2010年 岡崎市立図書館事件（Librahack事件）

何が起きたのか

2010年、愛知県の岡崎市立中央図書館で、ある男性が逮捕されました。容疑は「偽計業務妨害ぎけいぎょうむぼうがい」――図書館のウェブサイトに大量にアクセスして、閲覧しにくくした、というものです。

ところが、この事件には大きな「ねじれ」がありました。男性がしていたのは、図書館の「新着図書」ページから新しい本の情報を自動で集める、自作のプログラムを動かすこと。1秒に1回ほど、しかも前のアクセスの返事を待ってから次を送る、専門家から見てもクローラーとして常識的な範囲の動きでした。これはウェブの世界で「クロール」と呼ばれる、検索エンジンなども日常的に使っているありふれた技術で、サービスを止めようとする「攻撃」とは目的も性質も異なるものでした。

男性のアクセスが障害のきっかけになったことは事実です。しかし、通常なら問題にならない程度のアクセスでサイト全体が使えなくなった原因は、図書館システム側にあったことが、のちの調査で明らかになります。それでも、逮捕されたのは男性のほうでした。

男性は釈放後、「Librahack（リブラハック）」というサイトを立ち上げ、自分の身に何が起きたのかを公開しました。これをきっかけに、ネットに詳しい技術者たちが次々と検証を始め、事件の実像が広く知られていきます。この事件が「Librahack事件」とも呼ばれるのは、このためです。

📖 関連事件: 2004年 Winny（ウィニー）事件　― あちらは技術（ファイル共有ソフト）を“作った人”が逮捕された事件、こちらは技術（クロール）を“使った人”が逮捕された事件。どちらも「技術そのものは罪なのか」「どこまでが個人の責任か」を社会に問いかけた。2本セットで読むと、技術と法律のズレが見えてくる。

経緯・タイムライン

2010年3月頃：図書館サイトに障害が発生

岡崎市立中央図書館のウェブサイトが、つながりにくい状態になりました。図書館はシステムを管理する会社（三菱電機インフォメーションシステムズ、以下MDIS）に調査を依頼し、いくつかの対策をとりますが、解決しませんでした。

2010年4月：男性が新着図書ページを自動取得

一人の利用者だった男性は、図書館の「新着図書」ページが数か月分をまとめて表示する仕様で使いづらかったため、自分専用の使いやすい新着本ページを作ろうと考え、自作のプログラムで情報を集めていました。アクセスは1秒に1回ほど、1件ずつ。毎日1時間程度を、4月上旬から中旬にかけて行い、合計で約3万3000回に及んだとされています。

2010年4月15日：図書館が被害届を提出

図書館は岡崎署に被害届を提出。あわせて、アクセスログと利用者4人分の個人情報を警察に渡しました。図書館の利用記録は、その人の関心や思想を推測できる場合があるため、捜査機関への提供には慎重であるべきだという批判も、のちに起こりました。

2010年5月25日：男性を逮捕、実名で報道

男性は偽計業務妨害の疑いで逮捕され、新聞などで実名報道されました。以後、20日間にわたって身柄を拘束（勾留こうりゅう）されます。

2010年6月14日：起訴猶予で釈放

検察は起訴猶予きそゆうよ処分とし、男性は釈放されました。起訴猶予とは「起訴できるだけの事情はあっても、いろいろな事情を考えて起訴を見送る」処分で、裁判が開かれていない以上、裁判所が男性の行為を犯罪だと認定したわけではありません。

2010年6月19日〜：当事者がサイトを公開、検証が始まる

男性は「Librahack」サイトで経緯を公開。これを読んだ技術者たちが調査を進め、閲覧障害の根本原因がシステム側にあったことが、次第に明らかになっていきます。MDISは6月末から接続方式の改良を進め、7月から、同じシステムを使う図書館の改修を始めました。

2010年9〜11月：アクセス障害とは別に、個人情報流出が発覚

事件の調査が広がるなか、MDISのシステムに利用者の個人情報が混入したまま各地の図書館に納入されていた、アクセス障害とは別の問題も明らかになります（くわしくは解説②）。

2011年2月25日：図書館と男性が共同声明

岡崎市立図書館は、閲覧障害の原因がシステム側にあり、男性のプログラムには技術的に一定の配慮が施されていたことを認め、男性の社会的名誉が回復されることを願うと表明しました。ただし、被害届の取り下げには至りませんでした。

解説①：「クロール」と「DoS攻撃」は何が違うのか

クロールとは、ウェブページを自動でたどり、情報を集める技術です。検索エンジンや価格比較、研究用のデータ収集など、さまざまな場面で使われています。

一方、DoS攻撃とは、サーバーに負荷をかけるなどして、サービスを利用しにくくしたり止めたりする攻撃です。ただし、「自動アクセスならクロール」「回数が多ければ攻撃」と、単純に線引きできるものではありません。クロールでも作り方が悪ければ大きな負荷をかけてしまうことがあり、DoS攻撃にも、少ない接続を長く保つ「低速型」などさまざまな方法があります。ログを見ればアクセスの動きや頻度は分かりますが、実行者の「意図」まで必ず判別できるわけではありません。

岡崎市立図書館の事件で男性が使ったプログラムは、約1秒に1回、前の処理が終わるのを待ってから次の情報を取りに行くものでした。のちに図書館側も、このプログラムには技術的に一定の配慮が施されており、通常のシステムなら大きな問題を起こすようなものではなかったと認めています。

この事件で大切なのは、「自動アクセスだから攻撃だった」のではなく、アクセスの目的・頻度・動作、実際に生じた影響、そしてシステム側の状態までを総合して判断する必要があった、という点です。

解説②：障害を深刻化させたシステムの仕様と、ベンダーの対応

男性のプログラムによるアクセスが、障害のきっかけになったことは事実です。しかし、なぜ通常なら処理できる程度のアクセスで、図書館のサイト全体が使えなくなったのでしょうか。

原因は、システムのデータベース接続のしくみにありました。情報セキュリティの専門家である高木浩光氏（当時・産業技術総合研究所）は、このシステム（製品名「MELIL/CS」）が接続を適切に解放しない方式で、「1秒に1〜2回程度という常識的なクローラーのアクセスにすら耐えられない構造だった」と指摘しています。アクセスのたびに使った接続がたまっていき、同時に開ける接続の上限を超えると、ほかの利用者がつながらなくなってしまうのです。MDIS自身も、もとは館内での利用を想定したシステムをそのままインターネットに公開しており、クローラーのようなアクセスへの備えが十分でなかったと認めています。

対応にも問題がありました。報道によれば、MDISは2006年には問題を解消した新しい版を開発していましたが、岡崎市立図書館では2005年に導入された古い版が使われ続けていました。MDISは2010年3月の障害発生後も十分な原因究明を行わず、図書館への説明も不十分なまま。6月に別の図書館でも機械的アクセスによる障害が確認されてから、接続方式を変える改修を始めました。のちにMDISは「SIer（システムを作って納める会社）としての責務を十分に果たせておらず、根本原因は弊社にある」と謝罪しています。

つまりこの事件は、アクセスした利用者だけを調べるのではなく、「通常の利用に耐えられるシステムだったのか」「障害のあと、適切な原因調査が行われたのか」も問われる事件でした。

さらに、調査が広がるなかで、アクセス障害とは別の問題も発覚します。MDISが保守作業の際に、利用者の個人情報が含まれたまま製品のデータに登録し、そのまま各地の図書館に納入していたのです。当初は岡崎市立図書館の163人分が全国37館に混入していたことが判明し、その後の調査で、宮崎県えびの市・愛知県岡崎市・東京都中野区の3館・合計2971人分の個人情報が、誰でもアクセスできる状態のサーバーから流出していたことが確認されました。MDISの社長は陳謝し、岡崎市はMDISを18か月の入札参加停止としました。

解説③：なぜ「逮捕」に至ったのか――技術と捜査のすれ違い

では、攻撃でもないのに、なぜ逮捕にまで至ったのでしょうか。

警察は、男性が意図的に大量のアクセスを行い、実際に図書館の業務に支障を生じさせたとみて、捜査を進めました。しかしその後、プログラムの動作やシステム側の仕様が明らかになると、技術的な評価が十分だったのか、という批判が専門家から相次ぎました。図書館側は当初、「（プログラムに）違法性がないことは知っていたが、図書館に断りなく繰り返しアクセスしたことが問題だ」と説明していました。

男性は取り調べで、「DoS攻撃をしてしまった」という趣旨が書かれた調書にサインを求められたといいます。本人はそんな言葉を言った覚えはなかったものの、表現をやわらげてもらったうえでサインした、と後に自身のサイトで明かしています。

処分は起訴猶予でした。起訴猶予は、犯罪の疑いがあると検察が判断しても、さまざまな事情を考慮して起訴を見送る「不起訴処分」の一つで、前に書いたとおり、裁判所が男性の行為を犯罪だと認定したものではありません。名古屋地検岡崎支部は取材に対し、起訴を見送った理由として「強い意図は証拠上認定できなかった」「業務妨害として悪質とはいえない」「本人も反省している」といった点を挙げたとされています。産業技術総合研究所の高木浩光氏ら専門家の多くは、そもそも逮捕に無理があったのではないか、と捜査に疑問を呈しました。

この事件で多くの技術者が恐れたのは、「ふつうの技術を使っただけで逮捕されるかもしれない」と、技術者が萎縮いしゅくしてしまうことでした。男性自身も「同じ状況に出くわした他の技術者が、自分と同じように逮捕され、犯罪者とみなされることを心配している」と語っています。

現代との接続――スクレイピングとAIの時代に

この事件から十数年たった今も、ウェブの情報を自動で集める技術は、検索エンジン、価格比較、研究、データ分析など、広い場面で使われています。生成AIの開発でも、ウェブから集められたデータが学習に使われる場合があります。

ただし、AIの学習をめぐる問題は、サーバーへの負荷だけではありません。著作権、個人情報、サイトの利用規約、データを集められる側の意思をどう扱うかなど、別の論点も含まれます。Librahack事件とまったく同じ問題ではありませんが、「技術的に可能だからといって、何をしてもよいわけではない」「集める側と集められる側の双方に、理解とルールが必要だ」という点ではつながっています。

AIの助けを借りれば、プログラミングの経験が少ない人でもクローラーを作れる時代になりました。だからこそ、プログラムが動くかどうかだけでなく、アクセス先の規約、サーバーへの負荷、集める情報の権利や個人情報まで考える必要があります。

教訓

1. 「自動アクセス」は便利だが、相手のサーバーへの配慮を忘れない

クロールやスクレイピングをするときは、アクセスの間隔をあけ、相手の利用規約を確認し、robots.txt（サイト運営者がクローラーに「ここは避けてほしい」と伝える技術的な取り決め）にも従いましょう。ただし、robots.txtは法律上の許可証ではありません。許可されていても規約に反することはあり、なくても無制限にアクセスしてよいわけではありません。

2. 「攻撃のつもりはない」が、相手に伝わるとは限らない

悪意がなくても、相手が「攻撃された」と受け取ることはあります。だからこそ、利用規約や運営者が示すルールを確認し、必要に応じて問い合わせることや、自分が何をしているか説明できる状態にしておくことが、自分を守ります。

3. システムを作る側・運用する側にも、大きな責任がある

サイトを公開する以上、世界中からアクセスが来ます。通常の利用に耐える作りになっているか、不具合が起きたときにきちんと原因を調べ、利用者に説明できるか――作って納める側・運用する側の責任も重い、とこの事件は示しました。

4. 「逮捕＝有罪」ではない。報道をうのみにしない

実名で報道されても、のちに起訴猶予になったり、捜査そのものへの批判が集まったりすることがあります。ネットや報道の「犯人扱い」を、そのまま信じ込まないことが大切です。

5. 図書館の利用情報も、大切な個人情報である

どんな本を探したか、どんなサービスを利用したかという記録からは、その人の関心や考え方が推測されることがあります。便利なサービスを運営する側には、利用者の情報を必要以上に残さず、慎重に扱う責任があります。この事件で、図書館が利用者の情報を警察に渡したことや、システム会社が2971人分の情報を流出させたことが問題になったのも、そのためです。

6. 技術を学ぶ人ほど、「作法」と「責任」も一緒に学ぶ

これからプログラミングやデータ収集を学ぶ人にとって、「何ができるか」だけでなく「どうふるまうべきか」を知ることが、いちばんの自衛になります。

考えてみよう

1. 「クロール（自動で情報を集めること）」と「DoS攻撃」は、回数や動きだけでは簡単に区別できないことがあります。両者を見分けたり、トラブルを避けたりするには、どんな点に注目すればよいと思いますか？
2. もしあなたが図書館のサイトを管理する立場で、つながりにくい障害が起きたら、まずどこに相談しますか？　警察か、システム会社か――それはなぜですか？
3. AIがウェブのデータを学習に使うことには、賛成・反対の両方の立場があります。「集める側」と「集められる側」、それぞれの言い分を想像したうえで、あなたはどう考えますか？

私たちができること

プログラミングやデータ収集に興味がある人が、自分も相手も守るためにできることです。

1. 事前に確認する：相手サイトの利用規約を確認し、robots.txtにクローラー向けの指示があれば従う（ただし、robots.txtは法律上の許可を示すものではない）。
2. 間隔をあける：一気に大量に送らず、アクセスの間をあける。
3. 説明できるようにする：自分が何をしているか、連絡先を含めて説明できる状態にしておく。
4. 「公開されている＝何をしてもよい」ではないと意識する：見られる情報でも、集め方には作法がある。
5. 不安なときは相談する：まず先生や保護者、詳しい技術者に。研究や本格的な収集をするなら、サイトの運営者に確認し、必要に応じて法律の専門家にも相談する。

対象年齢

この記事は高校生に向けて書いています。プログラミングやAIを学び始め、「自分でデータを集めてみたい」と思う人が増える年代です。Librahack事件は、技術そのものは善でも悪でもなく、使い方と、それを取り巻くルールや社会の理解が追いつかないと、思わぬ悲劇が起きることを教えてくれます。技術を学ぶなら、その「力」と同時に「作法」と「責任」も知ってほしい――そんな願いを込めた一本です。

用語メモ

• クロール／クローラ：ウェブページを自動でめぐって情報を集める技術・プログラム。検索エンジンの基礎技術。
• スクレイピング：ウェブページから必要なデータを抜き出して集めること。クロールと近い意味で使われる。
• DoS攻撃：サーバーに負荷をかけるなどして、サービスを使えなくしようとする攻撃。手口はさまざま。
• robots.txt：サイト運営者がクローラーに「どこにアクセスしてほしくないか」を伝える技術的な取り決め。法律上の許可証ではない。
• 偽計業務妨害：うそや計略を用いて、人や会社の仕事を妨害する罪。
• 起訴猶予：起訴できる事情はあっても検察が起訴を見送る「不起訴処分」の一つ。裁判所による有罪判決とは異なる。
• 脆弱性（ぜいじゃくせい）：システムやソフトの弱点・欠陥。攻撃や障害の原因になる。
• ベンダー／SIer：システムを作って企業や自治体に納める会社のこと。
• 萎縮効果：処罰をおそれて、本来は問題のない活動まで人々が控えてしまうこと。

📚 参考資料・関連記事