「ハック」は効率や生産性を上げるためのコツやノウハウと思われがちだが、その本質は違う。様々な分野の「ハッキング（ハックする行為）」を解説してその本質を解き明かしたうえで、AI時代にルールを味方につける考え方を説いた書籍『 ハッキング思考 』から、抜粋・編集して掲載する。その第2回。
ハックは、どんなシステムでも対象にできるが、種類の違うシステムで比較してみると、ハックのしくみが際立つかもしれない。税制とコンピューターのコードなどだ。
税制はソフトウェアとは違う。コンピューター上で実行されるわけではない。それでも、コンピューターについて語るときの「コード」と同じように考えることができる。ある年度の財務情報を入力、確定した税額を出力と考えれば、入力を取って出力を返す一連のアルゴリズムだからである。
税制は、おそろしく複雑だ。私たちのような個人にとっては違うかもしれないが、富裕層や各種の企業に対しては、膨大な量の細則と例外、特例が定められている。税制を構成しているのは、国の法律、行政上の決定、司法上の裁定、そして法的な見解だ。法人やさまざまな合名会社に関する法律や規制も入ってくる。全体がどのくらいの規模なのか、信頼できる概算は入手が難しく、専門家でさえ、訊いてみたところ答えに窮していた。
税に関わる法律そのものは、およそ2600ページ分だ。国税局が定めている規則と税制上の決定を合わせると、およそ7万ページまで膨れ上がる。企業組織や合名会社に関する法律も同じくらい複雑なので、厳密さをあきらめるなら、ざっと合計10万ページくらいだろうか。つまり3000万行、それがアメリカの税制というコードだ。
マイクロソフトのウィンドウズ10は、約5000万行のコードでできている。文章上の行と、コンピューターコードの行を比較するのは難しいが、比較はそれなりに有効だ。どちらの場合も、その複雑さの大半は、コードの部分部分が相互にどう機能し合うかという点に関わっている。
コンピューターのコードには、必ずバグが存在する。間違いのある箇所だ。仕様の誤り、プログラミングの誤り、ソフトウェアを開発するプロセスのどこかで発生する誤り、あるいは誤入力やスペルミスといったつまらないミスである。今どきのソフトウェアアプリケーションは、数千まではいかないにしても、数百の単位でバグが存在するのが普通だ。
皆さんがいま使っているどのソフトウェアにもバグがある。コンピューターにも、スマートフォンにも、そして自宅や職場で見かける「モノのインターネット（IoT）」のデバイスにもある。それでも、こうしたソフトウェアはまずいたって正常に動くのだから、バグといっても定義は曖昧で、それほど影響は大きくない場合が多い。通常の使い方をしているときにバグに遭遇することはほぼないが、存在しているのは確かだ（税制の大部分は目にすることがないのと似ている）。
そうしたバグの一部からセキュリティホールが生じる。これはかなり限定的なバグであり、攻撃者は意図的にこのバグを発動させ、コードの設計者やプログラマーが意図していなかった結果を引き出す。コンピューターセキュリティの専門語では、このようなバグを「脆弱性」と呼んでいる。
税制にもバグと脆弱性は存在する
税制にもバグは存在する。税法の記述における誤りもあれば、議会が採決し大統領の署名を経て立法化された実際の文言における誤りもある。法律の一部を解釈するときに見落としがあったかもしれないし、何かしら意図せずに省いていたかもしれない。税制のなかで個々の細則どうしが複雑に絡みあって、そこから誤りが生じる可能性もある。
最近あった例のひとつが、トランプ政権下で成立した2017年税制改革法だ。この法律は性急に、しかも密室で起草され、一度の公聴会もなく、それどころか校正さえ経ずに可決された。法案の一部は手書きで、賛成にしろ反対にしろ票を投じた議員がその内容を正確に把握していたとは、とうてい考えられない。はたして、条文に誤りがあったために、戦没者遺族給付金が誤って給与所得に分類されるということが起こった。遺族に対して、実に1万ドル以上もの税金が請求される結果になったのだ。これはバグである。
もっとも、この場合は脆弱性ではない。誰も、それを悪用して自分の税額を減らせるわけではないからだ。だが、税制には脆弱性といえるバグも存在する。たとえば、企業が節税策として使う「ダブルアイリッシュ・ダッチ・サンド」という手法がかつて存在した。複数の国の税法の関係から生じる脆弱性で、最終的にはアイルランド側で修正されている。そのしくみはこうだ。
アメリカ企業が資産をアイルランドの子会社に送金する。子会社は、アメリカ国内の顧客への売上から巨額のロイヤルティーをこのアメリカ企業に課す。こうすると、アメリカ企業の国内での税額は大幅に下がるし、アイルランドではロイヤルティーに対する税金がもともと低く抑えられていた。
次に、アイルランドの税法に存在する抜け穴を利用して、アメリカ企業は子会社の利益をバミューダ、ベリーズ、モーリシャス、ケイマン諸島といったタックスヘイブンにある法人に移し、その利益が課税されないようにする。次に、アイルランドに二番目の子会社を設立するが、こちらはヨーロッパの顧客を対象にし、税率が低い点は同じである。
最後に、もうひとつの脆弱性を利用し、二番目のアイルランド子会社がオランダの仲介企業を利用して最初のアイルランド子会社に、そして海外のタックスヘイブンに利益を戻す。この脆弱性を利用するには、テック系企業が特に適している。海外の子会社に知的財産権を割り当てることができ、その子会社が現金資産をタックスヘイブンに送金できるからだ。
グーグルやアップルなどの企業は、アメリカの企業でありながら国内で相当額の税金を逃れていた。そこで使われていたのが、まさにこの抜け道だった。3つの国の税法が、まったく意図も予期もされない形で使われたということだ。もっとも、アイルランドはアメリカ企業の誘致を狙って意図的に税率をゆるくしていたのだが、これはハッカーにとっても好都合だった。推定では、アメリカの企業が国内で支払いを免れた税額は、2017年だけでほぼ2000億ドルに達したという。その分が、ほかの全員にしわ寄せになっていたのだ。
税の世界では、こうしたバグや脆弱性を「抜け穴」と呼んでいる。その抜け穴を巧妙に利用するのが、いわゆる「節税」だ。コンピューターセキュリティの世界だったら「悪玉（ブラックハット）研究者」と呼ばれそうな専門家が税の世界にも大勢いて、税制というコードを一行一行調べては、悪用できる脆弱性を見つけ出そうとしている。それが、税理士だ。
抜け穴をどうやってふさぐのか
コンピューターのコードなら、脆弱性の修正方法は分かっている。まず、さまざまなツールを駆使して、コードを完成する前に脆弱性を見つけようとする。次に、コードが世に出てしまったあとにもさまざまな検出方法があり、何といっても速やかにパッチを適用することができる。
それと同じ手法を、税制にも応用できる。2017年税制改革法には、固定資産税の控除額に上限があった。この規定が発効するのは2018年からだったため、2018年分の固定資産税を2017年に前納するという巧妙なハックが考案された。2017年が終わる直前に、国税局は前納が合法となるケースと非合法となるケースを定め、この悪用に対して手を打った。結論だけいうと、ほとんどのケースは非合法となっている。
こんな風に簡単に済むことは、実は多くない。ハックが法律に内包されている、あるいは排除できない場合もある。税金に関する法律を可決するのは、とにかく大ごとであり、特にアメリカでは党派色が強くなって紛糾しがちになる。戦没者遺族が所得税を課された問題も、是正に向かったのは2021年になってからだ。しかも、議会が修正したのは2017年税制改革法のバグ自体ではなく、2017年のバグに関係する、それよりさらに古いバグだった。そのうえ、この修正は2023年にならないと終わらない（これでも簡単に進んだほうだ。全員が法律の誤りを認めたからである）。ソフトウェアにパッチを適用するのと同じくらい迅速に税制を修正できることは、そうそうないのである。
もうひとつの選択肢もある。この場合、脆弱性は修正されないまま徐々に通常のやり方の一部になっていく。税制の抜け穴は、最終的に多くがそうなっている。国税局がそれを受け入れる場合もあるし、裁判で合法と判断されることもある。税法の意図には沿っていないかもしれないが、法律の文言が許しているのだ。支持する有権者がいれば、議会によって遡及的に合法化されることもある。こういう過程を経て、システムは進化する。
ハックが、システムの意図をくじく。管轄権をもつ上位システムが、ハックを阻止あるいは許可する。明示的に許可する場合もあるし、何もしないという形で暗黙的に許可する場合もある。
（訳：高橋聡）
（第3回に続く）
ブルース・シュナイアー（著）、高橋聡（訳）、日経BP、2420円（税込み）