「悪意ある放流者は追い詰める」日本IBMがShare流出を振り返る

日本IBMが追跡した人物の概要

事件の経緯（その1）

　学識経験者や通信関連企業などで構成される民間団体「安心・安全インターネット推進協議会」のP2P研究会は2日、ファイル共有ソフトに関する情報セキュリティセミナーを開催。日本IBMが、業務委託先のPCから個人情報が流出した経験を題材に、流出した情報を意図的に拡散していた人物を追跡した事例を紹介した。

　この事件は、日本IBMが神奈川県教育委員会から受託していた授業料徴収システム関連の資料の一部が、「Share」や「Winny」のネットワーク上に流出したというもの。流出したファイルには県立高校生の口座情報など約11万人分の個人情報のほか、同システムで使うプログラミング言語に関する注意事項をまとめた文書ファイルも含まれていた。

　警視庁は2009年7月、これらのファイルをShareネットワークに放流していた人物を著作権法違反の容疑で逮捕。この人物が放流した文書ファイルには、日本IBMの著作物が含まれていたことから、著作権法違反容疑による逮捕となった。

　日本IBMで情報漏えい事件の対応を行った徳田敏文氏によれば、この人物はウイルス感染によってWinnyに流出したファイルを収集し、ダウンロードに必要な情報やファイルの内容を掲示板に投稿。さらに、ファイル名を変更した上で、Winnyとは互換性のないShareのネットワークに意図的に放流していたという。

　「故意にファイルを流出させる行為を取り締まる法律がないことを良いことに、情報を取り返しがつかないまでに拡散させ、当事者や関係者の困り果てた状態を見ていたようだ」。徳田氏はこの人物を「情報のテロリスト」と表現。こうした放流者に法的対応が取れることを示すことは、ファイル共有ソフト悪用の抑制につながると語った。

事件の経緯（その2）	事件の経緯（その3）

●警告書の文面を微妙に変えることで放流者を特定

警告書の効果

　徳田氏によれば、ファイルは当初、Winnyのネットワークに流出したと見られていたというが、2008年9月にはShareにおける流出も確認された。ファイルの放流者は、個人情報と日本IBMの著作物を含むファイルのダウンロードに必要な情報を２ちゃんねるに書き込んでいたという。

　これに対して日本IBMは、「キー情報流通の原理を応用した技術」を用いて放流者のIPアドレスを特定し、ファイルの削除を求める警告書をISP経由で送付。ところが、この放流者は日本IBMを批判する書き込みとともに、警告書を２ちゃんねるに掲載。「削除要請は困難」と判断した日本IBMでは、ISPへの発信者情報開示請求に踏み切った。

　ISPは放流者に対して情報開示に関する意見照会を行ったが、放流者が拒否したために情報開示は行われなかった。この放流者は、情報開示請求の関係書類も２ちゃんねるに掲載していたという。日本IBMは、故意に放流したのではないと思われるユーザーにも警告書を送付したが、「文章を少しずつ変えたため、誰が掲示板に貼ったかがわかる仕組みだった」。

　警告書には担当者の氏名と電話番号を記載し、のべ300～400通を送付。このうち、電話の問い合わせが30件あったという。徳田氏によれば、「警告書の内容に覚えがない」と激しい剣幕で電話をかけてくるケースが多かったというが、「今後私はどうなるのか」ということを聞き出すことが主な目的だったと見ている。

　「（警告書の内容に従えば）訴えられないということがわかると、非常に協力的になる人が多かった。最終的には『ウイルススキャンの仕方はどうすればよいのか』や『ウイルスに感染しないようにするのはどうすればよいか』といったPC相談になり、30分ぐらい対応するケースもあった。」

●起訴状までも掲示板に掲載

釈放後も起訴状や刑の決定通知書などを掲示板にアップロードしたという

　さらにこの放流者は2008年12月、流出したファイルの中から約3万6000人分の個人情報を抽出したファイルをShareのネットワーク上に放流。これらのファイルには、「IBMが情報漏えいしたことを認めろ」といった文言も書き込まれていた。徳田氏は「発信者情報開示請求を行ったIBMへの報復と考えられた」と振り返る。

　2009年1月には、過去に自らが放流したファイルを圧縮ファイルにまとめ、「日本IBMが不誠実である証拠」といった文言をファイル名に追加した上でShareのネットワークに放流。圧縮ファイルには、自らの主張を記載したテキストファイルが収録され、「さらに言い分があれば、ファイル名を変えて次々とShareに放流していた」。

　そこで日本IBMは2009年2月、東京地裁に放流者の発信者情報開示の仮処分を申請。同月中に仮処分が認められたことから、開示情報をもとに、3月5日には当該人物に対して「情報の再発信の禁止」を求める仮処分を申請し、翌6日に仮処分が認められた。しかし、放流者は仮処分申請書類についても２ちゃんねるに掲載していたという。

　放流者に対して「情報のテロリスト」との認識を持ったという日本IBMは、警視庁に告訴状を提出。その結果、日本IBMの著作物をShareに放流したとして、放流者は著作権法違反容疑で逮捕された。しかし、放流者は釈放後に起訴状をアップロードしたほか、周囲には放流を続ける意志を示していたという。「検察官に対しては、『（次回は）著作物が混ざらないようにクリーニングした上で漏えいさせる」と言って出所したと聞いている。とはいえ、出所後はIBMに関する書き込みは見られなくなった」。

日本IBMの徳田敏文氏

　なお、日本IBMは起訴に際して、授業料徴収システムのデータベースの著作物に対する著作権法違反で訴えることも視野に入れていたという。しかし、「掲示板に掲載されていたのはデータベースの破片のようなデータだったため、著作物として認定されず不起訴になる可能性がある」と判断。確実に起訴に持ち込むために、同社が著作権を持つ文書ファイルをアップロードしたことによる著作権侵害に的を絞ったという。

　1年以上にわたって個人情報漏えい事件に対応したという徳田氏は、その成果をこう振り返る。「掲示板自体はこの事件をきっかけに、ファイルのダウンロードに必要なハッシュ情報が書き込まれなくなった。その点だけ見ても、ここまで追跡した甲斐があったと感じている」。

　また、掲示板への書き込みが発見のきっかけとなっている情報漏えい事件に関しては、「いかなる書き込みにも動揺せず、掲示板上でレスや削除依頼などは行わないこと」とアドバイス。事実確認後は、速やかに流出元となったハードウェアや周辺環境を保全することが、事件・事故解明の精度を上げるなどと話した。