「個人情報窃盗犯を価格コムなどへの不正アクセスで逮捕」記事へのコメント

「アクセス制御機能」不十分

[Mizar (27267)]

カカクコムのサイト攻撃、中国からも [asahi.com] の記事によれば、件の中国人留学生をカカクコムに関しての不正アクセス禁止法違反の容疑では立件が難しいようですね。

Re:「アクセス制御機能」不十分

[Anonymous Coward]

だが、少なくともこの時点では同社のサーバーは、利用者を特定の人に限り、部外者の侵入を防ぐ「アクセス制御機能」が不十分だった疑いが強いことが判明。不正アクセス禁止法の要件を満たさない可能性が高いと判断したという。

なんだこりゃ？
『「アクセス制御機能」が不十分』の基準

Re:「アクセス制御機能」不十分

[Anonymous Coward]

>こういうわけのわからん基準で裁かれるのだとするなら、
ケースバイケースという言葉をご存知ありませんか?それに今こうやって基準を作っているわけですよ
(SQLインジェクション対策程度はやって当たり前，という基準)。

Re:「アクセス制御機能」不十分

[Anonymous Coward]

> ケースバイケースという言葉をご存知ありませんか?それに今こうやって基準を作っているわけですよ
> (SQLインジェクション対策程度はやって当たり前，という基準)。

技術屋視点ではACCSの件もカカクコムのSQLインジェクションも同じようなものだが、
法律屋視点では何処に違いを見出して線引きしたのだろうか？

Re:「アクセス制御機能」不十分

[Anonymous Coward]

不正アクセス禁止法における「アクセス制御機能」ってのは

当該特定利用をしようとする者により当該機能を有する特定電子計算機に入力された符号が当該特定利用に係る識別符号であることを確認して、当該特定利用の制限の全部又は一部を解除するもの (第二条第３項)

つまりパスワードや公開鍵認証等のことなので、DBサーバにおける認証がIPアドレスだけだったりすると同法におけるアクセス制御がされてないと見なされる可能性が大きいと思います。