Ⅲ

暗号資産

7ID及びパスワードが不正利用された
場合における免責規定の適否
前田 竣

片岡総合法律事務所 弁護士【判決①】東京地判平 31・1・25

平 29（ワ）22870 号

預託金返還等請求事件

判時 2436 号 68 頁

【判決②】東京地判令 2・3・2 平 30（ワ）38172 号 仮想通貨権利移転手続等請求事件

金判 1598号 42 頁

〔判決①〕

「API取引」という。
）がある。API取引を行うユーザーに対しては、上記ID及びPWとは●――事実の概要
被告Yは、暗号資産であるビットコイン（以下「BTC」という。
）の販売、買取り及び取別の符号（APIキー及びAPIシークレット（以下「APIキー等」という。
））が付与される。
本件取引①は、いずれもXのAPIキー等が用いられて行われたものであった。

引所の運営を主な事業として行う事業者であ以上の前提の下、Xは、一次的に、本件取る。原告Xは、Yが運営するウェブサイト上

引①が無効であるとして、X・Y間の金銭消にBTCの取引用アカウント（以下「本件口座」 費寄託契約に基づき、本件交換がされる前のという。
）を開設し、BTCの売買、被告に預時点におけるXの預託金 4545 万 4702 円及び託している金銭の出金等の取引を行っていたこれに対する遅延損害金の支払を求めた。

ところ、何者かが約1時間の間に、Xに無断で、（第 2 次請求及び第 3 次請求については判決

本件口座において、XがYに預託していた金①の原文に当たられたい。
）

銭をBTCと交換し（以下「本件交換」という。
）、

なお、本件取引①に関しては、利用規約上、Xの了知しないBTCアドレスに送付した（以以下の規定（以下「本件免責規定①」という。
）

下「本件引出し」という。また、本件交換とが定められていた。

本件引出しを総称して「本件取引①」という。
）。

パスワード又はユーザーIDの管理不十分、なお、YにおけるBTCの取引には、Yから使用上の過誤、第三者の使用等による損害の提供されたID及びPWを入力してYのウェブ責任は登録ユーザーが負うものとし、当社はサイトにログインして行う方法（以下「ログ一切の責任を負いません。

イン取引」という。
）と、Yがウェブページ上で公開しているAPIを参照してユーザー自らが取引の自動化等を実現するアプリケーシ
ョンを開発し、これを用いて行う方法（以下

●――判旨
請求棄却

56 日本クレジット協会 CCR（クレジット研究）第 10 号（2021 年 6 月）

7 ID 及びパスワードが不正利用された場合における免責規定の適否争点（1）（本件契約の性質（消費寄託契約の成否））についての規定がないことから、本件取引①にXのAPIキー等が用いられたことのみでは本旨弁判決①は、Yによる金銭の保管は、Xが希済の抗弁は認められないとした。また「①本望する日時に即時にBTCの売買を行えるよう件引出しのうち二つの出コイン（筆者注：Yにするというニーズを踏まえてサービスの一に預けているBTCを引き出すこと。
）を除くそ環として行われるものであると認定した上、 の余の出コインの指示は、プレイグラウンド「ユーザーは、被告に対し、ビットコインの （筆者注：Yがホームページ上で提供している売買に使用されていない金銭の返還をいつでAPIをテストする画面。
）上で行われており、も求めることができるが、一旦ビットコイン

原告の指示に係る出コインが、これまでプレの売買に使用された金銭についてはその返還イグラウンド上で行われたことはなかったこを求めることができない」「本件契約においと、②本件引出しのうち上記①の二つの出コて、被告が、原告に対し、一旦ビットコインインの指示は、原告のウェブサイトをアクセの売買に使用された金銭も含めてその返還義ス元として行われたものではなかったこと、務を負っているとは認められないから、原告③原告が本件引出しより前には出コインを 3が被告に預託した金銭と同種、同品質、同量回しか行っていないのに対し、本件引出しは、の返還を前提としているとはいえない。した

原告の預託金のほとんどを交換した後のビッがって、本件契約が消費寄託契約の性質を有トコインの全額について出コインを行うものするということはできない。
」としてXの第 1であり、これまでの原告のビットコインの取次請求を退けつつ、「もっとも、本件契約に引の態様とは整合しない取引であること」をおいて、原告が被告に対し一旦ビットコイン総合考慮した結果、本件引出しがXに無断での売買に使用された金銭についてその返還を行われたとするXの証言の信用性は否定し難求めることができないのは、ビットコインのいとし、本件引出しを実行するための前提と売買に使用することが原告の意思に基づくもして行われた本件交換についても同様とした。のである場合に限られ、その意思に基づかな争点（2）（債務不履行及び不法行為の成否）い場合には、その返還を求めることができる及び争点（4）（免責規定の適用の可否及び効と解される。そして、第 1 次請求に関する原力の有無）について告の主張は、この趣旨を含むものと解される。
」

判決①は、本件免責規定①による免責の抗として、第 1 次請求との関係でも本旨弁済の弁を、Xの第 1 次請求に対する抗弁として位抗弁の成否（争点（3））、被告における債務置づけた上で、Yが本件取引①の当時、信義不履行及び不法行為の成否（争点（2））、並則上、利用者財産の保護のために十分なセびに免責規定の適用の可否及び効力の有無キュリティを構築する義務を負っていたと解（争点（4））について引き続き検討するとした。 されることを前提に、最二判平 5・7・19（集争点（3）（本旨弁済）について民169号255頁。以下「平成5年判決」という。
）

判決①は、利用規約上、APIキー等に基づの枠組みに従って、「被告において、当該APIく取引がなされたときに本旨弁済とみなす旨キー及びAPIシークレットの管理や、当該ユ日本クレジット協会CCR（クレジット研究）第 10 号（2021 年 6 月） 57

7 ID 及びパスワードが不正利用された場合における免責規定の適否

ーザーID及びPWの管理が不十分であったな

付されたBTCについてXへの権利移転手続をど、上記義務に違反していると認められる特実行すること等を求めた。なお、本件取引②段の事情がある場合には、本件免責規定は適に係る利用規約においても、本件免責規定①用されないと解される。
」としてYによるセと同様の免責規定（以下「本件免責規定②」

キュリティ構築義務違反を、上記免責の抗弁という。
）が定められていた。

に対する再抗弁として位置づけた。

（原告の請求は多岐にわたるが、その他の請その上で、API取引が通常のログイン取引

求については判決②の原文に当たられたい。
）に比して、複雑な取引条件を設定したり、大量又は自動的な取引をすることを希望するユーザー向けに設置されたサービスであるとい●――判旨

う性質を踏まえると、Yにおいて、どのよう判決②は、本件取引②が行われた原因は、な取引をもって異常なものとするかの判断はXによる本件アカウントに係るPW管理が不困難であるとし、異常取引の検知義務違反を十分であったことにあるとして、本件免責規否定し、また、本件取引①当時の暗号資産業

定②の適用を認めつつ、Yのセキュリティ構界の取引慣行に照らすと、API利用時に当然築義務違反を理由に本件免責規定②の適用をに二段階認証を通常設定とし、積極的に推奨否定するXの主張についても、Yにおけるセする義務がYに課されていたとは認定できなキュリティ構築義務違反は認められないとしい等と判示し、Yにおけるセキュリティ構築てXの請求を排斥した。

義務違反を否定し、Yの免責を認めた。
〔判決②〕

●――研究
1 はじめに●――事案の概要

判決①も判決②も、暗号資産交換業に係るアカウント型サービスにおいて、利用者のID

判決②の被告Yは、判決①と同一の事業者及びPWが第三者に利用された場合において、である。判決②は、Yとの間で暗号資産取引サービス提供者の責任を免除する免責規定のに関するサービスに係る基本契約（以下「本適用の有無が争われた事案である。キャッシ件基本契約」という。
）を締結し、アカウン

ュレス決済においても特にEC利用等の場面ト（以下「本件アカウント」という。
）を開で、同種の事案が起こり得る。本稿において設していた原告Xが、本件アカウントに第三は、判決①及び判決②の研究を通じて、ID者による不正アクセスを受けた結果、BTC及びPW型の取引における免責規定の有効性の購入等及び外部送付（以下「本件取引②」 について検討する。という。
）がなされたものである。Xは、本

なお、判決①においては、Xによる金銭消件取引②の効果はXには及ばないことを根拠

費寄託契約が成立するとの主張、判決②におとして、本件基本契約に基づき、当該不正送いては、XによるBTCを目的物とする寄託契58 日本クレジット協会 CCR（クレジット研究）第 10 号（2021 年 6 月）

7 ID 及びパスワードが不正利用された場合における免責規定の適否約が成立するとの主張がなされ、いずれも排ために使用した金銭について」の返還義務が斥されている。キャッシュレス決済サービス

ないことを理由に保管合意を否定しているのにもよく見られるが、利用規約中では提供すは、請求原因の認定の段階で本旨弁済の抗弁るサービスに係る法律構成を必ずしも明確化の要素を先取りした判断をしているようにもしていないケースがある。これらの契約は、 思われる。判決①では、「原告が被告に対し複数の典型契約の要素が複合した無名契約で一旦ビットコインの売買に使用された金銭にあると解するのが適切であるケースも多いよ

ついてその返還を求めることができないのは、うに思われるが、訴訟上の主張として明確なビットコインの売買に使用することが原告の理論構成をするために、当該契約に含まれる意思に基づくものである場合に限られ、…第典型契約の要素を分析しようとする場合、実1 次請求に関する原告の主張は、この趣旨を態として何契約としての要素を有していると含むものと解される。
」として、第 1 次請求と解するのが適切かが一義的には明らかにならの関係においても、争点（2）から（4）につないことがある。本件両判決は、このようないて検討していることから、結論としての妥利用規約に基づき提供されているサービスの当性に影響はないと思われるが、かかる判示法的性質を確定することの難しさを端的に表では、請求原因の捉え方が不明確となるようすものとして評価することも可能である。本に思われる。

件両判決を踏まえ、事業者としては利用規約

上記判示を踏まえると、Xとしては、第 1 次を作成する時点から、自社サービスの法的性請求を準委任契約の解除に基づく前払費用の質を整理しておくことの重要性を再確認され返還請求として法律構成した方が、裁判所がたい。

判示した理屈とも噛み合う主張となったので2 利用規約に基づく法的主張の構成はなかろうか。この場合、（あ）XがYにBTC

判決①では、Xは第 1 次請求として金銭消の購入事務を委託しYがこれを受託したこと、費寄託契約に基づく寄託物返還請求を主張し （い）Xが当該事務に係る費用としてYに金銭た。その請求原因事実は、（あ）XY間での金の前払をしたこと、及び（う）XY間の準委銭の保管合意及び（い）Yによる金銭の受領任契約の終了が請求原因事実となり、（か）Yであるところ、裁判所はYによる金銭の保管がXから預かった金銭を用いてBTCを購入しは、ユーザーの希望する日時に即時にBTCたこと、及び（き）当該購入がXの意思に基の売買を行えるようにするというユーザーのづくことが本旨弁済の抗弁を構成することとニーズを踏まえて、サービスの一環として行なり、請求原因と抗弁のそれぞれで主張立証われるものであることを理由に、Yが一旦すべき対象が上記の消費寄託構成の場合よりBTCの売買のために使用した金銭について、 も明快に整理される（なお、判決①では、XこれをXに返還する義務は負わないとして、 が「本件取引①が無効であるとして」X・Y
XY間における保管合意の成立を否定し、X間の金銭消費寄託契約に基づき預託金の返還の第 1 次請求を排斥した。

請求をするとしており、請求原因の時点で本

この点、「Yが一旦ビットコインの売買の件取引①の有効・無効を先取りした点が理論

日本クレジット協会

CCR（クレジット研究）第 10 号（2021 年 6 月） 59

7 ID 及びパスワードが不正利用された場合における免責規定の適否的な整理を複雑化させる一因となった可能性ンを行ったものであること（イ）本件引出しも否定できない。
）。のうち、2 回を除いては、Xがこれまでに利いずれにせよ、審理の充実化を図る観点か用したことのないチャネル（判決①にいう「プらは、当事者は利用規約に規定されている形レイグラウンド」）を用いて行われていたこ式的な取引構造（事象面）のみならず、利用と、（ウ）本件取引①にはAPIキー等の利用規約に基づき提供されるサービスの目的（本が必要であることを根拠として、本件交換は件においては、Yが金銭の預託を受けるのは、 X以外の何者かがXのAPIキー等を用いて行それを保管すること自体を目的としたものでったことが認められるとし、本件交換が本件はなく、サービス利用者からのBTCの購入引出しの前提行為であることを踏まえると、指図等の依頼を迅速に実行するための準備金

本件引出しもX以外の何者かがXのAPIキーを受け入れる趣旨によるものであること）を等を用いて行ったことが認められるとした。

理論的に分析したうえで自身の主張に係る法かかる判示を踏まえると、キャッシュレス律構成を考える必要がある。本件に関して決済事業者においてもアカウント型サービスは、裁判所としても釈明権行使により交通整において利用者に対し付与されたID及びPW理を図る余地もあったように思われる。

が正確に入力されたとしても、そのことを理3 ID・PWの利用と本人の意思由に利用者本人の意思に基づくサービス利用

判決①では、本件取引①につき、本旨弁済であることが十分に推定されるわけではないの抗弁が認められるかが争点となった（争点ことを意識し、免責規定の適切な整備と、そ（3））。本旨弁済の抗弁の当否は、本件取引①の適用が認められるために各社が採るべき対がXの意思に基づくものであったかどうかの応についての検討・分析、及び当該検討・分判断によるところ、XのAPIキー等が用いら析結果を平時から実務に反映させること（体れたという事実が特に問題となる。

制整備）が重要となると考えられる。

判決①は、利用規約中にAPIキー等に基づ

4 免責規定の適否く取引がなされた場合に本旨弁済とみなす規 （1） 免責規定の整備
定がないことから、XのAPIキー等が利用さ本件取引①は、第三者によりXのAPIキーれたことのみをもって本旨弁済の抗弁を認め等が不正利用された事案であるが、本件免責ることはできないとしつつ、大要、以下のよ

規定①は、「PW又はユーザーID」が第三者うな事実認定を基礎として、他の事情を踏まにより利用された場合を対象とした規定であえても本件取引①がXの意思に基づいて行わり、明示的にAPIキー等について定めたものれたものであると認定することはできないとではない。しかしながら、判決①では、
（ア）

した。

本件免責規定①の「ユーザーID」及び「PW」

すなわち、（ア）原告が過去に 3 回しか出について利用規約中に定義付けがされていなコインをしたことがないのに対し、本件引出

いこと、（イ）APIキー等は、API取引におしが、短時間の間に原告の預託金のほとんどいて、Yのウェブページ上のアカウント内のを交換した後のBTCの全額について出コイ情報に直接アクセスするためにユーザーID

60 日本クレジット協会 CCR（クレジット研究）第 10 号（2021 年 6 月）

7 ID 及びパスワードが不正利用された場合における免責規定の適否及びPWに相当するものとしてユーザーごとれるとしても、YにおいてAPIキー等の管理に配布されるものであること、（ウ）API取が不十分であったなど、信義則上、Yが利用引は、ユーザー固有のプログラムを使用する者財産の保護のために負う、十分なセキュリ関係上、通常のアカウント取引に比べてリスティを構築する義務に違反していると認めらクを生じさせると考えられることを総合考慮れる特段の事情がある場合には、本件免責規して、本件免責規定①の「ユーザーID」及定①は適用されないとして平成 5 年判決の枠

び「PW」には、APIキー等が含まれると解組みを踏襲した判断を行っている。

するのが当事者の合理的意思に合致するというべきであるとした。

これに対し、判決②は、本件免責規定②の適用の前提として、XがYによる警告にも関これは、免責規定の適用に関し、形式的なわらず初期設定のPWの変更を行わず、また文言のみでその当否を判断するのではなく、 二段階認証に用いられるPWについても使い合理的な解釈と認められる範囲で適用の余地回しを行っていたこと等のXにおけるPW管を広げつつ、実際に免責規定の適用が認めら理に係る過失を認定したうえで、これに付けれるかについては後述する平成 5 年判決の判加える形で、Yにおいてセキュリティ構築義断枠組みに従った実質面の検討を尽くして判務が尽くされていたことの認定をし、本件免断することとしたものと評価でき、適切であ責規定②の適用を認めた。

る。もっとも、上記（ア）のとおり、本件免このように判決①と判決②ではXの過失へ責規定①の「ユーザーID」及び「PW」につの言及の有無で差分が存するが、免責規定のいて利用規約中に定義付けがされていないこ適用を認めるかの判断に際して、Xの過失（帰とを要件として挙げていることに照らすと、 責性）を独立の要件として位置づけるべきで仮に利用規約中に「ユーザーID」及び「PW」 あろうか。
が明示的に定義されており、そこにAPIキー

この点、暗号資産のように短時間で価格変動等が含まれていなかったとすると、そのことが生じることが想定される資産に係る取引にをもってAPIキー等を用いた取引に係る免責ついて委託を受け、その取引原資の受託まで規定の適用が否定された可能性もある。したしているケースにおいては、サービス提供事がって、取引の形態ごとに複数のIDやPWを業者としては、その取引の趣旨に照らして、使い分けているケースにおいては（例えば実基本契約に基づき利用者の指図に従って適時店舗での決済とECでの決済でそれぞれ使用にサービス提供（受託した財産を用いた暗号する暗証番号・PW等が別々に設定されてい資産の売買）をすべき義務を負っていると解るケース等）、すべてのID及びPW等についされ、基本契約の趣旨に照らして指図を受けて免責規定でカバーできているかを確認してたタイミングで義務履行をすることが強く求おくことが重要となる。

められる点で、民法 478 条（受領権者として（2）利用者の帰責性の外観を有する者に対する弁済）の場合（弁判決①は、本件取引①の実施に際してXの済期に弁済をすることが法律上義務付けられAPIキー等が用いられたという事実が認めらている場合）と利益状況を共通するものであ

日本クレジット協会

CCR（クレジット研究）第 10 号（2021 年 6 月） 61

7 ID 及びパスワードが不正利用された場合における免責規定の適否ると考える。

引の特性（複雑な取引条件を設定したり、大したがって、債権法改正の議論の際に民法量又は自動的な取引を希望するユーザー向け478 条の要件として債権者の帰責事由を独立の取引であること等）を踏まえ、何をもっての要件としなかったのと同様に、暗号資産交異常な取引と判断するかを確定することは困

換業における免責規定の適用の有無を検討す難であるとして当該義務違反を否定した。まるに際しても、利用者側の帰責事由についてた、本件取引①当時における暗号資産業界には、これを独立の要件として求めるのは適当おける一般的な基準に照らして判断するとではないと考える。

API利用時に二段階認証を通常の設定とし、他方、クレジットカードやデビットカード

これを積極的に推奨する義務を負っていたとのような決済手段に関しては、正確な情報がもいえないとし、Yにおけるセキュリティ構入力されていることが確認された場合にも関築義務違反は認められないとした。

わらず、サービス提供者がその利用を直ちにこの点、何をもって事件当時における当該承諾せず、本人性の確認のために一定の時間業界の一般的基準と解すべきかについては評を要したとしても、そのことによってサービ価が難しいところである。セキュリティの構

ス利用者の具体的な損害の発生に直結するこ築に関しては、サービス毎に各省庁又は各業とが取引構造上、当然に想定されるものでは界団体等がガイドライン等を定めているケーない。また、サービス利用者としても代替的スがあるが、これらは健全な市場を形成するな決済手段を用いることによる不利益の回避という目的を見据えつつ設けられたものであが容易になし得ることを踏まえると、サービる場合もあり、これを遵守しているか否かを、ス提供者がサービス利用者に対して負う義務

個別の紛争事案における当事者間の損失分担の程度を、弁済（民法 478 条）の場面と同視を決する基準にそのまま流用することは必ずして同様の理論的整理（利用者の過失を要件しも適切ではない場合もあると思われる。としないという判断）をあてはめることがでそこで、基本的には、免責規定（帰責規定）きるかについては議論の余地があり得るようの適用の有無を判断するために、セキュリティに思われる。

構築義務違反の有無を考えるに当たっては、したがって、この点に関しては、サービス検討対象となる取引に関し、現に業界的に取利用者がサービス提供者に対して委任していり組まれているプラクティスに係る慎重な検る事務に係る指図の時限的な拘束力の強さを討を行うことがなお重要であると考える。

重要な考慮要素としつつ、サービスの本旨を ［参考判例・文献］も考慮した検討を行うことが重要となると考 最三判平成 15・4・8 民集第 57 巻 4 号 337 頁 法制審える。
（3）セキュリティ構築義務の判断基準

議会民法（債権関係）部会 部会資料 39「民法（債権関係）の改正に関する論点の検討（11）」13 頁

セキュリティ構築義務が尽くされていたか否かを判断するに際して、判決①は、Yにおける異常取引の検知義務については、API取62 日本クレジット協会 CCR（クレジット研究）第 10 号（2021 年 6 月）