コンピュータ誤用法とは？英国でハッキングを犯罪とする法律を徹底解説

コンピュータへの不正アクセス（ハッキング）は、世界中のほぼすべての国で違法行為とされています。

英国においてコンピュータ犯罪を取り締まる中核となる法律が、1990年に制定された「コンピュータ誤用法（Computer Misuse Act 1990）」です。この法律は、多くの英連邦諸国におけるコンピュータ犯罪関連法制の基礎ともなってきました。

しかし同時に、この法律は大きな論争を呼んできた存在でもあります。近年の改正では、英国の主要な情報機関であるGCHQ（政府通信本部）に対し、任意のコンピュータへのハッキングを合法的に行う権限が与えられました。本記事では、この法律がどのようなもので、具体的に何を定めているのかを詳しく見ていきます。

最初のハッカーたち

コンピュータ誤用法が制定されたのは1990年ですが、それ以前にコンピュータ犯罪が存在しなかったわけではありません。むしろ、起訴することが極めて困難、あるいはほぼ不可能だったというのが実情です。英国で初めて起訴されたコンピュータ犯罪の一つが、1985年の「R対ロバート・シフリーンおよびスティーブン・ゴールド事件」です。

シフリーンとゴールドは、市販の簡単なコンピュータ機器を使い、英国電気通信会社BTの子会社Prestelが運営するViewdataシステム――現代のインターネットの原始的な前身にあたる中央集権型サービス――への侵入に成功しました。ハッキング手法自体は比較的単純なものでした。彼らはBTの技術者を見つけ、肩越しにログイン情報（ユーザー名「22222222」、パスワード「1234」）を入力する様子を盗み見たのです。この情報をもとに、二人はViewdataシステム内を自由に行き来し、英国王室のプライベートメッセージまで覗き見ました。

BTはまもなく不審な点に気づき、怪しいViewdataアカウントの監視を開始しました。

やがて疑いは確信へと変わり、BTは警察に通報。シフリーンとゴールドは逮捕され、「偽造及び模造品法（Forgery and Counterfeiting Act）」に基づいて起訴されました。二人は有罪となり、それぞれ750ポンドと600ポンドの罰金を科されました。ところが問題は、偽造及び模造品法が本来コンピュータ犯罪向けの法律ではなく、特に金銭目的ではなく好奇心や探究心から行われた行為にはそぐわないという点でした。

そこで二人は控訴し、勝訴します。

検察側は無罪判決を不服として貴族院に上告しましたが、敗れました。この審理を担当した裁判官の一人デイヴィッド・ブレナン卿は無罪判決を支持し、「政府がコンピュータ犯罪者を起訴したいのであれば、それにふさわしい法律を作成すべきだ」と述べました。

こうした必要性から、コンピュータ誤用法が生まれたのです。

コンピュータ誤用法が定める3つの犯罪

1990年に施行されたコンピュータ誤用法は、次の3つの行為を犯罪と定め、それぞれ異なる刑罰を科しています。

• 正当な権限なくコンピュータシステムにアクセスすること
• さらなる犯罪の実行または助長を目的としてコンピュータシステムにアクセスすること
• プログラムの動作を妨害する目的、または他人のデータを改ざんする目的でコンピュータシステムにアクセスすること

重要なのは、1990年のコンピュータ誤用法において犯罪が成立するためには「意図（intent）」が必要だという点です。例えば、偶然に、許可のないサーバーやネットワークに接続してしまったような場合は犯罪にはなりません。

しかし、アクセス権限がないことを知りながら、意図的にシステムへアクセスすれば、完全に違法となります。

当時は技術自体がまだ新しいこともあり、基本的な理解のみを前提に立法されたため、この法律は当初、コンピュータで行いうる他の望ましくない行為までは犯罪としていませんでした。そのため、その後何度も改正が重ねられ、洗練・拡張されてきました。

DDoS攻撃についてはどうなのか？

鋭い読者ならお気づきでしょうが、前述の法律のままでは、DDoS攻撃は違法になりません。DDoS攻撃はシステムに「アクセス」するわけではなく、膨大なトラフィックを特定のシステムに送り込み、処理能力を超えさせて機能不全に陥らせる攻撃だからです。

DDoS攻撃が犯罪化されたのは2006年です。きっかけは、雇用主に500万通を超えるメールを送りつけた少年が無罪となった裁判でした。その翌年に成立した「警察・司法法2006（Police and Justice Act 2006）」により、コンピュータ誤用法に新たな修正条項が追加され、あらゆるコンピュータやプログラムの動作やアクセスを妨害しうる行為が犯罪とされました。

1990年の法律と同様、これも「意図」と「知識」があって初めて犯罪となります。意図的にDDoSプログラムを実行すれば違法ですが、ウイルスに感染してしまい、その結果DDoS攻撃が実行されてしまった場合には違法にはなりません。

そして重要なのは、この時点でのコンピュータ誤用法は誰に対しても等しく適用されていたという点です。警察官や諜報員がコンピュータにハッキングすることも、自室からハッキングする少年と同じく違法でした。この状況が変わったのが2015年の改正です。

ウイルスの作成も違法

コンピュータ誤用法の後の改正で追加された第37条は、コンピュータ犯罪を助長しうる「物品（article）」の製造、入手、供給を犯罪としています。

これにより、例えばDDoS攻撃を仕掛けるソフトウェアを構築したり、ウイルスやトロイの木馬を作成したりすることが違法となりました。

しかし、ここにはいくつかの潜在的な問題があります。第一に、コンピュータセキュリティの向上を目的としてハッキングツールやエクスプロイトを開発してきた、正規のセキュリティ研究業界にとって、これは何を意味するのでしょうか。

第二に、正当な用途と不正な用途の両方に使える「デュアルユース」技術についてはどうでしょうか。好例としてはGoogle Chromeが挙げられます。インターネット閲覧に使える一方で、SQLインジェクション攻撃にも利用できます。

答えはやはり「意図」です。英国では起訴は王立検察庁（CPS）が担当し、誰を起訴すべきかを判断します。起訴の決定は、CPSが遵守すべき複数の書面によるガイドラインに基づいて行われます。

このケースでは、ガイドラインは、刑事上の意図が確認できる場合にのみ第37条に基づく起訴を行うべきだと定めています。さらに、製品がコンピュータ犯罪を助長する目的で作られたかどうかを判断する際には、検察官は正当な用途や開発の動機を考慮すべきだとされています。

これにより事実上、マルウェアの製造は犯罪化されつつも、英国では情報セキュリティ産業が繁栄できるようになっているのです。

「007――ハッキング免許」

コンピュータ誤用法は2015年初頭にも改正されました。ただし、静かに、大きな話題にもなることなく行われた改正です。重要な変更点は2つあります。

1つ目は、英国における一部のコンピュータ犯罪に終身刑が科されうるようになったことです。これは、ハッカーが自分の行為が不正であると認識した上で意図的に行い、「人類の福祉と国家安全保障」に「重大な損害」を与える可能性がある場合、あるいはそのような被害を生じさせることについて「無謀」だった場合に科されます。

この刑罰は、普通の不満を抱えた10代の若者に適用されるものではありません。人命に重大な危害を及ぼしうる攻撃や、国家の重要インフラを標的とした攻撃を行った者のためのものです。

2つ目の変更は、既存のコンピュータ犯罪法制から警察官や諜報要員を免除するものでした。技術的手段によって活動を隠蔽する手強い犯罪者への捜査を簡素化できるとして歓迎する声もある一方で、プライバシー擁護団体Privacy Internationalなどは、濫用の危険性が高く、この種の法制に必要な十分なチェック・アンド・バランスが整備されていないと懸念を示しました。

コンピュータ誤用法の改正案は2015年3月3日に可決され、同年5月3日に法律として発効しました。

コンピュータ誤用法の今後

コンピュータ誤用法は、まさに「生きた法律」です。制定以来幾度も変遷を重ねてきており、今後も変わっていく可能性が高いでしょう。

次の変更は、世界のニュース・オブ・ザ・ワールド紙の電話ハッキングスキャンダルを受けてもたらされる可能性があり、スマートフォンをコンピュータと定義すること（実際、スマートフォンはコンピュータなのですが）、そして「意図を持って」情報を公開する行為の犯罪化が盛り込まれるとみられています。

さて、皆さんの考えを聞かせてください。この法律は行き過ぎていると思いますか？それともまだ不十分でしょうか？ぜひコメント欄でお聞かせください。

写真クレジット：hacker and laptop Via Shutterstock、Brendan Howard / Shutterstock.com、Anonymous DDC_1233 / Thierry Ehrmann、GCHQ Building / MOD