Gezien de web interface express 'naar buiten' adverteert, is het soms meer alsof iemand een set knoppen naast de bel heeft, maar je mag ze niet allemaal, of in een bepaalde volgorde indrukken.
Bijvoorbeeld de 'zet de douche onder stroom' knop, of een 'laat de waakhonden los' alarmknop. Iemand kan dan nalatigheid beticht worden voor de knop.
Een shell interface met standaardwachtwoord - is dat zoiets als een goedkoop slot met standaardsleutel, of een sleutel met enkele tand?
Er zijn ook voorbeelden van bijvoorbeeld het hosten van derdedata op een FTP, wat zoiets is als andermans brievenbus gebruiken. Agressief het web afzoeken naar standaardinstellingen FTP's, zonder verder onderzoek, om vervolgens data kwijt te kunnen en te verspreiden - is dat hetzelfde als bij willekeur brievenbussen misbruiken? In zo'n geval is het denkbaar dat de aanvaller zich van geen kwaad bewust is.
' drop tables is gelukkig geen meningsuiting, maar kan soms een huisje omver blazen. In zo'n geval besluit de server een handeling te verrichten, 'ik parkeerde mijn auto om de hoek, dus sloeg meneer zijn ruit in'. De analogie gaat op, want een GET request behoort naar specificatie geen side effects op te leveren.
In deze gevallen is misbruik evident; er is sprake van opzet om software te gebruiken voor doeleinde die de computereigenaar niet voor ogen kan hebben.
Men zou een schaakspel kunnen hosten, met in de EULA dat het niet de bedoeling is dat je wint van de host. Voor zover je toch kan winnen, kan dat dan misbruik zijn. Geen ongezellig gedrag wil nog wel eens een regel zijn bij openbare gelegenheden, en geen ongerieflijk spel (griefing) is ook online best gebruikelijk. De financiele markt kent nogal een bak regels die 'griefing'

tegen moeten gaan, soms inclusief het pogen de ander's automatisering te verwarren. Dat terwijl het nadrukkelijke doel van HFT e.d. is dergelijke effecten te bereiken (de ander verliest onverhoopt en onbedoelt waarde).
Dit fiscale markt voorbeeld is trouwens bijzonder; kan een Amerikaans bedrijf in Nederland gedaagt worden voor het 'mishandelen' van een handelssysteem? Er moet haast wel een markt zijn met een hogere capaciteit dan de Nederlandse handelaar; waardoor het overvloeien van de markt met orders een Denial Of Service bewerkstelligt bij de Nederlandse partij.
Het verschil komt naar voren als de computer naar analogie een werknemer is, in plaats van een huis. Een werknemer die de dossiers in brand zet omdat het stond als opmerking op een aanvraag wordt als verantwoordelijk voor zijn daden aangemerkt. Social engineering, het misleiden van werknemers, of ontfutselen van soms onschuldige informatie, is vaak al als 'hacking' aangemerkt, en kan bij een hack ook deel van het process zijn.
Dit puzzelen met woorden en perspectieven is inherent aan wetgeving die zich erop berust. Voor mij is de harde lijn dat een computer niet per se foor een foutive uitvoering hoeft te zijn ingestelt. Bij wijze van spreken: online mag iedereen 100% wereldvreemd zijn, je computer moet alles kunnen doen, en toch gaat het goed. Anders ben je andere gevaren aan het creeeren.
Het is dus anders gezien de wederpartij actief moet bijdragen aan de eigen problemen. De werknemersanalogie testen is een goeie stap.
Als zo'n wederpartij de verantwoordelijkheid neemt voor de uitvoering van diensten etc, in zo'n geval moet hij ook aanspreekbaar zijn op wangedrag. Ook als het de computer was. Dat staat pal tegenover een aanpak van de aanvaller.
Het verschil is dat een digitaal erf niet toegankelijk is, tenzij we dat zo maken.
Bijkomend voordeel aan een defensieve instelling is dat het misbruikbaarheid ontmoedigt, niet alleen het misbruik.