サイバー犯罪が深刻化して、対策が急務な昨今ですが。
取り締まる側の日本の警察は、相も変わらず前時代的な手法で対応しているようで。
無知、不見識を露呈するようなことが散見される・・・というより、サイバー犯罪関連に関しては、まともな捜査、逮捕の方が少ないようにみえますが。
いわゆる「ウィルス作成罪」や「不正アクセス禁止法」が、大分恣意的に運用されていると考えています。
最近、デジタル・フォレンジック研究会で、立命館大学の上原先生が、非常に的を得た、そして理論的な指摘をされていました。
「ウイルス罪の運用が最近変な方向に行ってないか？」
https://digitalforensic.jp/2019/06/24/column569/
書き方はやんわりとはしていますが、やはり警察のやっていることに疑念を抱いています。
（というか、理路整然と警察disってるようにしかみえませんでしたがwww）
まあ、私なら、「だってバカだもん」という、超貧弱なボキャブラリーでＦＡなんですけどね！
「Wizard Bible事件」、「Coinhive事件」、「無限アラート事件」などは、最近の警察がアホ過ぎる代表例ですが、一方で明確な犯罪である、暗号資産盗難のCoincheck、Zaifの事件の対応もありますね。
無限アラート事件
「無限アラート事件」は2019年3月にあった摘発の事例。前に、小3くらいの子供も似たような事例で捕まった（児相に通告）があったかと思います。
この事件でなによりも異様なのが、「ブラクラ」の定義があまりにも拡大解釈しすぎなところ。
「ブラクラ」とは、「ブラウザクラッシャー」、「ブラウザクラッシュ」を示す略語ですね。
逮捕事例では、あくまでアラートのダイアログが、閉じても繰り返し再表示されるだけ。
ブラウザもクラッシュしないし、CPUにこれといって負荷もかかりません。しかも、タブ閉じれば全て解決。
とりあえず、「ブラウザがクラッシュしないブラクラってなんすか？」って聞いてみたい。
あと、どうしてもブラクラというなら、件のプログラムでブラウザクラッシュさせて欲しいものだ。
コードや仕組みを理解できていない上、そういった検証はしていないんだろうな。
というか、「検証」って言葉も知らないんじゃないかな？だってバカだもん。
まあ、仮にクラッシュしたブラウザがあったら、そのメーカーは赤っ恥レベルだけどな！
Coinhive事件
Coinhiveを自分のサイトに設置していて逮捕された事件。2019年3月、一審で無罪判決がでました。
事件のあらましは、当事者がブログに書き綴っています。
なるべく客観的に書かれようとしておられます。もっとも、当事者が書いているため、その点はやはり留意事項ですが。
この事件では、「不正指令電磁的記録に関する罪」の適用の根拠が曖昧なのと、そもそもCoinhiveが不正プログラムになりうる、と注意喚起される前に設置と除去がされたケースに対し、遡って検挙しているように見えるところの不自然さです。
Coinhiveを悪用する事件は海外でもあり、サーバに不正侵入して、マイナーを勝手に設置し、マイニングさせて収入を搾取していたという事件がいくつかありました。
一方で、マイニングで収入を得ること自体は犯罪ではありません。
例えば、ユニセフも「マイニングすることで寄付できる」というページを設置していたりします。
「Coinhiveを使うこと自体が罪」であれば、日本の警察はすぐにユニセフを捜索して検挙しなきゃいけないはずですがね。
コレに対し、確かに注意喚起が出ています。
問題は、これが出た時期と周知。
特に、Coinhive事件では、この注意喚起が出る前に設置していたこと、指摘を受けたことと効果を勘案して1ヶ月程度で削除しています。
これに対し、「ユーザが認識・許可していない状況でCPUを使うのは「不正指令電磁的記録に関する罪」に当たり、この法律は当時からあった！」という根拠で逮捕した模様です。
しかし、そもそも当時は法的解釈の提示はもとより、注意喚起もされておらず。
その上で法律の専門化でもない一般人に、そもそもそんな法的解釈を正しくしろというのは、大分無茶があります。
しかし、Webサイトを閲覧すると、俺様が許可した覚えが無い広告などがバンバンでまくりますけど？
しかも、最近では勝手に動画なんか流して、CPUや通信量を食いまくってくれてますけど？
俺様が許可してないんだから、「不正指令電磁的記録に関する罪」で広告を表示しているサイトを全部検挙すべきではないですか？
まあできないよな。「大事な天下り先様」だったりするもんなｗｗｗ
「不正指令電磁的記録に関する罪」っていうのは、警察が自分の都合と気分で恣意的に運用できる法律なんですね。
この事件を見ても、「警察は今でも、なぜWinnyの事件が無罪になったか理解していないんだろうなぁ。」などと思いました。だってバカだもん。
Wizard Bible事件
マルウェアのソースコードを公開したといって略式起訴され、罰金刑となった事件。
逮捕の要因になった記事は見て、ソースコードも読みましたが、どうみても通信のソケットプログラムのサンプルにしか見えません。
あれでダメなら、世の中に通信のプログラムのサンプルや本を書いている人は、全員同じ理由で捕まっても文句言えません。今から震えておいてください。
確かに、サンプルのソースコードでは、送信元から受信したコマンドをexecuteしています。
でも、そもそも通信プログラムって、通信して受け取った情報でなにかをするのは当たり前です。
それやっちゃダメなら、ブラウザだってこのページをレンダリングして表示したら犯罪になるじゃん？
Microsoftも、「公式で」psexec.exeというプログラムを公開しています。
これは、Windowsでネットワークからリモートでプログラムを実行できるツールです。
Wizard Bibleで公開されていたよりもさらに優秀なリモート操作ツールを公開しているんだから、警察は同じ理由でMicrosoftを検挙しなきゃいけないハズですが、なんでしないんですかね？
ああ、やっぱり「大事な天下り（ry
そもそも、サイバー犯罪に使われるウィルス、マルウェアといったものは、受信側（被害者側）に、どうやってそのプログラムを配布し、かつ起動させるかということが用件となります。
サイバー犯罪に用いるなら、より大事な知識はそっちの方だと思うのですが、当該記事には、その具体的な方法は示していません。
ついでに言えば、最近のIPv4でルータを経由している場合、NAT越えの問題もありますが、これも方法を示していません。
技術的にみれば、どうみてもウィルス、マルウェアの類ではないのですが、記事の「トロイの木馬型のマルウェアについて」って文字に釣られただけと思われます。
逆に言えば、これを検挙した警察に、ウィルス、マルウェアのコードを認識する能力が皆無であることを示しています。
多分、本物のマルウェアのコードなんか読んだことないんだろうな。だってバカだもん。
上原先生は先の記事で、「ウイルスの研究を行う研究者はウイルスに関するコードを公表したり互いに交換したりする行為が罪に問われかねないと萎縮してしまいます。」と述べられています。
私も実際、ある大学のサイバーセキュリティ研究所の研究員に入れてもらっており、そこではマルウェアの解析結果や方法を紹介していますが、一般には公開していません。
理由として、この「Wizard Bible事件」が大きな要因です・・・というより、基本的にこれが理由です。
サイバー犯罪に対する防衛は、その方法を知らないと対策が立てられません。
しかし、それを公にすると、少なくとも日本では捕まるんです。
だから、その技法を知り、対策が分かっても、ずっと黙って被害者を見殺しにすることしかできないんです。
この結果、サイバー犯罪、攻撃への対策は広まらないでしょうし、セキュリティエンジニアも育たないでしょう。
それどころか、余計なことを発表したセキュリティエンジニアは捕まりもするでしょう。
その結果、セキュリティが普及せず攻撃しやすい環境になって一番喜ぶのは、サイバー犯罪者だと思うのですがね。
結果的に、サイバー犯罪者を警察が後押しして、サイバー犯罪天国を作ろうとしているように見えるのは私だけ？？
まあ、まずないと思うけど、仮に警察に情報提供を求められたとしても、「Wizard Bible事件」の「不正指令電磁的記録に関する罪」にあたるのでできません、と答えます。
むしろ、「警察に「不正指令電磁的記録に関する罪」を示唆された」といって告発してやりますかねw
「Wizard Bible事件」の正当な理由と根拠、自分が提示した場合に適用されない根拠を示されれば考えますが。
まあ無理でしょう。だってバカだもん。
Coincheck、Zaifの事件
先の3件とは逆に、誰がどうみても犯罪なのだが、逮捕されてないほうの事例ですね。
暗号資産、暗号通貨とよばれるものの秘匿性や、Torなどを用いたダークウェブでのマネーロンダリングなどの影響により、犯人の特定に至っていないのが原因です。
正直いって、先の3件なんか捕まえてる暇あったら、こっちの捜査にテコ入れしろと言いたいくらいです。
もっとも、知識、技術的に無理なんでしょうけど。だってバカだもん。
わざわざネタに挙げたのは、先の3件との比較のためです。
先の3件は、そもそも被害者が誰なのかが判然としない、犯意があるようには見えない、将来的に犯罪に繋がるようには見えない、といった特徴があると思っています。
つまり、CoincheckやZaifの事件と比べ、逮捕して立件する意義が分からないというのが私の感想です。
警察などは、「犯罪抑止に繋がる」といった意義を言っていると聞きます。
では問おう。
これ、本当に犯罪抑止になると思うのか？
これを、車の交通違反にスピード違反について例えてみると。
「時速40km制限のところで時速45～50kmで走っている車を検挙しました！（先の3件の事件）
これで、スピード違反の抑止になります！」
↓
時速150～200kmでかっ飛んでいくスピード違反を発見（Coincheck、Zaifの事件）。
↓
「いや、パトカー60kmまでしかでないし、腕も未熟なので追いつけないので、そちらは逮捕しません。」
要は、150km以上でかっ飛ばせば、捕まらないと言っているに過ぎないのではないか？
これが本当にスピード違反の抑止力になると思うのか？
日本の現状はこうなっているように思えてならない。
つまり、ある程度以上のスキルでサイバー犯罪を行った場合、この国では捕まることはありません。
ということは、日本は既にサイバー犯罪者の天国になっているんじゃないかね？
警察は何もしないし、できないだろう。だってバカだもん。