言葉を使われることに非常に抵抗があります。皆さんは無限というと「なんかすごいデカいのがある」程度にしか思っていないでしょう。しかし「無限」にはいくつか種類があり、大小関係があります。たとえば自然数全体の集合は「数えられる無限」なので可算無限であり\aleph_{0}（アレフゼロと読みます）で表します。一方、実数全体の集合は「数えられない無限（非可算）」なので、\aleph （アレフ。ゼロが付かない）です。そして\aleph_{0} ＜ \aleph はちゃんと証明されています。そうです、無限にも「大きい無限」と「小さい無限」があります。

ですから数学者は、無限の大小を表現するために「濃度」という概念を使います。今回の無限アラート事件は、forループでincrementに回すだけですから明らかに可算無限、アレフゼロです。ですから数学的に正確に、「可算無限アラート事件」と呼ばないと、大学でこの辺をうるさく言われたA教授に私は怒られてしまいます。

しかし長いので、渋々ですが「無限アラート事件」と以後は書きます。A教授には見つからないようにします。

進捗報告

前回の公開決定を受け、兵庫県警へコピー代など料金を添えて正式に送付依頼を郵送しました。おさらいになりますが、依頼した文書は以下です。

兵庫県警において刑法第百六十八条の二又は第百六十八条の三（不正指令電磁的記録に関する罪）に基づく取締りその他の運用を行うにあたり、どのような内容をもって犯罪行為とするかの構成要件等を記載した文書（具体例を含む）

なお料金は定額小為替が指定されていたため郵便局に行きましたが、「定額小為替の支払いは現金のみ」というトラップにかかってしまい、完全キャッシュレス生活を送っている私は「350円が払えない!」という重大インシデントが発生してしまいました。これは「コンビニATMに走る」という、非常に難しい作業を成功させることで乗り切りました。

なお、「ATM」「ターミネーター2」という2つの単語を組み合わせると、このブログから突然にして犯罪臭がしてしまいますので、はてブでコメントを付けられる場合も「ターミネーター2」は禁句でお願いします。

というわけで、今回の進捗はこれだけです。なお郵便追跡しましたが、まだ日曜なので到着していません。月曜日に到着して、そこから数日で処理されて返送されると、来週末くらいでしょうか。

f:id:ozuma:20190414225028p:plain

よくある質問

質問というか、単に私が言いたいことだけコーナーになりつつありますが続けます。自分のブログなので好き勝手にやります。

CoinHive事件は（控訴されたけど）無罪が出たから、少しは安心できる？

いいえ。全く安心できません。

検察側が控訴したことも、大きな理由の一つです。なお、横浜地検の控訴に対して言いたいことはテキストでも10MB以上ありますが、今後の裁判に影響があるとモロさん含め関係者に多大な迷惑を与えてしまうため、敢えて私は裁判に関しては何も言いません。

しかしそれよりも、CoinHive事件と私が危惧している「セキュリティエンジニアや研究者が逮捕されるのではという危惧」は、ケースが全く異なるからです。

本記事の「その1」に書きましたが、私や友人のエンジニアは脆弱性診断（セキュリティ診断・セキュリティテスト）やペネトレーションテストを専門としています。ペネトレーションテストでは悪意のある攻撃者が実際に侵入できるかを試すため、本物のマルウェアや本物のHackingツールを用い、またその場で侵入のためのコードを書いたりします。その研究・検証のため、自宅にも本物のマルウェアや本物のHackingツールを持っています。Pen Testは本物の攻撃者と同じ、いやむしろそれ以上の技術力を持って行わないと意味が無いためです。

つまり私や友人のエンジニアは、検証・研究のため、実際に「人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録」……すなわちマルウェアを、作成・提供・供用・取得・保管しているのです。

また現在、若い人の間でセキュリティに興味のある方が多いことは皆さんもご存じでしょう。技術レベルの高い方は、実際に脆弱性を突いて攻撃を行うExploitコードを書き、ブログに公開などしています。しかし、それらExploitコードは、法律上は「その意図に沿うべき動作をさせず，又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録」にあたるマルウェアです。

ここで、法律策定時に法務省が掲載した以下のガイドラインがあります。

8ページの、「正当な理由について」を見てみましょう。

ウイルス対策ソフトの開発・試験等を行う場合には，自己のコンピュータで，あるいは，他人の承諾を得てそのコンピュータで作動させるものとして，コンピュータ・ウイルスを作成・提供することがあり得るところ，このような場合には 「人の電子計算機における実行の用に供する目的」が欠けることになるが，さらに，このような場合に不正指令電磁的記録作成・提供罪が成立しないことを一層明確にする趣旨で「正当な理由がないのに」との要件が規定されたものである

引用元：法務省刑事局 「いわゆるコンピュータ・ウイルスに関する罪について」（なお本引用は法務省の出したガイドラインから行っており、これは著作権法第13条の2に従い違法ではありません）

全体の文章も読めば分かりますが、このガイドラインは簡略化しすぎており、ウイルス対策ソフトの事例しかありません。「不正指令電磁的記録に関する罪」の法律は非常に曖昧な条文であり、「運用でカバー」を前提としているため、法務省はこのガイドラインを令和元年のこの時代に合わせて更新するべきです。それに続き、条文の変更を前提として動くべきです。それをしないで警察の冤罪逮捕を見て見ぬフリをするのであれば、法務省にも重大な責任があります。私はこれも見逃すつもりはありません。

また私のようなPen Tester以外にも、マルウェアを扱う仕事はセキュリティ業界に数多くあります。代表的なところでは、SOCアナリストやフォレンジックエンジニアでしょうか。彼ら彼女らの多くもセキュリティ大好きなので、研究目的でマルウェアの動作や通信先を探るため、自宅でもマルウェア解析をする人は多いです。当然ながら、自宅に本物のマルウェアを保管しています。彼ら彼女らの仕事を、今の警察官に理解させられる自信は、私にはありません。（警察捜査でフォレンジックは行うため、そちらは多少理解がある、かも、しれません）

ですからこのまま放置していると、私や友人は逮捕されます。会社で業務中ならばともかく、自宅で検証・学習しているところに踏み込まれ逮捕されれば、今の警察のやり方では「正当な理由」と「目的」をでっち上げることは簡単でしょう。「これで××を攻撃しようとしたんじゃないの?」「でも、誰かを攻撃するために作ったんだよね?」「試してみたかったんじゃないの?」「反省している?」「こんなの作ってること、親はどう思う?」。そうして「自白」して調書を取られてしまう状況が簡単に想像できます。実際にCoinHive事件は、そうして報道されているだけでも16人が検挙されているのです。

Pen Testerの友人の中には、国際カンファレンスで講演するほどの高い技術を持っている方もいます。私は、そのような日本のトップレベルのセキュリティ人材が逮捕されるという、日本にとって不幸しか生まない事態を危惧しているのです。そしてその危惧は、これまでの警察のやり方を見る限り、決して「大げさ」でもなければ「怖がりすぎ」でもありません。前にも書きましたが、逮捕歴が付くだけでもアメリカはESTAでの渡航が不可となり都度ビザの申請となります。略式起訴で有罪判決を受け前科が付けば、H-1Bビザは絶対に降りないでしょう。将来アメリカで働きたいと思っている人は、人生を破壊されます。

「何も法律違反していないのに警察に目を付けられたらアウト、そして人生が破壊される」。それが過去の事件から得られる事実であり現実です。

前回の記事で、都道府県警の上は警察庁って書いてたけど、運営上は各都道府県だよ?

はい。実は前回、その辺は面倒なので説明をバッサリ省いちゃいました。誰かに突っ込まれるかな〜と思いましたが、誰にも突っ込まれませんでした。寂しいので自分でツッコミます。

もう一度、みなさん警察のしくみを見てみましょう。「国の警察機構図」と、「都道府県の警察機構図」がありますね。そして、警察庁は都道府県警察を「指揮監督」し、一方で都道府県公安委員会は都道府県警察を「管理」と書かれています。

そう、実は運営上は兵庫県警は警察庁ではなく、兵庫県公安委員会の下にあります。そして組織図を見ると、トップは兵庫県知事です。では兵庫県警は、兵庫県公安委員会を通じて兵庫県知事の通達を受けて動くのでしょうか? でも、現実には警察庁から通達を受けていますね。なぜでしょう?

答えは、警察法にあります。あんまり一般の方には知られていない法律ですが、警察官になるには学ばないといけない法律なので、警察官は必ず法律の存在は知っています。

警察法 第十六条の２

警察庁長官（以下「長官」という。）は、国家公安委員会の管理に服し、警察庁の庁務を統括し、所部の職員を任免し、及びその服務についてこれを統督し、並びに警察庁の所掌事務について、都道府県警察を指揮監督する。

はい、この通り、法律ではっきりと「警察庁長官は都道府県警察を指揮監督する」と書かれています。だからこそ警察庁のWebページでも条文に合わせて「指揮監督」すると書いていたわけです。

このような「ねじれ」が起きている理由は、私は法律の専門家ではないので正直背景はよく知りません。ただ、警察法は第二次大戦後にGHQが国家警察を解体してその後の策として作られ、改正の際も国会で乱闘騒ぎが起きるなど相当揉めた法律のため、その辺に何かあるのかもしれません。法律に詳しい方がいれば、note.muなどで解説してください（他力本願）。

警察庁の責任

さて、実は情報公開請求をした「その1」からずっと書くのをガマンしていたのですが、IT議論のSUGAI様が警察庁の通達「丁情対発第108号・丁情解発第27号」の全文入手に成功したためようやく好き勝手に書きます（これまでは、Webサイトに「概要」しか掲載されていなかったのです）。

f:id:ozuma:20190414230955p:plain

引用元：警察庁の施策を示す通達(生活安全局) - 情報技術犯罪対策課 (なお本引用は著作権法第32条に定められた適切な範囲で行っており、これは違法行為に当たりません)

まず第一に押さえるべきpointは、今回の兵庫県警による「無限アラート事件」冤罪事案の原因は、確実に警察庁にもあるということです。

検挙数とノルマ

皆さまご存じの通り、警察は検挙数のノルマがあります。今回の兵庫県警による摘発も、間違いなくノルマ達成のためです（推測にすぎないのですが、敢えて断言しちゃいます）。つまり去年から今年にかけての、大量のサイバー犯罪（その多くは冤罪ですが）大量摘発は、この検挙数ノルマの通達が原因です。

47都道府県警それぞれに、無意味に分割された47個のサイバー犯罪対策課の惨状が分かっていれば、そんなに簡単にサイバー犯罪の検挙数を上げられるわけが無いことは自明です。それなのに、敢えて厳しいノルマを通達すれば、当然のことながら発生するのは微罪逮捕、冤罪逮捕などの「でっちあげ検挙」です。でっちあげが発生することを承知の上でGoサインを出したのならば、通達した組織・人物の責任は極めて重いと言わざるを得ません。

そして、中でも決定的となった通達が、平成31年2月15日付の警察庁丁情対発第108号・丁情解発第27号、「不正指令電磁的記録に関する罪の取締りの推進及び取締りに当たっての留意事項について」です。

警察庁通達 丁情対発第108号・丁情解発第27号

問題の通達ですが、全文3ページは、IT議論のSUGAI様が「丁情対発第108号・丁情解発第27号」として公開されています（SUGAI様のページのPDFは26ページありますが、これは法務省刑事局が平成23年に通達したものも奈良県警が一緒に公開したため、オマケに付いているためです）。なお概要版は、警察庁のWebページで公開されています。こういう場合は概要版の方が「結局何をどうしたいのか」がはっきり分かるので、まずは概要版を見ることをおすすめします。

さて概要版は非常にシンプルなもので、以下の1行だけです。

近年のサイバー犯罪情勢を踏まえ、「不正指令電磁的記録に関する罪」について、運用上の留意事項を示した上で、各都道府県警察において積極的な取締りを実施するよう指示したものである。

上記引用元：丁情対発108号等「不正指令電磁的記録に関する罪の取締りの推進及び取締りに当たっての留意事項について」概要より（なお本引用は警察庁通達から行っており、これは著作権法第13条の2に従い違法ではありません）

つまり、警察庁から全国47都道府県警に、「不正指令電磁的記録に関する罪」の「積極的な取締り」へハッパをかけたわけです。ここまでの理解は簡単ですね。

では本文の方を読んでいきましょう。評価すべき点としては、「国際捜査共助の枠組みの活用」として、「国外サーバの場合はICPOルート等を活用し、関係する外国治安機関に積極的に情報提供せよ」というものがあります。素晴らしいですね。ただし日本の警察にはTransparencyが無いので、どのくらいやっているかは見えません（データを公開していたら私の見逃しでありミスです。すみません）。なお私は国外サーバにフィッシングサイトがある場合などは、JPCERT/CCを通して該当ホスティング会社等に積極的に情報提供し、また該当先のAbuse contactにメールもしています。ですからこの通達を見ると、警察から表彰してもらってもよいですね。

もう一つ評価すべき点があります。「2 不正指令電磁的記録に関する罪の取締りに当たっての留意事項」として、本罪が成立しないケースを例示して釘を刺していることです。ただ、穿った見方をすれば、これは現場が暴走したときに「警察庁としてはきちんと留意するよう通達した」という単なる保険・アリバイかもしれません。これは推測でしかないのでこれ以上ツッコミません。

さて一方、気になる文章は多数出てきます。ITmediaで岡田有花記者により記事化されていますので、そちらを見る方が分かりやすいかもしれません。ITmedia「『不正指令電磁的記録の罪』積極的な取り締まりを」警察庁の2月の通達、奈良県警が全文開示

1 積極的な取締りの推進

...(snip)...被害が拡散しやすい不正指令電磁的記録、挙動があまり認知されていない不正指令電磁的記録等を重点的に検挙するなど、犯罪抑止効果も企図した積極的な取締まりを推進すること。

3 積極的な検挙広報の推進

...(snip)...該当する行為の取締まりを通じて法の趣旨が広く国民に周知されるよう積極的な検挙広報を実施し、本罪に抵触する違法行為の蔓延防止に努めること。

とても恐ろしい通達です。検挙された者を、積極的に「晒し者」にして国民を脅せ。と警察庁が全国47都道府県警に正式に通達しているのです。そもそも逮捕された時点では無罪推定が原則であり、有罪かどうかを決めるのは警察では無く裁判所です。なぜ警察庁は、勝手に検挙した国民を有罪と決めつけて晒し者にしようとするのでしょうか。

おそろしい。本当に恐ろしい通達です。私はこれを読んで、背筋がゾッとしました。

さて、警察庁は2019年2月、誇らしげにサイバー犯罪の検挙数をtweetしました。

f:id:ozuma:20190330025251p:plain

引用元：警察庁のtweet 17:38-2019年2月14日 https://twitter.com/NPA_KOHO/status/1095965518870134784

（たぶんそのうち警察庁はこのツイートを消すので、スクリーンショットで引用します。なお引用は著作権法第32条に定められた適切な範囲で行っており、これは違法行為に当たりません。）

これは何を意味するのでしょうか。まだ裁判もせず、有罪か無罪かも分からない、冤罪で検挙したかもしれない人達を晒し者として、国民を脅すことが目的でしょうか。とても恐ろしいことです。

その他の通達

平成31年2月15日付の警察庁丁情対発第108号・丁情解発第27号以前から、警察庁からは通達が出ています。ちゃんと公開されています。

警察庁の施策を示す通達(長官官房)

https://www.npa.go.jp/laws/notification/kanbou.html

これらを読んでみてください。「お前ら、サイバー犯罪の検挙数を上げろ」という警察庁から各都道府県警への指示が透けて見えてきます。

無限アラート冤罪事件を生み出した根本原因は、できもしないことが分かっており、「でっちあげ検挙」「冤罪」が発生することが十分予測される状態で「サイバー犯罪の積極的な取締り」を指示した、警察庁の一連の通達です。ですから警察庁にもとても重い責任があります。

兵庫県警の責任について

ここまで長々と警察庁の責を問いましたが、もちろん、今回強引な捜査を行い国民の人権侵害を行った兵庫県警の罪が消えるわけではありません。無限アラート事件は完全にでっちあげ検挙であり冤罪です。

兵庫県警は兵庫県警で、今回の「でっちあげ検挙」を正式に謝罪し、責任者がきちんと責任を取り、そして二度とこのような冤罪事案を起こさないよう、再発防止策を講じなくてはいけません。そうしなければ、同じ過ちを繰り返し続けます。

そのActionが無い限り、私は兵庫県警への追及をやめることはありません。

私への連絡先

再掲です。

【PR】淡路島観光

兵庫県ではなく徳島県固有の領土である淡路島ですが、「淡路島観光ガイド・あわじナビ」がよくできているかと思います。もっとも有名な話としては、やはり「古事記」にてイザナギとイザナミが海をかき回して最初に生まれた島が淡路島である、というものでしょうか。上記あわじナビで、神話ゆかりの観光名所が紹介されています（淡路島の歴史と神話）。

なお淡路島へ渡る際は、徳島県の大鳴門橋から渡ることをおすすめします。ここには渦の道と呼ばれるちょっとした観光スポットがあり、床がガラス張りとなっているため、なかなか壮観な景色を見ることができます。有名な鳴門の渦潮は、写真で見られるような立派な大渦はなかなか見られませんが、ちょっとした渦はいつもできているので満足できるかと思います。

なお本州から渡る場合は、兵庫県を経由して明石海峡大橋を渡ることになります。注意して頂きたいのは、淡路島は徳島県固有の領土であるため、明石海峡大橋を渡り淡路島に着けばそこは徳島県です。道路標示などが「兵庫県」となっていますが、騙されてはいけませんよ。

（つづく）

（その4）兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました

breaking news

最初に、ニュースを入れておきます。

既にご存じの方も多いでしょうが、CoinHive事件について、一審で無罪判決だったモロさんに対して横浜地検が判決に不服として控訴しました（コインハイブ事件で検察側が控訴　無罪判決に不服）。これにより高等裁判所で裁判が続くこととなりました。非常に、非常に残念です。

今後の裁判に影響があると多大な迷惑をかけると思いますので、具体的な問題点の指摘等は私からは控えます。ただ、やはり、本当に残念です。

これで日本のIT分野における国際競争力は、確実に遅れることでしょう。既に取り返しの付かないレベルに達しつつあります。

これまでのあらすじ

友人から、最近、以下のような意見を頂きました。

最近のお前の記事は、似たようなタイトルでよく分からん。まず、「そのｎ」は記事先頭に書かないと後ろが切れてキレる、前に書け。それから毎回、あらすじリンク集を付けてくれ。前の記事が追いにくい。

なるほど。持つべきものは友人です。というわけで、利便性のため今回からあらすじリンク集を付けることにしました。ORDER BY date DESC(降順ソート; 新しいものが上)です。

進捗報告

前回の情報公開請求で期限が4/10でしたが、本日に兵庫県警から封書が届きました。その気になる中身ですが……部分公開ではありますが、「公開決定通知書」が届きました。これは完全に予想外でした。

てっきりもう一度延長してくるかと思っていたので、迅速に処理してくださった兵庫県警職員の方には、お礼申し上げます。

内容について

以下に全て公開します。公開決定通知書1枚＋「別紙2枚」の3枚です。

別紙1の冒頭に書かれておりますが、公開されるのは以下の文書です。

  • 生活安全警察の基本
    • サイバー犯罪対策課４頁「コンピュータ・ウイルスに関する事案認知時の対応チャート」
  • サイバー相談対応要領
    • 「Case1からCase4」
  • 不正指令電磁的記録に関する罪の取締りの推進及び取締りに当たっての留意事項について

公開決定通知書

f:id:ozuma:20190410234249j:plain
公開決定通知書

f:id:ozuma:20190410234336j:plain
別紙1

f:id:ozuma:20190410234428j:plain
別紙2

考察

まず今回、一部で兵庫県警独自作成の文書が公開されるようです。私は警察庁の通達には基本的に目を通していますが、そこに過去掲載されていたことが一度もない文書があります。（かつ、検索しましたが見つかりませんでした）。

ということは、「不正指令電磁的記録に関する罪」の取締りを行うにあたり、兵庫県警は他の都道府県警とは違う独自基準を持っている可能性があります。また純粋に、犯罪構成要件を兵庫県警がどう考えているのかも、大変気になります。何度も書いていますが、それを知るために私は情報公開請求をしたのです。私と私の友人が逮捕されないためです。

文書が開示されましたら、無限ループJavaScriptへのリンクを貼っただけの行為に対して家宅捜索を行ったことが法律的に妥当かどうか、キッチリと見させていただきます。

また今回、一部が非公開となりました。内容を見ないとなんとも言えませんが、現時点では納得できる理由かと考えます。なお全体的に、一時延長をしてきた時と比べ、文書が「しっかり」しています。分かりやすく言えば、「官公庁慣れした人が書いた文章」っぽいです。バックに策士のブレーンが付いたのかもしれませんね。

Next Action

あとはコピー代を支払って取り寄せるだけですので、速やかに支払います。全文が届きましたら、こちらのブログでまた公開します。

またこれとは別に、前回書いた「第2の矢」は進めております。ただちょっと時間がかかりそうなので、これは相当先になるかもしれません。内容は書きませんし、聞かれても答えません。

さらにこれとは別に、「第3の矢」を用意しています。これはdiscloseの時期が難しいので、IT議論のSUGAI様と相談して決めます。（IT議論-「不正指令電磁的記録に関する罪」 各都道府県警への構成要件等の開示請求状況）

また本日、CoinHive事件について横浜地検が控訴しました。これで私も覚悟を決めたので、「第4の矢」も用意することにしました。これも相当時間がかかりますが、成功すれば確実な効果をもたらせるので、やろうと思います。やはり内容は書きませんし、聞かれても答えません。ただしひとつ言うならば、私は「一匹狼」なのでずっと一人でやる予定でしたが、そのポリシーをこの第4の矢では捨てます。

今回言っておきたいこと：兵庫県警の現場の方を過剰に責めるのはやめましょう

「大事なことははじめに書け」と何度も教育されましたが、文章の構成上、後ろになってしまいました。A教授、すみません。

これまでと真逆のことを突然言うようですが、皆さん、兵庫県警の現場の方を過剰に責めるのはやめてください。意地悪をして「たたく」のもやめてください。それでは何も解決しません。

一番ダメな幕引きは、兵庫県警が今回の事件の担当者を懲戒し、「誤った判断をした捜査だった。担当者は処分した。」でオシマイにすることです。そして残念ながら、この幕引きとなる可能性が非常に高いと考えています。こうなってしまうと、繰り返しますが問題は何も解決しません。また数年経ったら、どこかの県警で同じ事件が発生し、叩かれ、担当が懲戒を受けます。それが永久に繰り返されます。

エラい人はいつでも責任を現場に押しつけ、そして貧乏クジを引くのはいつも現場の人間です。今回もそうなる可能性が高いため、それだけは無しだよと釘を刺しておかないといけません。組織の責任は組織が取らなくてはいけません。残念ながら、私にできることは、こうしてここでブログに記すだけですが……。

今回の冤罪事件（敢えて断言します）の原因は、多くの要因があると思います。いくつかは隠し球としてdiscloseしませんが、そのうちの一つは、間違いなく「曖昧すぎる法律の条文」です。

「不正指令電磁的記録に関する罪」は、この機会に条文の変更を前提として、きちんと国会・法務省で議論されるところまで持って行きたい。これが私の希望です。兵庫県警を叩くだけで解決する問題ではありません。ですから、そのレベルに到達するまで私は動きますし、現場を叩いて終わり、だけにすることは絶対にいけません。これはむしろ「現場のせいにして幕引き」にしたい人の思惑通りになってしまいます。

もし読んでいれば：兵庫県警の職員の方々へのメッセージ

素直に悪かったことは悪かった、と認めて欲しいです。今回の捜査は、強引すぎる点も多々見受けられます。突然の家宅捜索というのは、警察の皆さまが考えるよりも、ずっとずっと人の心を傷つけるのです。

しかし、あなた達はエラい人のスケープゴートになる可能性があります。自らの保身に注意してください。エラい人が決めたことの責任は、エラい人が取るのです。組織として行った行動の責任は、組織のトップが取るのです。

正しい職務規程に従い、正しい職務を行ったのならば、現場の人間に責任はありません。兵庫県警という組織に誤りがあったのならば、責任を取るのは兵庫県警のトップです。各都道府県警への指示に誤りがあったならば、責任を取るのは警察庁です。そして警察庁の指示に誤りがあったなら、その責任は国家公安委員会にあります。国の警察機構図はそのようになっています。

国家公安委員会

さて、進捗報告がこれだけで終わってしまってはつまらないので、ひとつTopicsを提供しておきましょう。本当は警察庁を取り上げたいのですが、そちらは隠し球がありすぎるので、今は触れるタイミングではありません。今回は国家公安委員会を俎上に挙げてみます。……と、その前に、皆さんは「警察のしくみ」をご存じでしょうか。念のため説明しましょう。

まず各都道府県警の上に、警察庁があります（警視庁は、東京都の警察組織であり、いわば「東京都警」です。間違えないでください）。警察庁のさらに上部組織が国家公安委員会です。国家公安委員会の上は、内閣総理大臣です。よく分からない方は、以下の「国の警察機構図」を印刷して壁に貼っておきましょう。

また、いわゆる「公安」と、国家公安委員会は別です。いわゆる「公安」は公安警察です。一方の国家公安委員会は行政委員会の一つであり、警察庁を管理するお役所です。お分かりいただけたでしょうか? まぁ、分からなくても置いていきます。

サイバー犯罪と国家公安委員会

さて、国家公安委員会の、サイバー犯罪への専門知識はどの程度のレベルなのでしょうか。何しろ攻殻機動隊がある組織ですから期待できそうです。（嘘です。草薙素子やバトーは公安警察であり、組織が違います。というか、あれはアニメとマンガの話なので現実と混同しちゃダメです）

その前に一点、注意しておきます。忘れないでください。CoinHive事件で検挙されたのはモロさんだけでなく、報道で見る限りでも全国10県警の一斉捜査によって最低16人が検挙されています（共同通信：違法マイニングで16人摘発）。報道されていない人もいるでしょうから、警察による日本最大の大量冤罪検挙事案として、歴史に残る可能性もあります。

さて国家公安委員会では、このCoinHive事件による大量冤罪検挙事案について、一斉検挙があった直後の平成30年6月中旬にどう評価されていたのでしょうか。それは以下の定例委員会の議事を見ればお分かりになると思います。

f:id:ozuma:20190330023853p:plain

引用元：国家公安委員会「定例委員会の開催状況」平成３０年６月１４日（木）

（５）仮想通貨の不正採掘に係る犯罪の一斉集中取締りの実施について

サイバーセキュリティ・情報化審議官から、仮想通貨を不正に採掘させるプログラムを利用した不正指令電磁的記録供用等事件について、宮城県警察等１０県警察が６月１３日までに一斉集中取締りを実施した旨の報告があった。

北島委員より、「各県警察の活動を高く評価したい」旨の発言があった。

川本委員より、「サイト上の広告と同様だという報道もあるが、このプログラムを利用した不正採掘は明らかに犯罪だと思う」旨の発言があった。

安藤委員より、「広告と仕組みが同じでどこが問題なのかと主張する人がいるとすれば、その違いが分かるように、閲覧者の認識、選択肢、パソコン端末への支障、社会的相当性等の点につき比較して丁寧に説明することで理解が得られるので、更に工夫していただきたい」旨、小田委員より、「県警察による良い検挙事例であることのみならず、このような目に見えない犯罪への注意喚起という面からも、一般の方にも分かるように丁寧に広報をしていただきたい」旨の発言があった。

気持ち悪いほど全員が絶賛です。自分たちは警察法第五条および第十七条にのっとり、警察庁を管理・統轄する立場である、ということをそもそも理解しているのでしょうか。念のため、警察法を以下に引用します。

警察法

第五条　国家公安委員会は、国の公安に係る警察運営をつかさどり、警察教養、警察通信、情報技術の解析、犯罪鑑識、犯罪統計及び警察装備に関する事項を統轄し、並びに警察行政に関する調整を行うことにより、個人の権利と自由を保護し、公共の安全と秩序を維持することを任務とする。

第十七条　警察庁は、国家公安委員会の管理の下に、第五条第四項各号に掲げる事務をつかさどり、並びに同条第五項及び第六項に規定する事務について国家公安委員会を補佐する。

せめて一人くらいは、慎重論を唱える人がいて欲しかったというのが私の素直な感想です。

特に川本委員の「明らかに犯罪だと思う」という発言は最高にアツくてロックですね。これにはクラウザー様もびっくりです。国家公安委員会の定例会議では、専門知識を駆使して刑法の解釈を論じるのでは無く、「自分が犯罪だと思うかどうか」という主観が優先されるのです。私は「日本は法治国家だ」と中学校で習いましたし、そう思っていましたが、どうやら違ったようです。

なお、これら委員のJavaScriptのスキルはどのくらいか、近年のマルチコアCPUはどのように動作しているのか知っているか、チューリング機械の停止性問題を説明できるか、刑法・刑事訴訟法の専門教育を受けているか、そしてそもそもサイバー犯罪に対して意見できるだけの専門知識・経験があるのか、全て謎です。

国家公安委員会は警察庁の上部組織であり、警察事務を行う警察庁への管理責任を持つ立場です。その日本の警察を統べるトップ組織は、こんなノリです。残念ながらこれが現実です。こんな中、モロさんは冤罪で検挙され、さらには無罪判決を受けながら検察により控訴されました。

私が矛を向けるべき先が多すぎるので、これからの活動もかなりゆるやかになると思います。でもやめることはありませんので、生暖かく見守って頂けますと幸いです。そしてぜひ皆さん、モロさんへの援助をお願いします。これを放置していると、次に逮捕されるのはあなたかもしれないのです。

【付記】淡路島の帰属について

前の記事で私が四国出身であることと、「淡路島は徳島県に所属する」と書きました。これに対し、大量の「いや、兵庫県のものだ」という意見と、1つの「いや、上沼恵美子のものだ」という意見を頂きました。

このためこれらを踏まえ、次のように謹んで訂正いたします。

「淡路島は、兵庫県では無く徳島県固有の領土ですが、現在、上沼恵美子氏に実効支配されています」

（つづく）

兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました（その3）

先日、2019年3月11日、以下の「不正指令電磁的記録に関する罪」に関する公文書公開請求を行いました前回の記事参照。

f:id:ozuma:20190313021254p:plain

ここで請求した文書は、「兵庫県警において刑法第百六十八条の二又は第百六十八条の三（不正指令電磁的記録に関する罪）に基づく取締りその他の運用を行うにあたり、どのような内容をもって犯罪行為とするかの構成要件等を記載した文書（具体例を含む）」です。

これに対し、2019年3月27日に回答が郵送で届きましたので報告します。回答は以下の通り「4月10日までの期間延長」でした。

f:id:ozuma:20190328004517j:plain

これは公開を延長するという意味ではなく、「公開するか非公開とするかの判断を含めて延長する」ということに注意してください。

また延長理由は、「請求内容が複雑であり、公文書の特定が困難であるため、15日以内に公開決定等をすることが困難である。」でした。

考察

期間延長が来ることは予想していたので、そこは特になんとも思っていません。兵庫県情報公開条例 第十一条でも、延長は正当な行為として認められています。

ただし「延長の理由」について、一般的には事務処理上の理由を挙げるのですが、私はこのような記述ははじめて見ました。そして、これは警察組織としてちょっとあり得ないと思います。私が請求しているのは「不正指令電磁的記録に関する罪」としてみなされる犯罪行為の構成要件を記載した文書であり、つまり何を基準に逮捕なり書類送検を行っているか、を聞いているだけです。

これは当然、現場の捜査員にガイドラインなりアンチョコなりのような形で共有されていないとおかしい。しかし今回の「延長の理由」は「請求内容が複雑であり、公文書の特定が困難」と書かれています。これは逆に言うと、兵庫県警は「不正指令電磁的記録に関する罪」を取り締まるにあたり何かしらのガイドラインを持っていないし、さらには犯罪の構成要件の特定が複雑かつ困難である（≒よく理解できていない）と、間接的にではありますが自ら言ってしまっているわけです。

となると、「じゃぁ、どういう基準で逮捕・書類送検してるの? その日の気分? それともテキトー?」と言わざるを得ません。残念。いきなり墓穴を掘ってしまいましたね。

いったんまとめ

感情論を出しても仕方ないので、いったんここまでの事実のみをまとめます。

  • 兵庫県警は、不正指令電磁的記録に関する罪の取締りを行うにあたり、どのような内容をもって犯罪行為とするかを、15日の猶予があっても公開・非公開決定をして答えることができませんでした。
  • 兵庫県警が期間延長の回答をしたことにより、未だに兵庫県警がどのような行為を「不正指令電磁的記録に関する罪」と考えているか知ることができず、知る権利が侵害されています。一般市民は、何をしたら兵庫県警に逮捕されるのか、全く不明の状態です。
  • 人事異動があり、兵庫県警の本部長が3月22日に西川直哉氏から加藤晃久氏へ変わっています。兵庫県警・加藤晃久本部長が着任会見-神戸新聞NEXT
  • 「不正指令電磁的記録に関する罪」については、CoinHive事件について2019年3月27日に無罪判決が出ました。conviction rate(有罪判決率：起訴された場合に有罪となる確率)が99.9%を超える日本において、非常に画期的な事件です。ちなみにアメリカのconviction rateは、州によって違いますがおおむね60%～80%です。

なお現在47都道府県警すべて(正確には神奈川県県警と兵庫県警をのぞく45)に情報公開請求を行っている「IT議論」の作成者SUGAI様が、以下47都道府県のまとめ表を作成されています。（この努力には頭が下がります）

Next Action

延長が来ることは予想していたので、淡々と待つだけです。ただ、既に第2の矢を用意しており、並行して撃てるのでそちらへ着手します。自分だけでもできることですが、文章のレビューをしてもらってあわよくば自分の名前では無く弁護士さんの名前で出してもらうため、弁護士さんに頼もうかなと迷っています。(引き受けていいよ、という弁護士さんがいれば、本記事最後の「連絡先」へメールでご連絡ください。ただし、料金はちゃんと払いますが、簡単な文書作成とレビューのみの正直「ショボい」仕事だと思うので、IT・インターネット関連への知識と経験があり、本案件に協力したいという意思を持つ方のみでお願いします) → オファーがあったため現在交渉中のため、いったん止めます

また、第3の矢・第4の矢など、既に全体の絵は描いている(関西弁で「計画を立てている」という意味です)ので、そちらを粛々と実行に移していきます。昨日のCoinHive無罪判決など、今のところ全て私の予想通りに動いているので、上手く行くかな、という感触はあります。

私の今後の動きは、現在47都道府県警すべてに情報公開請求を行っている「IT議論」の作成者SUGAI様へ連絡・相談済みで、定期的に連携して動いております。二人で同じことをやってもムダですしね。そこは分担しています。

なお以前のblogでも書いたとおり、あまり詳しく書くと私の手の内を明かすことになり、兵庫県警関連職員が先回りしてつまらない対抗策を打ってくる可能性があります。そのため詳細な計画はdiscloseしません。抽象的に言うと、兵庫県警が「不正指令電磁的記録に関する罪」について、あのような極めてずさんな捜査を二度とできないように法律面・行政面から淡々と外堀を埋めていきます。

Next Actionへの補足

私の本業はフツーの会社員ですので、当然会社の仕事を優先しております。他の活動をされている方に比べると動きが遅く見えるかもですが、そこはご了承ください。

また、私はセキュリティエンジニアとして研鑽したいのであり、別に活動家や政治家になりたいわけではないので、本業および学習(英語・コンピュータサイエンス・セキュリティの学習)時間を除いた、余裕のある範囲でしか活動しません。そのため、そちら方面のお誘い（何かの政治活動の団体に入らないか、など）はお断りします。

よく聞かれるであろう質問

これまでの行動で、再び色々とご意見・コメントを頂きました。ひとつひとつにリプライするのはキリが無いため、基本的に個別回答はしておりません。そのため以下へまとめておきます。

無限ループスクリプトで、他人にイタズラしたことは事実でしょ。それを肯定するの?

私は、あの無限ループJavaScriptへのリンクを張ることが倫理的に良くないとか、「イタズラはきちんと注意しないと」といった話は一切していませんし、そんなことはどうでもいいのです。今回の無限ループJavaScriptへリンクを張ったことが、刑法168条の2及び168条の3(不正指令電磁的記録に関する罪)に当たるかどうか、兵庫県警が刑法犯の扱いとして家宅捜索／書類送検を行ったのは妥当か、それだけです。

警察も検察も裁判所も、法律の下で動いています。警察が「こんなことしたらあかんで」と注意することと、家宅捜索／書類送検することは全く別のことであり、同列に扱うべきではありません。

今回の事件の反応として、「いたずらだろうと、悪意があったのだから書類送検は当たり前(未成年は補導→児童相談所へ通告でした)」という意見がエンジニア・非エンジニア含め多く見られました。これは非常に危険な考えです。犯罪の構成要件を満たしていなくても悪意さえあれば警察は逮捕できるならば、その先にある世界は警察と検察が刑法・刑事訴訟法を無視して「はい、悪意があるから、あんた逮捕。起訴。」のディストピアです。

警察というのは、国が公認する暴力装置なのです。ですから、暴力装置の合法性は常に注視しなくてはいけません。なお、ここで言う「暴力」とは、一般的な名詞としての「暴力」ではなく、社会学用語の「暴力」であることに注意してください。社会学の本なんて読んでられん、という方はWikipediaで済ませてください。Wikipedia:暴力装置

私は、兵庫県警が、犯罪の構成要件を満たしていないのに家宅捜索／書類送検を行って誤りを犯したと考えています。これが何度言ってもなかなか理解されないので繰り返しますが、刑法犯として扱うことが間違っている（すなわち、警察が法律に従っていない）と言っているのであり、悪意だとかマナー違反だとか倫理的によくないとか、そんなことは話していませんし、今はどうでもいいのです。

今回の無限ループの件と、キミの言っている「セキュリティ情報をブログに書いたり勉強会すると逮捕されるかも」って、ちょっと話が違くね?

これは確かにそうです。私の危惧はWizard Bible事件と同様事例ですので、比べるならばむしろそちらです。

ただし、私がこのたび行動を起こしたのは、今回の兵庫県警による無限ループ事件1つが原因ではありません。これまで警察はサイバー犯罪に対して、信じられないような杜撰な捜査・法解釈を数多く行ってきました。いい加減に歯止めをかけないと、「Qiitaにセキュリティの解説記事を書いたから逮捕」の暗黒未来は本当にやってきます。

以下に、代表的な「警察による杜撰なサイバー犯罪(犯罪じゃない物が多いけど)の捜査リスト」を並べますので、知らない物があれば目を通して欲しいです。

Librahack事件(岡崎市立中央図書館事件)は、不正指令電磁的記録に関する罪ではありませんが、既に10年近く前の事件となるため特に若い学生さんなどで知らない方が多いようです。当時多くの方が動いてまとめてくださっているので、資料はネット上にもたくさんあります。知らなかった方は一度調べてみてください。なおLibrahack事件は、当時の図書館側およびMDIS(三菱電機インフォメーションシステムズ)の動きも非常にマズかったため、利害関係者が多く複雑な事件です。どうか誤解の無いよう、丁寧に読んでください。

最後に、以下のrepeatedlyさんのTweetが、私の考えを全て代弁してくれていますので引用します：

結局のところ、警察組織はどうなればいいと考えていますか?

結論から言うと、現在47都道府県すべてに存在する47個のサイバー犯罪対策課の全てを解体し、日本全体で一つの、サイバー犯罪対策組織に再編すれば良いと考えます。

これは別に、突拍子の無い考えではありません。官公庁は前例があれば動きます。そして、海という専門領域には既に「海上保安庁」があり、特別司法警察職員「海上保安官」がいます。麻薬犯罪はマトリがいます。どちらも警察ではありません。

この前例を元に、同様に、サイバー空間という専門領域の対応のため「サイバー保安庁」を作り、警察官ではなく特別司法警察職員「サイバー保安官」が取り締まれば良いのです。ぜひともラノベやアニメっぽいカッコイイ制服とロゴにして、若者を呼び込みましょう。名称は「攻殻機動隊」でもいいですが、公安ではないので難しいところです。

他国に目を向けると、アメリカは皆さんご存じのFBI、ドイツならばBKA(Bundeskriminalamt; 連邦刑事庁)のように全国的な警察組織が既にあったため、そこにサイバー犯罪課を新設すれば済みました。一方の日本は第二次大戦後、GHQにより国家警察が解体されたためこのような全国的な警察組織がありません。県境および国境が全く関係ないサイバー犯罪に対して、県境で組織するという極めてイビツかつ非効率な状態になっています。

日本の警察は、ただでさえリソースの足りない中、サイバー犯罪対策の要員を無意味に47個に分割しているため、結果としてまともなサイバー犯罪捜査ができていません。ですから、統一的なサイバー犯罪対策組織を作るべきです。

ちなみにヨーロッパは国を超えた組織も強く、Europol(欧州刑事警察機構)が力を持っています。Europolは、皆さん大好きインターポール(もしくは皆さん大好き銭形警部の所属するインターポール)のヨーロッパ版とでも言うべきもので、EU圏での国際犯罪の情報共有・分析、その他付随する訓練などを各国警察へ提供することで国際犯罪対策を支援する組織です。このEuropol配下には、European Cybercrime Centre(EC3)というサイバー犯罪に特化した組織があります。

Europolのnewsroomのページは、なかなか面白いサイバー犯罪のニュースも多く、セキュリティ関連の方は巡回先に入れておくことをオススメします。

ヨーロッパのEU圏はシェンゲン圏とほぼ一致しており、国をまたぐ移動についてパスポートチェックなどの国境検査が無しでスルーです。例えば、フィンランドからドイツに移動する場合、ドイツでの入国審査はありません。このような背景もあり、ヨーロッパは国を超えた組織であるEuropolが強い力を持っています。……というのが私の理解ですが、「それは違うよ!!」とか何かあれば再び以下Googleフォームよりツッコミください。

なおこれらの情報の一部は、Noriaki Hayashi(v_avenger)様に教授頂きました。この場を借りてお礼申し上げます。以下のスレッドを参照ください。ただし、本記事に誤りがある場合、それは私の勘違いや調査不足であり、v_avenger様には何の落ち度もないことを強調しておきます。

お前、なんで関西弁に詳しいの

わたしは四国出身で、大学から大学院まで6年間大阪に住んでいました。好きな漫画は「ナニワ金融道」と「じゃりン子チエ」です。「ホテルニューアワジ」も、正しいフレーズで歌えます。

なお四国民の意地として、淡路島は兵庫県では無く、徳島県に所属させるべきだという過激派です。

連絡先

（その4へつづく）

兵庫県警へ「不正指令電磁的記録に関する罪」の情報公開請求をしました（その2）

2019/03/11(月)に、簡易書留で公文書公開請求書を送付しました(前回の記事参照)。郵便追跡で到着は確認していたのですが、念のため兵庫県警へ電話して受理を確認したので記録します。

なお、本記事の最後に「必ず知って欲しいこと」を付けておりますので、できれば最後まで読んでください。

到着確認の電話

兵庫県警察本部県民広報課　情報センターへTELしました。

電話のやりとり

はじめに広報担当の方が出て、情報センターの方に代わって頂いたため、その部分は省略します。また、各所に「えー」「あー」がお互い入っておりますが、それは省略します。

ozuma「わたくし、○○○○と申します。一昨日に公文書公開請求書をご送付いたしましたが、そちらに届いているか確認したく、お電話させて頂きました」

ご担当「はい、届いております。現在、作業に入っております」

ozuma「了解いたしました、よろしくお願いします。それともう1点おうかがいしたいのですが、情報公開条例第11条では、15日以内に公開非公開を決定するとなっておりますが、この場合の起算日は、いつになりますでしょうか?」

ご担当「こちらが受領した日ということになっております。そのため今回ですと、3/12が起算日となります」

ozuma「なるほど、了解いたしました」

ご担当「ただし、原則は15日ですが、たとえば該当する文書が大量にあるなどの場合、時間がかかるため延長させて頂く可能性がありますのでご了承ください」(※注1)

ozuma「なるほど。分かりました。ご丁寧にありがとうございます。失礼いたします」

ご担当「失礼いたします」

※注1：兵庫県情報公開条例第11条その２に、「事務処理上の困難その他正当な理由があるときは、60日を限度として延長できる」という記述があるため、兵庫県警の延長云々部分の回答は、法的に何も問題ありません。私も納得しています。

補足

兵庫県警察本部県民広報課 情報センターご担当の方には、大変丁寧にご対応頂けました。お忙しい中、ご回答ありがとうございました。

ということで、今回は以上です。……と言いたいところですが、ちょっと私の想定外のことが1つあったため、以下の「必ず知って欲しいこと」を読んでください。

必ず知って欲しいこと

前回の記事では触れなかったのですが、意外に知らない方が多かったためちょっとびっくりしたので、ここできちんと紹介します。昨今の警察の動きと不正指令電磁的記録に関する罪について語る際、以下の知識は必須です。

「不正指令電磁的記録に関する罪」は、過去(2018年)に、自身のWebにセキュリティ記事のWebマガジンを書いていただけの個人が適用され、逮捕／起訴されたという事例があります。しかも起訴猶予ではなく、略式起訴されたため有罪判決で前科が付きました。

業界では、そのWebマガジンの名前にちなんで「Wizard Bible事件」と呼ばれています。詳しくは、私が語るよりも以下の齊藤貴義さん(サイバーメガネさん)、eagle0wlさんの記事を読んで頂いた方がよいので、紹介にとどめます。そしてこの事件に関する以下の2つの記事は、ブログ/Qiita/Twitter等で情報発信をしている、ITエンジニアの皆様すべてに読んで欲しいです。次に逮捕されるのはあなたかもしれないのです。

逮捕されたIPUSIRONさんと私は面識はないのですが、相当苦労をされたとうかがったため、個人的に応援のため以下の書籍を自宅用と会社用に、2冊買っております。また回りにも常に勧めています。実際、応援目的を抜きにしても内容は詳細かつ非常にわかりやすく、良い本だと思います。

暗号技術のすべて

暗号技術のすべて

ハッキング・ラボのつくりかた 仮想環境におけるハッカー体験学習

ハッキング・ラボのつくりかた 仮想環境におけるハッカー体験学習

特に「暗号技術のすべて」は良書で、フロントエンドからバックエンドまで、もはや現在においてはすべてのITエンジニアの基礎知識です。