パスワードを忘れた？ アカウント作成
Close
248314 story
バグ

岡崎市立中央図書館ウェブサイト「サイバー攻撃」事件の詳細 336

ストーリー by yosuke

vn 曰く、

先日、愛知県の岡崎市立中央図書館ウェブサイトの図書検索機能に、過大な頻度のリクエストを送りつけたとして業務妨害容疑で男性が逮捕された(後に起訴猶予処分)ことは記憶に新しい。
朝日新聞が、この図書館で使われているのと同じプログラムを入手し、複数の専門家による解析結果をウェブサイト上に報じた。産総研の高木浩光氏、株式会社ラックなどの解析によれば、男性のプログラムには違法性がなく、三菱電機インフォメーションシステムズ(MDIS)製の図書館側のプログラムに不具合があることが確認されたとのこと。
バグを出荷したせいで第三者が逮捕される事態になったMDISの技術者に、タレコミ人としては少しばかり同情したい。

この議論は賞味期限が切れたので、アーカイブ化されています。 新たにコメントを付けることはできません。

岡崎市立中央図書館ウェブサイト「サイバー攻撃」事件の詳細 More

  • 同情の余地無し (スコア:5, すばらしい洞察)

    by saitoh (10803) on 2010年08月21日 10時29分 (#1813022)
    別にMDISの技術者が逮捕されたり懲罰を受けたりしているわけじゃなし。同情は一切感じないけどなぁ。

    • Re:同情の余地無し (スコア:5, すばらしい洞察)

      by kcg (26566) on 2010年08月21日 13時19分 (#1813113) ホームページ 日記

      ＞バグを出荷したせいで第三者が逮捕される事態になったMDISの技術者に、タレコミ人としては少しばかり同情したい
      クロールしただけで逮捕されて長期間拘留されてしまった人のほうにもっと同情してもらいたいなぁ。
      バグは仕方ないといえ、そ知らぬ顔で仕様ですといって売った挙句、被害者を出してしまったことには反省してもらいたい。

      シェア
      親コメント

    • Re:同情の余地無し (スコア:3, おもしろおかしい)

      by live-gon (30327) on 2010年08月21日 10時38分 (#1813025) ホームページ 日記

      別にMDISの技術者が逮捕されたり懲罰を受けたりしているわけじゃなし。同情は一切感じないけどなぁ。

      完全に情緒的というか感情的な話。

      開発者がヘコんでいるんだったら「バグは誰にでもある。ついてなかったな」と慰めるかもしれない。「あー、逮捕されたの俺じゃなかった。ラッキー」とか思っているとしたら、お前も拘留されてこいとなじるかもしれない。

      --
      LIVE-GON(リベゴン)
      シェア
      親コメント

  • MDISはどんな負荷試験をやっていたんだ (スコア:5, すばらしい洞察)

    by BUM (22803) on 2010年08月21日 10時44分 (#1813031)

    逮捕されちゃった人の方に同情してあげてください(´・ω・`)

    --
    飲めば飲むほど弱くなる〜
    なので最近禁酒中〜 :P

    • Re:MDISはどんな負荷試験をやっていたんだ (スコア:5, すばらしい洞察)

      by Anonymous Coward on 2010年08月21日 11時27分 (#1813049)

      > 逮捕されちゃった人の方に同情してあげてください(´・ω・`)

      まったくです。タレコミ人は想像力が足りなさすぎ。

      タレコミ人はきっと同業者なんでしょう。それで、同業者の立場に立って考える
      ことはできるけど、それ以外の人の立場に立って考えることができないんでしょうね。

      シェア
      親コメント

  • 本件におけるいくつかの間違い (スコア:5, 興味深い)

    by jsi (25633) on 2010年08月21日 12時54分 (#1813102)
    今回のは警察と検察の姿勢に問題があるでしょう。
    1. 多数のアクセスが行われ業務妨害に該当する疑いを持った点まではいたし方がない。 しかし、男性は逮捕・家宅捜索を受けてから20日間拘留されている。 プログラムが妨害の意図を持っているかどうかは、プログラムを基に 1日, 2日プログラムの挙動を調査すれば判断を行えるはずで20日の拘留は著しく不当である。 警察は妨害の意図が無い確証が得れた時点で被疑者を解放すべきだった。
    2. 名古屋地検は被疑者を「業務妨害の強い意図は認められない」として 「起訴猶予処分」としている。しかし、朝日新聞の調査から判断する限り、 全く妨害の意図は読み取れず、「起訴猶予」処分にしたことは名誉を 毀損し著しく不当である。名古屋地検は「嫌疑なし」で不起訴処分とすべきだった。
    3. 現時点で警察および検察は誤認逮捕を一切認めていない。何はともあれ 「起訴猶予」の処分を取り消した上で、誤認逮捕を認めるべき。
    4. 本件について、警察や検察による補償は一切無い。すなわち、善良なる国民 が何の落ち度も無いのに経済損失を被っている。 「刑事補償法」の対象となるのは、起訴され無罪の判決を受けた場合という ことになるが、今回の場合起訴されていないので、刑事補償法の対象外。 起訴されない場合の補償としては、「被疑者補償規程」があるけど、 こちらも、「不起訴」ではなく「起訴猶予」となっているから、こちらも 適用外となっている。なんらかの補償が受けられるようにすべき。
    5. 本件は誤認逮捕 [wikipedia.org]ということになるが、 誤認逮捕は、現行刑事裁判制度においては当然におこりうる状態であるから違法ではないとされている。 しかし、明らかに捜査機関が努力を怠ったりするなどして、無実であることが明らか であるのに敢えて逮捕を行った場合には国家賠償法上違法とされる余地があるとされている。 今回の場合、逮捕までは仕方がないが逮捕後、開放までに20日を要しており、 本当に20日も必要だったのか、捜査過程の検証が必要。もし、適切な判断が 行われていないのであれば違法行為と言えるので、国家賠償法上、賠償が行われるべき。

    • Re:本件におけるいくつかの間違い (スコア:3, 参考になる)

      by Anonymous Coward on 2010年08月22日 11時13分 (#1813449)
      こっち方面に詳しくない人のための豆知識。
      • 起訴猶予＝被疑事実は明白（クロ確定）だけど、諸々の事情を検察官が考慮して不起訴にする
      • 嫌疑不十分＝疑うに足る証拠が不十分。いわゆるグレー判定
      • 嫌疑なし＝完全シロ判定

      で、本件は「起訴猶予」なわけで、「おまえが犯罪を犯したのは明々白々だが、俺様（＝検察官）の裁量で今回だけは目をつぶってやる」っていうお裁きになったという次第。

      シェア
      親コメント

    • 故意の認定について、これまでの警察の発言をまとめると「偽計業務妨害罪の法文上は故意が必要とは書かれていない。我々は法文でどうなのかを重視して判断する。(判例上は？という質問に対して) それはそちらで勝手に調べて下さい。もちろん判例も考慮する。」 [rocaz.net]とか「捜査自体は、故意という部分は認められるという情報を持っております」 [takagi-hiromitsu.jp]という2つの情報があります。

      1. 結局のところ、故意性が認められ送検されたのでしょうか。
      2. 故意を前提としなくても偽計業務妨害が成立する事例にはどんな事例がありますか。
      3. 仮に、今回警察側で故意性が認められず、送検された場合、今回の行為は(前行の事例と照らし合わせて故意を前提としなくても)偽計業務妨害に問われるほど重大な行為だったのでしょうか?

      マスコミの人には、こういう点からじわじわ追いつめてほしいと思うのです。

      シェア
      親コメント

    • 第三者による検証がほぼ終わったようです。結論としては警察が悪いということでした。

      杉谷 智宏氏がまとめサイト [atwiki.jp]を作ってくださっておりますので、お時間のある方はご覧ください。この中に、各事象を時系列に並べた [atwiki.jp]資料があるのですが、これを見る限り以下の状況がうかがえます。

      1. MDISはクローラが原因であることを把握していた。
      2. 図書館も、クローラが原因と把握していた。
      3. MDISはこのとき軽く警察に相談。ただし攻撃を受けているとは一言も言っていないとのこと。
      4. 図書館側はrobots.txtを更新。(攻撃ではないと把握していた証拠)
      5. ところが、警察側が、一方的に「 これは捜査できるかもしれない 」と図書館に連絡・ヒアリング。警察は被害届を出すよう促す。
      6. その後、図書館側は「管理会社に調査を依頼し，攻撃が判明」との認識を持つ。

      以上のことからは、当初MDISも図書館も正しい認識を持っていたのに、警察からの説得により「攻撃」との間違った認識を持つに至ったことがわかります。警察が原因です。

      シェア
      親コメント

    • Re:本件におけるいくつかの間違い (スコア:2, 興味深い)

      by oguma (17986) on 2010年08月21日 14時08分 (#1813137)
      　愛知県公安委員会 [aichi.jp]へ苦情申立するのが、筋の通った方法かな、今回の場合は。
      --
      Nullius addictus iurare in verba magistri
      シェア
      親コメント

  • 真・ノーガード戦法 (スコア:4, おもしろおかしい)

    by defaultroute (40612) on 2010年08月21日 10時33分 (#1813023) ホームページ 日記

    愛知県警は一連の不具合を把握していなかったが、「図書館の業務に支障が出たことは事実で、捜査に問題はない」としている。

    朝日新聞に答えた愛知県警の公式見解 → バグを踏んだら逮捕

  • ソフト会社、図書館側に不具合伝えず (スコア:4, 興味深い)

    by vn (10720) on 2010年08月21日 23時08分 (#1813317) 日記
    asahi.com には神田大介記者の今日3本目(?)の記事が掲載された。
    なんとなく、アクセス数や twitter での言及頻度を参考にして掲載する記事を
    選んでいるような気がする。
    ソフト会社、図書館側に不具合伝えず　アクセス障害問題 [asahi.com]

    ...くだんの男性の勾留が20日間にも及ぶ前に、MDIS が当然やっておくべきことが
    幾つかあったんじゃないか。
    記事には「MDISは直後にアクセス記録から原因を把握していた」とある。
    アクセス記録が読めるなら、すみやかに原因を図書館に説明したり、
    パッチ適用を申し出たりするのが筋じゃないだろうか。

    • >アクセス記録が読めるなら～
      ｢保守契約を結んでいない相手に製品欠陥について説明する必要はありません(ｷﾘｯ｣という対応に見えますが。
      伝聞によるとデータベース部分はOracleらしいですが、Oracleの製品保守もそういう体制でしたよね?

      その規定の是非はともかく、保守体制についてのこの推定が正しいとすればMDISのこの対応も理解できます。

      --
      RYZEN始めました
      シェア
      親コメント

    • Re:ソフト会社、図書館側に不具合伝えず (スコア:2, 興味深い)

      by Anonymous Coward on 2010年08月21日 23時45分 (#1813334)

      図書館の説明を読むと管理会社というのが存在するようですが、
      被害届を出すにいたったのは、その管理会社の説明が根拠だったわけですから、
      これが MDIS を指すならひどい話ですね。

      岡崎市立中央図書館に電話してみた
      http://www.nantoka.com/~kei/diary/?20100622S1 [nantoka.com]

      1. サーバの不調について、管理会社に調査してもらった
      2. 管理会社の調査で、外部からの攻撃が判明
      3. 警察に被害届を提出
      4. 私(電話に出られた担当の方)が知る限り、警察からは2,3回、問合せがあった
      5. サーバの調査等は、私が知る限り行っていない
      6. 令状を持った捜査が行われたことは無い
      7. 逮捕は報道で知った

      シェア
      親コメント

  • 今回の記事を書いた神田大介さんが、twitterアカウント [twitter.com]を作成してこの問題に関するお話をされています。

    たくさん興味深い事実が載っているのですが、とりあえず、名古屋の社会面で掲載された記事があるのだそうです。

    新聞記者の中にも、ちゃんとした人がまだいたんですね。見直しました。

  • 了解求めないアクセスが問題 (スコア:3, 参考になる)

    by Anonymous Coward on 2010年08月22日 0時36分 (#1813348)
    図書館長「了解求めないアクセスが問題」　ＨＰ閲覧不能 [asahi.com]

    皆さん、アクセスする前に電話かけて図書館長に許可を得ましょう。　１回ではダメです。

    > 「（男性の自作プログラムに）違法性がないことは知っていたが、図書館に了解を求めることなく、繰り返しアクセスしたことが問題だ」

    アクセス開始する度に何度も事前に許可が必要です。

  • 逮捕された男性が (スコア:2, すばらしい洞察)

    by Anonymous Coward on 2010年08月21日 10時43分 (#1813030)

    三菱電機インフォメーションシステムズ(MDIS)を訴えてほしいね。

  • ふそうの欠陥トラックと構図が似ている気がする (スコア:2, 興味深い)

    by Anonymous Coward on 2010年08月21日 18時30分 (#1813243)
    これは、何となく三菱ふそうの欠陥トラックの事件と構図が似ている気がする。
    1. 製品の不具合が原因で被害発生
    2. そんなことは知らない警察は取りあえずその場に関わっていた人を逮捕
    3. 後になって欠陥が原因であると発覚

    そういうわけで少なくとも逮捕された人は、MDISを訴えてもいい、というより寧ろ訴えるべきと思うけど、背景に三菱グループ特有の何かがあるのだろうか?

typodupeerror

目玉の数さえ十分あれば、どんなバグも深刻ではない -- Eric Raymond