Facebookのソースコードを盗み懲役刑に服したハッカーが告白録で無罪を主張

彼はFacebookのソースコードを盗んだが、そのコピーや公開や販売はしなかった。その後彼は逮捕され収監された。4か月の拘禁から解放された彼、Glenn Steven Manghamは、ブログで、自分はFacebookにセキュリティの弱点をパッチさせようとした善玉ハッカー(white hat hacker)であり無罪だ、と主張している。

しかしFacebookは本誌の求めに応じて、この26歳の青年の主張は“すでに裁判所が否認しており、その結果として彼の有罪判決と懲役4か月の量刑が決まったものである”との見解を述べた。

Manghamによれば、彼はFacebookに脆弱性を教えようとしたのだから、むしろセキュリティの研究者たちを法的措置から守る、FacebookのWhite Hatプログラムの対象になるべきである。それなのにManghamは、ソースコードをFacebookに知らせぬまま3週間手元に持ち、逮捕された。彼は、真実を語っているのだろうか、それとも大嘘をついているのか？

はじまりは2011年の4月27日だった。彼はイギリスのヨーク州のAcombで親の家に住んでいた。彼はその日から2週間、自分の寝室で、さまざまなソフトを駆使してFacebookをハックした。彼は、Facebookの入社志願者がパズルを解くサイトProgramming Challengeをハックして、Facebook社員Stefan Parkerのアカウントを手に入れ、その社員特権により社内のサーバにアクセスした。そこで彼はソースコードを発見し、はるばるアメリカからイギリスへダウンロードした。

彼の主張によると、Facebookが自分に目を付けている徴候に気づいておびえた彼は、侵入をFacebookに知らせることを尻込みした。FacebookのWhite Hatプログラムの開示責任条項には、こう書かれている:

コードを盗んでから3週間後にFBIとイギリスの法執行機関が彼を逮捕し、Facebookが20万ドル相当の被害と主張する事件の調査を開始した。Manghamは、“Apacheのアクセスログを見たり、ぼくのIPアドレスを調べたり、ISPにぼくのアクセス記録を要求して調べたりするのに3週間の時間と20万ドルの費用がかかったなんて、理解できない”、と言ってFacebookが訴える被害額を疑問視している。

刑務所に2か月入れられ、すべてのコンピュータ機器を破壊されたManghamはその後、インターネットにアクセスしないこと、それができる機器を持たないこと、そして自宅で生活することを条件に保釈された。さらにその後2012年の2月に彼には、コンピュータへの3回の不法アクセスとデータの不法改変の廉で懲役8か月の判決が下（くだ）った。それから数週間後に上訴が成功して刑期は半減され、わずか2か月*の服役ののちに彼は電子的なタグを付けられて釈放された。〔*: 刑確定前の2か月の拘禁をプラスして計4か月〕

Manghamはブログの告白記事と告白ビデオで、彼の取り扱われ方に対する苦情と、彼の行動の説明を述べている。その一部を紹介しよう:

• ソースコードを盗んだのはセキュリティに関するより深い“ホワイトボックステスト”ができるためである。
• Facebookに被害を与えることを未然防止するために、コードを取り出すスクリプトは“サブディレクトリへの無限再帰”が起きないように書いた。無限再帰はほかのリクエストへのサーバの対応を遅らせ、Facebookのサーバの可利用性を阻害する。
• 彼の苦情によると、彼は自分の意図等を誤解され、FacebookのCSO（セキュリティ担当最高役員）Joe Sullivanから公開の場で悪者扱いされ責められた。そのことを証明する証拠は、どこにもないのに。
• Facebookの“外殻”の穴をただちに報告しなかったのは、その穴をすぐにパッチされると、さらに深い脆弱性を調べて列挙することが、できなくなるからである。
• 彼によれば、FacebookのBug Bountyシステムを使って欠陥を開示しなかったのは、それがまだ存在していなかったからである。しかしながらFacebookには当時から、脆弱性を報告する方法が維持されていた。報告に対する謝礼はなかったが。
• 彼から見て、上訴が認められたことは感謝するが、懲役刑は厳しすぎる。しかも彼の行為がFacebookに及ぼした被害の正確な額は、未だに知らされていないのだから、判事は刑の大きさを確定できなかったはず。

彼は声明のいちばん激越な部分で、Mark Zuckerbergを責めている。後者はかつて、ハーバード大のネットワークをハックして学生のID画像を集め、Facebookの前身“Facemash”で使った。Manghamは、CEOがJoe Sullivanのようなサイバー警察官を雇ったことを非難し、それはZuckerbergの言うFacebookの社風、“ハッカー文化”に反するではないか、と言っている:

彼の言うことが、保身のための嘘なのか、それとも本当にFacebookのセキュリティを助ける気だったのか、それは分からない。しかし上のような声明文が、彼を聖人として描いていないことは確かだ。彼は以前、同じようなことをしてYahooに謝礼をもらっているが、それが今回の無罪の証拠にはならない。それにManghamには、特赦の機会もあった。Facebookは本誌に対して、Manghamの犯意の証拠の開示を拒んだが、しかし同社の声明は、Manghamが自分の行動を開示せずに法を破り、それだけでも十分に犯罪だ、と言っているように見える。

Facebookは善意のハックには500ドル以上の謝礼を提供しているから、とても先進的な企業だ。最近は、あるインターン（見習い社員）さえもが、欠陥を見つけて謝礼をもらった。でも、同社が今後もハッカーコミュニティとの良好な関係を維持したいのなら、この記事の冒頭で引用した開示責任条項の文言は、“知らせることが奨励される”という柔らかい言葉ではなく、“知らせることをあなたに要求する”、といった強い言葉にすべきだ。しかしそれでもなお、侵入をいつまでに開示すべきか、という問いは残る。あるいはそれは、事前承諾を要するのか？

結局のところ、もっと大きな欠点を見つけて手柄を立てたいので脆弱性の開示を遅らせる、という行動は愚かしいし犯罪的だ。善意のハッキングやそれに対する特赦の風習は、インターネットの良い面だが、でもこの危険な海を防護服なしの裸で泳いでサメに噛まれ、そのときびっくりしたのでは遅い。

[原文へ]
（翻訳：iwatani(a.k.a. hiwa)）