脆弱性を見つけて報告したら訴えられた。そんな事例が世界中で増えています。善意のセキュリティ研究者が法的リスクにさらされる現実は深刻です。しかし、正しい知識と手順を持てば、リスクは大幅に減らせます。そこで、この記事では脆弱性報告の訴訟リスクについて実務的な対策を整理します。
脆弱性報告の訴訟リスクが注目される背景
まず、近年の事件を振り返りましょう。2024年、米オハイオ州コロンバス市がランサムウェア被害を受けました。Rhysidaグループが6.5TBのデータを盗んだと主張しました。研究者のConnor Goodwolf氏は漏洩データを分析しました。すると、市長の「機密データは流出していない」という発表が虚偽だと分かりました。
しかし、彼は市の複数部門に連絡しても無視されました。そこで、メディアにサンプルを共有して深刻さを示しました。ところが、市は彼を訴え、25,000ドル以上の損害賠償を請求しました。つまり、善意の報告が法的攻撃の対象になったのです。デジタル権利団体は憲法修正第1条違反だと抗議しました。
また、ポーランドでも衝撃的な事件がありました。Dragon Sectorというハッカーグループが列車メーカーNewagの不正を暴きました。具体的には、GPSで競合施設にいると検知すると偽の故障表示が出る仕組みでした。さらに、Newag非公認の部品を使うとロックがかかりました。しかし、Newag社はDragon Sectorを約170万ドルで訴えました。なぜなら、ソフトウェアへの「不正アクセスと調査」が問題だと主張したからです。FSFEはこの訴訟がセキュリティ研究を萎縮させると警告しています。
脆弱性報告の訴訟リスクと各国の法制度
米国にはCFAA(コンピュータ不正利用防止法)があります。違反すると最大1億ドルの罰金が科されます。ただし、2021年のVan Buren判決で最高裁がCFAAの範囲を限定しました。特に、利用規約違反だけではCFAA違反にならないと判示しました。さらに、2022年にDOJは善意の研究には起訴を控える方針を出しました。
しかし、この方針には重大な限界があります。まず、DOJの方針であり法律ではありません。そのため、将来の政権が撤回できます。また、「善意の目的のみ」が条件です。つまり、動機が混在する場合は保護されません。さらに、民事訴訟には一切適用されません。したがって、企業からの民事訴訟リスクは残り続けます。
EUではNIS2指令が脆弱性開示の枠組みを定めています。具体的には、各加盟国にCSIRTを通じた調整を求めています。ところが、2024年10月の期限を守ったのは27カ国中4カ国だけでした。その結果、欧州委員会は23カ国に対して違反手続きを開始しました。さらに、サイバーレジリエンス法(CRA)では製造者に24時間以内の通知義務が課されます。この報告義務は2026年9月から適用されます。加えて、2026年のJournal of Cybersecurity論文はEU全体での研究者保護を求めています。
日本における脆弱性報告の法的リスク
日本には不正アクセス禁止法があります。この法律では、許可なく他者のシステムにアクセスすることが違法です。たとえば、脆弱性スキャンを無断で実行するだけでもリスクがあります。そのため、発見の経緯によっては報告自体が問題視される可能性があります。
一方、IPAの「情報セキュリティ早期警戒パートナーシップガイドライン」が重要な枠組みです。このガイドラインは2024年に約5年ぶりに改訂されました。具体的には、発見者がIPAに届け出て、JPCERT/CCがベンダーと調整します。したがって、第三者への情報漏洩を防ぎつつ修正を促せます。実際、この枠組みを使うことで法的な保護を受けやすくなります。
また、Coinhive事件の最高裁判決も重要な判例です。2022年1月に無罪が確定しました。特に「反意図性」と「不正性」を分離して分析した点が画期的でした。つまり、ユーザーの意図に反しても、広告プログラムと比較して社会的に許容される範囲なら違法ではないとしたのです。この判例は不正指令電磁的記録罪の適用範囲に影響を与えています。
さらに、2025年5月にはサイバー対処能力強化法が成立しました。NCO(国家サイバー統括室)が7月に設立され、約257社が重要インフラ事業者に指定されました。しかし、独立した研究者向けのセーフハーバー条項は含まれていません。なお、防御目的のサーバー調査でさえ不正アクセスに分類されるリスクがあります。
訴訟リスクを減らす実務的な対策
では、研究者はどう身を守ればよいのでしょうか。まず、調査前に対象組織のVDP(脆弱性開示ポリシー)を確認しましょう。VDPがある場合は、その範囲内で調査を行います。特に、セーフハーバー条項の有無が重要です。
次に、記録を徹底することが大切です。具体的には、調査の目的、手順、発見内容を時系列で記録します。なぜなら、善意の立証には証拠が不可欠だからです。また、データの取り扱いにも注意が必要です。必要以上のデータにアクセスしないことが原則です。さらに、スクリーンショットやログを保存しましょう。
加えて、日本ではIPAの届出制度を最優先で活用すべきです。直接ベンダーに連絡するより安全です。実際、IPAを通じた報告は法的な保護を受けやすくなります。そのため、まずIPAへの届出を検討してください。
組織が整備すべき脆弱性開示の仕組み
組織側にも大きな責任があります。まず、security@のメールアドレスを公開しましょう。しかし、2025年時点でIoTメーカーの59.47%は研究者の連絡先すら持っていません。つまり、報告したくても報告先がない状態です。そのため、まず連絡窓口の設置が第一歩です。
次に、明確なVDPを策定します。対象範囲、対応期限、セーフハーバー条項の3要素が不可欠です。また、disclose.ioのフレームワークが参考になります。このオープンソースの枠組みはセーフハーバーの標準文言を提供しています。
さらに、Bruce Schneier氏が2025年11月に重要な問題を指摘しました。具体的には、バグバウンティのNDAが研究者を永久に沈黙させている点です。むしろ、これは責任ある開示の精神に反すると批判しました。バグバウンティ市場は2025年に17.6億ドル規模に成長しました。しかし、透明性の確保も同時に進めるべきです。
なお、PwC Japanも日本企業向けのVDP整備ガイダンスを公開しています。VDPがないと、研究者が予期しない方法で脆弱性を報告する可能性があります。だからこそ、組織側の体制整備が急務なのです。
まとめ
脆弱性報告の訴訟リスクは現実の問題です。コロンバス市やNewagの事例がそれを証明しています。しかし、IPA届出制度の活用、VDPの確認、記録の徹底で大幅に軽減できます。また、組織側もセーフハーバー付きのVDPを整備すべきです。だからこそ、報告者と組織の双方が正しい知識を持つことが重要です。特に、日本では能動的サイバー防御法に研究者保護が含まれていない点に注意が必要です。それでも不安がある場合は、法律の専門家に相談することをお勧めします。