もしある日 警察が来て あなたが逮捕されたら

　不正アクセスやマルウェアを用いた悪意のある攻撃は犯罪である。しかし、セキュリティ研究者やプログラマは、マルウェア解析、脆弱性診断、侵入テスト、プログラム開発等々の業務活動の多くが、視点によっては警察や検察によって違法とみなされるリスクを負っている。

●エンジニアや活動家が犯罪リスクと対峙させられる

　国内のサイバー犯罪関連の裁判では、2010 年の Librahack 事件、2012 年のパソコン遠隔操作事件（のちに被告は犯行を自供した）、2018 年のコインハイブ利用者の逮捕事件が有名だ。

　調査のためのアクティブスキャンやクローリングが不正アクセスと認識されたり、脅威インテリジェンスのためのダークウェブ調査が、当局のセンサーにひっかったりと、エンジニアや研究者は、通常の活動にあらぬ嫌疑をかけられるリスクと常に隣り合わせにある。また、海外ではハクティビストのような活動家が逮捕・拘束される事件も起きている。

　ある日突然、自分がサイバー犯罪の被告になったらどうすればいいのか。

　残念ながら、この問に答えられるエキスパートはグローバルでも多くない。昨秋 CODE BLUE 2020 に登壇したイタリアの弁護士で、サイバー犯罪関連の弁護に多く関わるアンドレア・モンティ氏は、サイバー犯罪の冤罪弁護の難しさと、事例や知見の不足を次のように指摘する。

　「犯罪捜査や裁判は各国の法律、ときには文化や宗教的背景に影響を受ける。また経験豊富な裁判官ほど、判決への証拠や証言の影響度は下がるという論文もある。コンピュータ犯罪の弁護について、具体的な事例や定量的な評価、弁護戦略をまとめるのは難しい。」（アンドレア・モンティ氏：以下同）

　しかし、自身の弁護経験から「実際のサイバー犯罪裁判における検察・弁護の基本的な流れとポイントは整理できる」という。同氏の講演をもとにその流れの一部を紹介する。