スパムメールで大学授業料稼いだ男、懲役刑無しの判決。現在はセキュリティ専門家に転身
アメリカのペンシルベニア州・ピッツバーグの裁判所が、大学の授業料を払うためにボットネットを作成しスパムメールを送信した男に対して、執行猶予2年、懲役刑無しの判決を言い渡した。
審判に問われていたのは、カリフォルニア州・サンタクララに住むSean Tiernanという29歳の青年。
FBIは、Tiernanは77,000台ものコンピュータからなるボットネットをコントロールしていたという。
Tiernanの逮捕は2012年。即座に犯行を認めた
2012年10月、FBIは大規模なスパムメールキャンペーンの黒幕を探る調査を進め、ついにTiernanの自宅を突き止めた。
TiernanはFBIの調べに対して即座に自らの犯行を認め、さらに翌年の2013年に有罪を認めた。
そして、今年の10月30日の月曜日に裁判所から有罪判決を言い渡されたようだ。
Tiernanの弁護士は、裁判所に対して懲役刑ではなく執行猶予の申し立てをしている。その理由は、彼の及んだ犯行がNon-intrusive(何かに侵入する性質を持たない)である事だという。
Tiernanのマルウェア、はSNSを経由して拡散されたが、感染したコンピュータはProxyとして使われただけで、感染したコンピュータから個人情報を盗み取る事はなかった。
更に、マルウェアは非常に簡単に取り除ける様に作成されており、Tiernanがマルウェアで収集したのはIPアドレスだけだったという。
アメリカの裁判所は、IPアドレスを”個人情報”として分類していない。
つまり、Tiernanは「個人情報の盗み取りはしていない」という事になるのだ。
得たお金の全てを大学の授業料へ
Tiernanは、「スパムメールでマルウェア送信しておらず、あくまで広告を拡散しただけ」と主張。スパムメールを送信して感染端末をボット化するスキームは数年続いたのは事実だが、「Tiernanが得た利益は、他のマルウェアキャンペーンと比べたら比較的小さい」ようだ。
したがって、「Tiernanの犯行によってもたらされた被害は、比較的小さい」と弁護士は主張している。
Tiernanは、ITコンサルをする父を持つ
Tiernanは父親の背中を見て育ち、幼い頃からプログラミングを学び、スパムメール・ボットネットの開発に2000年代から携わっていた。
Tiernanの弁護士は、「Tiernanがボットネットのスキームに参加した時、どれ程スキームに参加する事が犯罪に繋がってしまうほど深刻であるか判断ができなかった」と主張している。
実はTiernanは、スキームに参加した当時、銀行口座情報や金銭取引の記録などの個人情報にアクセスさえしなければ、犯罪とみなされないと思っていたようだ。
Tiernanは、現在セキュリティ企業へ
FBIが自宅でTiernanを逮捕した時は、Tiernanはカリフォルニア工科大学（Cal Poly）の学生だったようだ。それ以降、Tiernanはセキュリティ業界に携わりたいとキャリアを洗濯。現在はアメリカのサイバーセキュリティ業界で有名な企業に勤めているようだ。
また、Tiernanの弁護士によれば、Tiernanは働きながらスタンフォード大学院のサイバーセキュリティに特化したプログラムに通っていて、CISSPの資格取得に励んでいる。
Tiernanのように、犯罪を犯した人がサイバーセキュリティの専門家として更生した例はアメリカでは多いようだ。
先日、日本でマルウェアをクラウドサービスのフォルダにアップしたことで逮捕された人がいましたが、日本はマルウェアに関する規制を緩和した方がいいのではないでしょうか。
この記事で取り上げたTiernanのように、技術力が高い青年が日本にたくさんいると思います。
そうした青年たちが厳しい法律を理由に逮捕されてしまったり、そもそも逮捕されるのを恐れてセキュリティに関心を持たなくなってしまう可能性がある事を考えると、日本のセキュリティ業界の将来が不安になります。
セキュリティ企業からしても、攻撃者の視点を持っているセキュリティ専門家は喉から手が出るほど欲しいと言える人材なのではないでしょうか。
確かに、「アメリカはアメリカ、日本は日本」という意見もあるでしょうが、日本のセキュリティ人材を自由に育てる為に、規制緩和をすべきではないでしょうか。
Reference
