この空からきこえない

ITmediaの記事は、次のように続きます。

公判の争点は、元研究員がHTTP経由でサーバ内の個人情報ファイルにアクセスした手法が、不正アクセスにあたるかどうか。検察側は「問題のファイルは、FTP経由でアクセスするのが通常。FTP経由のアクセス時にはIDとパスワードによる認証を要求していた。HTTP経由でアクセスした元研究員の行為は、FTPによるアクセス制御機能を避けた不正アクセスにあたる」と主張。弁護側は、HTTPとFTPは別々に考えるべきで、HTTPにはアクセス制御がなかったため、正当なアクセスだったと主張している。

「FTPでアクセスすることしか想定されていない」というのは詭弁ですね。怖いです。個人情報を公開してしまったことについては責任を問われるべきですが、もし、これで不正アクセスの罪に問われるとなると、適当なスクリプトで情報収集しても責任は法律で問われるからという甘い設計になってしまわないか不安です。

別にハッキングしろということではありませんが、ハッキングされしまうようなスクリプトで個人情報を収集する行為そのものも間違っているし、海外から侵入された場合はどう裁くのかなという疑問もあると思います。京都府警の報道に対する情報も正確ではない気がしています。当初は、威力業務妨害も入っていたようですが、結局、それでは起訴に持ち込めず、不正アクセス禁止法のみでの提訴のようです。

そういえば、この事件、確か記憶によれば、ファーストサーバのレンタルサーバのスクリプトをそのまま用いていたとかいうのが原因だったようで、その会社自身は、元々はクボタの関連会社でしたが、ヤフーに買収されたようです。(クボタのリリース、ヤフーのリリース)そのあと、クレジット決済サービスなんてはじめたけど信用できるのかな？今回のいきさつの文書は、もうファーストサーバさんのサイトからは消えてるみたいです。どうしてこう都合の悪いリリースは消すかな(笑)

あちこち調査してみたけど、パーミッションだけによるものとか、XSS脆弱性のものとか、正確なものは分からなかった。ただ、一つ言えるのは、入力するフォームとかのパラメーターチェックはいるなぁ..というのは思う訳で。