ベンダが提供していない決済モジュールの不具合による情報漏洩事故 東京地判令2.10.13（平28ワ10775） - IT・システム判例メモ
ＥＣサイトにおけるクレジットカード情報漏洩事故が、決済代行業者から提供されたモジュールの不具合があったという場合において、開発ベンダの責任がモジュールの仕様・不具合の確認まで及ぶか否かが問われた事例。 事案の概要 Ｘが運営するＥＣサイト（本件サイト）において、顧客のクレジットカード情報が漏洩した可能性があるとの指摘を受けて、Ｘは、本件サイトにおけるクレジットカード決済機能を停止した（本件情報漏洩）。その後、Ｘはフォレンジック調査を依頼し、不正アクセスによってクレジットカード会員情報が漏洩したこと、クレジットカード情報はサーバ内のログに暗号化されて含まれていたが、復号することが可能だったこと、漏えいした情報は最大で約6500件だったこと等が明らかとなった。 Ｘは、本件サイトを、Ｙとの間で締結した請負契約（本件請負契約）に基づいて開発したものであって、本件サイトの保守管理についても本件保守管理
SES契約における期間途中の撤収の責任 東京地判令3.12.20（令2ワ20021） - IT・システム判例メモ
顧客からのクレームに納得できず、SES契約の期間途中に（ほかの案件も含めて）要員を撤収させたこと適否が問題となった事例。 事案の概要 X社は、下記の図のとおり、A社、B社、C社からそれぞれシステム開発に関する業務を受託し、それぞれの案件に対応する要員ａ、ｂ、ｃを、Y社から調達し、その業務を担当させていた。１カ月当たりの単価を定め、比較的短期間（１カ月から３カ月）の契約期間が定められ、必要に応じて延長、更新が行われていたので、いわゆるSES契約といえる形態だったといえる。 このうち、Ａ社にアサインされたａに関し、Ａ社からパフォーマンスが低いとのクレームを受けたXは、2020年5月8日、Yに対し、A社は契約途中の5月22日を以て解除を希望していることなどを伝えた。 クレームの内容が、「GitやRailsのコマンドがわからないレベルだ」などというものであったが、Yは「現場レベルでの作法の話だろう
ハッキングによる暗号資産流出の責任 東京高判令2.12.10金商1615-40 - IT・システム判例メモ
不正アクセスによってビットコインが外部に不正送付されたユーザが、暗号資産（仮想通貨）交換業者に対して損害賠償等を求めた事案において、利用規約中のパスワード管理に関する免責条項によって免責されるか否かが問題となった事例。 事案の概要 Ｘは、Ｙが運営する仮想通貨*1の取引、売買等を行うサービス（本件サービス）を利用するためにユーザー登録を行った（Ｘのアカウントを「本件アカウント」という。）。 平成30年1月27日に、何者かが韓国のＩＰアドレスから本件アカウントにログインをし、短時間の間に本件アカウントに保管されているビットコイン（合計で、約7.9BTC）が外部に送付（窃取）された。 本件サービスでは、外部コインアドレスに仮想通貨を送付するときには、二段階認証を行う必要があり、二段階認証は、ログインパスワードの入力に加えて、ワンタイムパスワードを入力する方法だった。ワンタイムパスワードの発行方法
準委任契約に基づく報酬請求と善管注意義務違反 東京地判令2.9.24（平28ワ28934） - IT・システム判例メモ
開発は途中で終わった場合でも、準委任契約に基づく報酬請求はできるが、適切な計画立案・実行ができていなかったとして善管注意義務違反が認められた事例。 事案の概要 イベント企画会社Ｙは、自社の企画するイベントを管理するためのシステム（本件システム）の開発をＸに依頼することとした。 平成28年3月にＸは開発に着手したが、その時点では契約書が取り交わされておらず、4月になって、Ｘ・Ｙ間で以下の内容（抜粋）の契約書が取り交わされた（本件契約）。 1条2項 本件契約は，Ｘが（中略）業務に従事する技術者の労働をＹに対し提供することを主な目的とし，民法上の準委任契約として締結されるものとする。したがってＸは，善良なる管理者の注意義務をもって（中略）業務を実施する義務を負うものとし，原則として成果物の完成についての義務を負うものではないものとする。 3条3項 前各項にかかわらず，Ｙは，Ｘの本件サービスの業務
野村vsIBM事件控訴審 東京高判令3.4.21（平31ネ1616） - IT・システム判例メモ
東京地裁の判断が覆されてユーザである野村HDの請求が棄却されたことで話題になった控訴審判決。 結論が大きく変わったので，最初に原審と本判決の判断の違いをまとめておく。 事案の概要 普段は判決文から自分なりに事案の概要をまとめるのだが，今回は判決文冒頭の記載がわかりなすいのでそのまま引用する（以下，太字などの書式変更は筆者）。 (1) ＩＢＭは，野村ＨＤとの間で，野村証券（野村ＨＤの完全子会社）のＳＭＡＦＷ業務のためのコンピュータシステムについて，パッケージソフト（ＷＭ）を利用した開発業務支援等の委託を受ける内容の，開発段階ごとの複数の契約（原判決別紙１の１記載の契約・本件各個別契約）を締結した。本件開発業務は，平成２５年１月４日のシステム稼働開始を目標として，平成２２年後半から平成２４年後半まで継続されたが，目標時期における稼働開始実現にリスクがあると判断されたことから，平成２４年８月下
脆弱性対応（Heartbleed）の責任の所在 東京地判令元.12.20（平29ワ6203） - IT・システム判例メモ
クレジットカード情報漏えい事故に関し，その原因の一つと考えられる脆弱性対応が運用保守業務に含まれていたか否かが争われた事例。 事案の概要 Xは，Xの運営する通販サイト（本件サイト）を第三者に開発委託し，運用していたが，その後，2013年1月ころまでに，Yに対し，本件サイトの運用業務を月額20万円で委託した（本件契約）。本件サイトはEC-CUBEで作られていた。なお，XからYへの業務委託に関し，契約書は作成されておらず，注文書には「本件サイトの運用，保守管理」「ＥＣ－ＣＵＢＥカスタマイズ」としか記載されていない。 2014年4月には，OpenSSL*1の脆弱性があることが公表されたが*2，本件サイトでは，OpenSSLが用いられていた。 2015年5月ころ，Xは，決済代行会社から本件サイトからXの顧客情報（クレジットカード情報を含む）が漏えいしている懸念があるとの連絡を受け（本件情報漏えい）
コインハイブ事件控訴審判決 東京高判令2.2.7 - IT・システム判例メモ
マイニングツール，Coinhiveをサイトに設置し，閲覧者にツールを実行させていたことについて，不正指令電磁的記録保管罪の成否が問題となった事件の控訴審判決。一審無罪判決から約10カ月たったところ，高裁で逆転有罪となった。弁護人・平野敬先生より判決文を見せていただいた（ブログで紹介することについても了解を得ています。）。 事案の概要及び原審の判断 当ブログで原審を紹介したので，そちらを参照いただきたい。 itlaw.hatenablog.com 原審では，刑法168条の2第1項の「不正指令電磁的記録」の該当性について，その要件である「反意図性」は肯定したが，社会的に許容されていなかったとまでは言えないとして，「不正性」を否定するとともに，目的要件も否定し，無罪とした。 ここで取り上げる争点 原審同様，反意図性（「その意図に沿うべき動作をさせず，又はその意図に反する動作をさせる」」）と不正性
SQLインジェクション対策不備の責任 東京地判平30.10.26（平29ワ40110） - IT・システム判例メモ
SQLインジェクション対策をしていなかったことについて開発会社の責任が問われた事例。 事案の概要 Xは，Yに対し，Xの提供する車・バイクの一括査定システム（本件システム）の開発を約320万円で委託し，平成24年9月に納品を受けた。 その後Xは，平成28年12月に，IPA*1から，中国のサイトに本件システムの脆弱性に関する情報が掲載されているという指摘を受けて，Yに対し，その調査と報告を依頼した。 その結果，本件システムには，ＳＱＬインジェクション対策が不十分という脆弱性が判明したことから，XはYに対し，その脆弱性はYの被用者の故意過失によって生じたものであるから，使用者であるYには使用者責任があると主張して，民法７１５条１項所定の損害賠償請求権に基づき，緊急対策費用４７万５２００円，詳細な調査，抜本的な修正費用６４０万円，サーバー移転費用３５万６４００円，セキュリティ対策のための本件システ
要件が確定しなかったことにつきベンダに責任がないとされた事例 東京地判平22.7.22（平20ワ16510号） - IT・システム判例メモ
ユーザがベンダに対し，ベンダが一方的に開発契約を解除したとして，損害賠償を求めたが棄却された事例。 事案の概要 ユーザＸは，ベンダＹに対し，平成14年9月18日に，Ｘの人材派遣業務に必要なシステムとして２つのシステムの開発を委託した（契約金額の合計は840万円）。 その後，Ｙは，9月25日にはソフトウェアの概要仕様を記載したシステム設計書を交付したが，Ｘは内容不十分であるとして記名押印を拒絶したためシステム設計書は確定しなかった。さらに，下請業者が交替するなどして，翌平成15年9月になってプロトタイプを作成するとともに再度ドキュメントを提出したが，Ｘは，やはり記名捺印を拒絶し，確定しなかった。その後もＹからはドキュメントが提出されているが，Ｘはやはり拒絶した。Ｙは，Ｘに対し「弊社は契約書の範囲内で最後まで誠意をもって開発を行います。」などと記載した書面を交付した。結局，平成16年9月になっ
1
リリース、障害情報などのサービスのお知らせ
最新の人気エントリーの配信
j次のブックマーク
k前のブックマーク
lあとで読む
eコメント一覧を開く
oページを開く
