インターネット社会の進展に伴い、サイバー攻撃の手口は日々巧妙化しており、それに対抗するための法律整備も進められています。
私たちが一般的に「ウイルス作成罪」と呼んでいる法律は、正しくは刑法に規定された「不正指令電磁的記録に関する罪」を指します。
この法律は、コンピュータウイルスを作成したり、それを他人のコンピュータで実行させたりする行為を厳格に禁じています。
ITエンジニアやセキュリティ担当者にとって、どのような行為が法的リスクに該当するのかを正確に理解しておくことは極めて重要です。
本記事では、ウイルス作成罪の定義から具体的な構成要件、科される罰則、そして実務上の注意点までを詳しく解説します。
ウイルス作成罪（不正指令電磁的記録に関する罪）の法的背景
ウイルス作成罪は、2011年の刑法改正によって新設された比較的新しい規定です。
正式名称を「不正指令電磁的記録に関する罪」といい、情報処理の適正な運用に対する信頼を保護することを目的としています。
この法律が制定される以前は、ウイルスを作成する行為そのものを直接処罰する規定が日本には存在しませんでした。
当時は、ウイルスによってデータが破壊された場合の「器物損壊罪」や、業務が妨害された場合の「業務妨害罪」などで対応せざるを得ませんでした。
しかし、国際的なサイバー犯罪条約への加盟を背景に、実害が出る前の「作成」や「提供」の段階で取り締まる必要性が高まり、現在の法律が誕生しました。
現在では、実際に被害が発生していなくても、「正当な理由なく、人の意図に反して実行させる目的」が認められれば処罰の対象となります。
「不正指令電磁的記録」の定義と2つの要件
この法律で処罰の対象となるのは「不正指令電磁的記録」と呼ばれるものです。
これに該当するためには、裁判務上、以下の2つの要件を同時に満たす必要があると考えられています。
1. 意図に反する動作（反意図性）
反意図性とは、そのプログラムが「コンピュータを使用するユーザーの意図に反して実行されること」を指します。
例えば、ユーザーが気づかないうちにバックグラウンドで個人情報を送信したり、勝手にファイルを暗号化したりする動作がこれに該当します。
ただし、OSのアップデートのように、ユーザーが個別の動作を把握していなくても、包括的に承諾している場合は反意図性には当たりません。
2. 不正な指令（不正性）
不正性とは、そのプログラムの動作が「社会的に許容される正当な理由がないこと」を指します。
プログラムの内容がコンピュータの機能を損なわせたり、不当な操作を行わせたりするものである場合、不正性が認められます。
2022年の最高裁判決（CoinHive事件）では、この「不正性」の判断基準が明確に示されました。
単にユーザーが予期しない動作をするだけでは足りず、社会的に許容できないほど不当なものであるかどうかが厳格に問われます。
ウイルス作成罪の具体的な構成要件と罰則
不正指令電磁的記録に関する罪は、その行為の内容によって大きく3つのタイプに分類されます。
それぞれの罪状と科される罰則を以下の表にまとめました。
| 罪状の種類 | 行為の内容 | 罰則 |
|---|---|---|
| 作成・提供罪 | ウイルスを自ら作成、または他人に譲渡・提供する行為 | 3年以下の懲役または50万円以下の罰金 |
| 供用罪 | 他人のコンピュータでウイルスを実際に実行（作動）させる行為 | 3年以下の懲役または50万円以下の罰金 |
| 取得・保管罪 | 正当な理由なく、ウイルスを入手したり保存したりする行為 | 2年以下の懲役または30万円以下の罰金 |
作成・提供罪（刑法168条の2第1項）
他人のコンピュータで実行させる目的を持って、ウイルスをプログラミングしたり、メールの添付ファイルなどで送信したりする行為が該当します。
実際に感染被害が発生する前であっても、「作成を完了した時点」で罪が成立する可能性があります。
供用罪（刑法168条の2第2項）
「供用」とは、ウイルスを他人のコンピュータに読み込ませて、実行可能な状態にすることを指します。
例えば、自身のWebサイトに不正なスクリプトを埋め込み、閲覧者のブラウザで勝手に動作させる行為などがこれに含まれます。
取得・保管罪（刑法168条の3）
ウイルスを他人のコンピュータで実行させる目的で、ダウンロードして自分のPCに保存したり、USBメモリなどの媒体で持っていたりする行為です。
作成者本人でなくても、悪意を持ってウイルスを所持しているだけで処罰される点に注意が必要です。
どのようなプログラムが「ウイルス」とみなされるか
法律上は「ウイルス」という言葉は使われませんが、実務上は以下のようなプログラムが不正指令電磁的記録に該当します。
- ランサムウェア：データを暗号化して身代金を要求するプログラム。
- トロイの木馬：有用なソフトを装いつつ、裏で不正な操作を行うプログラム。
- ワーム：自己増殖を繰り返し、ネットワークを通じて感染を広げるプログラム。
- スパイウェア：ユーザーのキーボード入力（キーロガー）や閲覧履歴を無断で外部へ送信するプログラム。
- 不正なスクリプト：Webサイトを閲覧しただけで、特定のファイルを勝手にダウンロードさせるプログラム。
これらは明らかに「ユーザーの意図に反する」かつ「社会的に許容されない」動作を行うため、処罰の対象となります。
エンジニアにとっての注意点：開発と研究の境界線
ITエンジニアや研究者がセキュリティの検証目的でウイルスを作成する場合、法律との関係が問題になることがあります。
ウイルス作成罪には「正当な理由」という除外規定が存在します。
例えば、アンチウイルスソフトの開発、セキュリティの脆弱性診断、情報セキュリティ教育などのための研究活動は、通常、正当な理由があると認められます。
しかし、こうした目的であっても、外部に流出させるなどの不適切な管理があれば、法的リスクを負う可能性があります。
特に、ソースコードをGitHubなどの公開リポジトリにアップロードする際は、それが「提供罪」とみなされないよう慎重な配慮が必要です。
また、悪戯心であっても「相手を驚かせるためのプログラム」を作成し送信する行為は、処罰対象になり得ます。
CoinHive事件がもたらした教訓
ウイルス作成罪の運用において非常に重要な事例が、通称「CoinHive（コインハイブ）事件」です。
これは、自身のWebサイトに閲覧者のCPUリソースを借りて仮想通貨をマイニングするスクリプトを設置した男性が、ウイルス供用罪の疑いで検挙された事件です。
第一審では無罪、第二審では逆転有罪判決が出され、IT業界に大きな衝撃を与えました。
しかし、2022年に最高裁判所は、このプログラムが「不正性」を欠いているとして、最終的に無罪判決を言い渡しました。
最高裁は、広告表示に代わる収益手段としてのマイニングは「社会的に許容し得ないものとはいえない」と判断しました。
この判決により、新しい技術が単にユーザーにとって未知であるからといって、直ちに「不正」と決めつけるべきではないという基準が確立されました。
プログラミングにおけるリスク回避のガイドライン
開発者が意図せずウイルス作成罪の疑いをかけられないためには、以下のポイントを意識することが推奨されます。
- 説明責任を果たす：ユーザーが予期しない動作を伴う場合は、事前に分かりやすく同意を求めるUI/UXを設計する。
- 動作の透明性を確保する：どのような目的でその処理が行われているのか、ドキュメントやプライバシーポリシーに明記する。
- テスト環境の分離：検証用プログラムを作成する場合は、インターネットから隔離された環境で行い、流出防止策を徹底する。
- 脆弱性情報の取り扱い：発見した脆弱性を実証するためのコード（PoC）を公開する際は、悪用を助長しないよう公開範囲や手法に配慮する。
法的な「正当な理由」を客観的に証明できる状態で活動することが、自身の身を守ることにつながります。
未遂罪と共犯の可能性
ウイルス作成罪には、実行に移したものの失敗した「未遂罪」の規定はありません。
しかし、「作成罪」自体が被害発生前の段階で成立するため、実質的には極めて早い段階から警察の介入が可能です。
また、自分一人で作成していなくても、プログラムの一部を担当したり、ウイルスの配布を手伝ったりした場合には、「共犯（共同正犯や幇助犯）」として処罰される恐れがあります。
オンラインコミュニティなどで、攻撃ツールの開発に協力するように誘われた際などは、その法的リスクを十分に認識しなければなりません。
まとめ
ウイルス作成罪（不正指令電磁的記録に関する罪）は、サイバー空間の秩序を守るために不可欠な法律です。
その核心は、プログラムが「ユーザーの意図に反しているか」という点と、それが「社会的に不正なものであるか」という2点に集約されます。
近年の最高裁判決により、技術開発の自由を不当に阻害しないよう慎重な解釈が行われるようになりましたが、悪意のある行為に対しては厳しい罰則が適用されます。
ITに関わるすべての人は、この法律の構成要件を正しく理解し、健全な技術活用の範囲を超えないよう倫理観を持って行動することが求められます。
最新のセキュリティ動向や判例をチェックし、法に抵触しない安全な開発・研究活動を心がけましょう。
