概要
不正指令電磁的記録に関する罪（刑法168条の2・168条の3）は、いわゆる「ウイルス作成罪」として2011年（平成23年）の刑法改正で新設されました。マルウェアの作成・提供・実行・取得・保管を処罰対象とし、不正アクセス禁止法が「侵入」を規制するのに対し、こちらは「不正なプログラムそのもの」を規制する点が特徴です。SC試験では構成要件の細部と、2018年のCoinhive事件（最高裁で無罪確定）に代表される「どこからが不正指令か」という線引きが頻出します。
仕組みと動作原理
168条の2と168条の3の全体構造
刑法168条の2は「作成・提供」と「実行」を、168条の3は「取得・保管」を処罰します。前者のほうが法定刑が重く設定されています。
| 条文 | 罪名 | 行為 | 法定刑 |
|---|---|---|---|
| 168条の2第1項 | 不正指令電磁的記録作成・提供罪 | 正当な理由なく不正指令電磁的記録を作成・提供 | 3年以下の懲役または50万円以下の罰金 |
| 168条の2第2項 | 不正指令電磁的記録供用罪 | 正当な理由なく不正指令電磁的記録を実行させる状態に置く | 3年以下の懲役または50万円以下の罰金 |
| 168条の2第3項 | 供用未遂罪 | 供用罪の未遂 | 罰する（未遂も処罰対象） |
| 168条の3 | 不正指令電磁的記録取得・保管罪 | 正当な理由なく不正指令電磁的記録を取得・保管 | 2年以下の懲役または30万円以下の罰金 |
保護法益：「電子計算機のプログラムに対する社会的信頼」
この罪の保護法益（守ろうとしている利益）は個々の被害者の財産や情報ではなく、「コンピュータ・プログラムは意図したとおりに動くはずだ」という社会全体の信頼です。そのため、実際に被害が発生したかどうかを問わず、不正な指令を作成・提供・実行させた時点で成立し得ます（結果犯ではなく抽象的危険犯に近い性質）。
「不正な指令」の定義：意図に反する動作をさせるべきもの
168条の2第1項が定める「不正指令電磁的記録」とは、次の2類型のいずれかです。
- 人が電子計算機を使用するに際してその意図に沿うべき動作をさせず、又はその意図に反する動作をさせるべき不正な指令を与える電磁的記録（実行型）
- 上記の指令を記述した電磁的記録その他の記録（ソースコード等）
判断の中核は「意図に反する動作」と「不正」の2つの要素です。
| 判断要素 | 内容 |
|---|---|
| 意図に反する動作 | プログラムの機能・挙動を、一般的なユーザが実行前に認識・許容していたかを基準に判断 |
| 不正性 | 社会通念上許容される範囲を逸脱しているか（機能の内容・表示の有無・目的等を総合考慮） |
Coinhive事件と最高裁判決（2022年）
事件の概要
Coinhiveは、Webサイト訪問者のブラウザ上で仮想通貨（Monero）のマイニング処理を実行させ、その報酬をサイト運営者の収益とするJavaScriptサービスでした。2018年、これを自サイトに設置した運営者らが不正指令電磁的記録供用罪などで摘発され、有罪・無罪の判断が地裁・高裁・最高裁で分かれる異例の経緯をたどりました。
争点と最高裁の判断
| 段階 | 判断 | 理由の要旨 |
|---|---|---|
| 一審（横浜地裁） | 有罪（罰金10万円） | 利用者の意図に反しCPUを消費させたと認定 |
| 控訴審（東京高裁） | 逆転無罪 | 反意図性は認めたが、社会的許容性の範囲内で不正性を否定 |
| 上告審（最高裁・2022年1月） | 無罪確定 | 「意図に反する動作」ではあるが、CPU使用の程度・広告表示との類似性等から「不正な指令」とまでは言えないと判断 |
最高裁は、Coinhiveのマイニング処理がデータの破壊・窃取・改ざんを伴わず、消費するCPUリソースも広告表示等と同程度であった点を重視し、「反意図性」は認めつつも「不正性」を否定して無罪としました。この判決により、反意図性と不正性は別個に判断される2要素であり、両方を満たさなければ処罰対象にならないことが明確化されました。
セキュリティ研究・ペネトレーションテストとの線引き
「正当な理由」による違法性阻却
168条の2・168条の3はいずれも「正当な理由がないのに」という要件を含みます。これは違法性阻却事由であり、次のようなケースでは処罰対象から外れます。
| 正当化されやすいケース | 判断のポイント |
|---|---|
| マルウェア解析・研究目的での検体保管 | 研究機関・所属の明確性、隔離環境での取扱い |
| ペネトレーションテストでのエクスプロイトコード使用 | 依頼元との契約・スコープの明確な合意が前提 |
| セキュリティ製品の検体（マルウェア）保管 | 業務上の必要性・適切な管理体制 |
| 脆弱性検証用のPoC（概念実証）コード作成 | 公開範囲・使用目的の妥当性 |
**契約・同意のないスコープ外の対象への実行は「正当な理由」を欠き、供用罪が成立し得る点に注意が必要です。**ペンテストでは対象範囲・実施時間帯・緊急停止条件を事前に文書で合意することが、技術的な安全対策であると同時に法的な防御にもなります。
判断が分かれやすいグレーゾーン
- アドウェア・望ましくない挙動を伴うプログラム：削除困難な常駐、無断でのブラウザ設定変更等は「反意図性」が認められやすい
- CPU/リソースを消費するがデータに害を与えないプログラム：Coinhive事件のように「不正性」の判断が分かれる
- エクスプロイトコードの公開（フルディスクロージャ）：研究目的の主張だけでは「正当な理由」が常に認められるわけではない
SC試験での頻出ポイント
- 168条の2（作成・提供・供用）と168条の3（取得・保管）の法定刑の違い：前者は3年以下の懲役/50万円以下、後者は2年以下の懲役/30万円以下
- 供用罪には未遂も処罰対象：実行させる状態に置いただけで既遂、実行前でも未遂で処罰され得る
- 保護法益は「プログラムに対する社会的信頼」：個別の被害発生を必ずしも要件としない
- 「意図に反する動作」と「不正」は別要素：Coinhive事件の最高裁判決で明確化。両方を満たして初めて成立
- 「正当な理由」の有無：セキュリティ研究・ペンテストは契約・スコープの明確化が違法性阻却の鍵
よくある誤問・ひっかけパターン
誤り① 「Coinhive事件は最高裁で有罪が確定した」→ 誤。2022年1月の最高裁判決で無罪が確定しました。「意図に反する動作」は認めつつ「不正性」を否定した点が試験でも問われやすいポイントです。
誤り② 「セキュリティ研究目的であれば、どんなマルウェアを作成・保管しても処罰されない」→ 誤。「正当な理由」は個別具体的に判断され、研究目的を主張するだけでは免責されません。管理体制・使用目的の妥当性が問われます。
誤り③ 「不正指令電磁的記録に関する罪は、実際に被害が発生しないと成立しない」→ 誤。供用罪は実行させる状態に置いた時点で既遂となり得るほか、未遂も処罰対象です。被害の発生は成立要件ではありません。
関連用語
- 不正アクセス禁止法・不正競争防止法 — 「侵入」を規制する法律との役割分担
- ペネトレーションテストと脆弱性診断 — 「正当な理由」の確保が実務上の焦点になる場面
- マルウェア・ランサムウェア — 本罪が対象とする「不正指令電磁的記録」の実体
- サイバーセキュリティ基本法と国家戦略 — 刑法犯罪類型を含む国内法制度の全体像
重要キーワード
| 用語 | 説明 |
|---|---|
| 不正指令電磁的記録作成・提供罪 | 刑法168条の2第1項。不正なプログラムの作成・提供を処罰 |
| 不正指令電磁的記録供用罪 | 刑法168条の2第2項。不正なプログラムを実行させる状態に置く行為を処罰。未遂も処罰対象 |
| 不正指令電磁的記録取得・保管罪 | 刑法168条の3。不正なプログラムの取得・保管を処罰 |
| 反意図性 | 利用者の意図に沿わない、または意図に反する動作をさせること |
| 不正性 | 社会通念上許容される範囲を逸脱していること。反意図性とは別個に判断 |
| 正当な理由 | セキュリティ研究・ペンテスト等が違法性阻却されるための要件。契約・スコープの明確化が鍵 |