不正アクセス禁止法とは？5つの禁止行為と罰則・事例・対策を詳しく解説
インターネットが生活に不可欠となった現代、企業や個人を狙った不正アクセスは深刻な社会問題となっています。「自社のアカウント管理は大丈夫だろうか」「知らないうちに法律違反をしていないか」と不安に感じている方も多いのではないでしょうか。
不正アクセス禁止法は、こうしたサイバー犯罪を防止し、安全な情報社会を実現するために制定された法律です。しかし、法律の内容を正確に理解している人は意外と少なく、善意のアカウント共有が違法行為に該当する可能性もあります。
本記事では、不正アクセス禁止法で禁止されている5つの行為、違反した場合の罰則、実際の事件事例、そして企業・個人が実施すべき具体的な対策まで、実務に役立つ情報を網羅的に解説していきます。
不正アクセス禁止法とは？基本知識を分かりやすく解説
不正アクセス禁止法の正式名称は「不正アクセス行為の禁止等に関する法律」です。他人のID・パスワードを無断で使用したり、システムの脆弱性を突いて侵入したりする行為を禁止し、違反者には刑事罰を科す法律として機能しています。
この法律が定める内容は、単に「不正アクセスをしてはいけない」という禁止規定だけではありません。不正アクセスにつながる準備行為（ID・パスワードの不正取得や保管など）も処罰対象としており、サイバー犯罪を未然に防ぐ予防的な性格も持っています。
では、なぜこのような法律が必要になったのでしょうか。制定の背景を理解することで、法律の本質的な目的が見えてきます。
不正アクセス禁止法が制定された背景
1990年代後半、Windows 95の登場を機にインターネットが一般家庭にも急速に普及しました。当時、企業や個人のWebサイトが次々と開設され、オンラインバンキングやECサイトなども登場し始めていました。
しかし、その一方で他人のID・パスワードを盗み出してシステムに侵入する事件が相次いで発生します。企業の機密情報が流出したり、個人のプライバシーが侵害されたりする被害が社会問題化していきました。
問題は、当時の法体系ではこうした行為を直接的に処罰できなかった点にあります。不正アクセスそのものを禁止する法律が存在せず、結果として情報が漏洩したり金銭的被害が発生したりした場合に、別の法律（窃盗罪や詐欺罪など）で対処するしかありませんでした。
こうした状況を受けて、1999年8月に不正アクセス禁止法が制定され、2000年2月13日に施行されました。インターネット時代の新しい犯罪に対応するための、時代が求めた法律だったといえます。
不正アクセス禁止法の目的
不正アクセス禁止法の第一条には、法律の目的が明確に記されています。
この法律は、不正アクセス行為を禁止するとともに、これについての罰則及びその再発防止のための都道府県公安委員会による援助措置等を定めることにより、電気通信回線を通じて行われる電子計算機に係る犯罪の防止及びアクセス制御機能により実現される電気通信に関する秩序の維持を図り、もって高度情報通信社会の健全な発展に寄与することを目的とする。
やや難しい文章ですが、要点を整理すると次の3つに集約されます。
電気通信回線を通じた犯罪の防止
インターネットなどのネットワークを経由したサイバー犯罪を未然に防ぐアクセス制御機能による秩序維持
ID・パスワードなどの認証システムが正常に機能する環境を守る高度情報通信社会の健全な発展への貢献
安心してインターネットを利用できる社会基盤を整備する
つまり、単に犯罪者を処罰するだけでなく、誰もが安全にインターネットを利用できる環境を作ることが、この法律の根本的な狙いなのです。
不正アクセス禁止法の改正の歴史
不正アクセス禁止法は施行後、社会情勢やサイバー犯罪の手口の変化に応じて、数回の改正が行われてきました。
2012年の改正では、大きく3つの変更が加えられました。
フィッシング行為の明確化
偽サイトを作成してID・パスワードの入力を求める行為を明確に禁止ID・パスワードの不正保管の処罰化
不正に取得したID・パスワードを保管しているだけで処罰対象に罰則の強化
不正アクセス行為の法定刑を「1年以下の懲役または50万円以下の罰金」から「3年以下の懲役または100万円以下の罰金」に引き上げ
この改正の背景には、フィッシング詐欺の急増がありました。金融機関を装ったメールで偽サイトに誘導し、ID・パスワードを盗み取る手口が横行していたのです。また、盗んだアカウント情報を闇サイトで売買する事例も増加しており、準備段階での取り締まり強化が急務となっていました。
2022年の改正は、刑法の一部改正に伴う形式的な修正が中心でしたが、法律が時代に合わせて継続的に見直されていることを示しています。
今後もAIやIoT機器の普及に伴い、新たな形態の不正アクセスが登場する可能性があります。法律の定義や適用範囲について、さらなる議論と改正が行われるかもしれません。
不正アクセス禁止法で禁止されている5つの行為
不正アクセス禁止法は、第三条から第七条までで具体的な禁止行為を定めています。「どこまでが合法で、どこからが違法なのか」を正確に理解することは、企業のコンプライアンス担当者にとっても、一般のインターネット利用者にとっても重要です。
ここでは、法律で禁止されている5つの行為を、条文と具体例を交えながら詳しく見ていきます。
①不正アクセス行為（第三条）｜他人のID・パスワードで不正ログイン
第三条は「何人も、不正アクセス行為をしてはならない」と規定しており、不正アクセス禁止法の中核をなす条文です。
不正アクセス行為とは、具体的に次のような行為を指します。
パターン1：他人のID・パスワードを使った不正ログイン
権限のない第三者が、他人のID・パスワードを無断で使用してコンピューターやWebサービスにログインする行為です。最も典型的な不正アクセス行為といえます。
元恋人のSNSアカウントに、以前教えてもらったパスワードでログイン
同僚のPCに貼ってあったメモからパスワードを盗み見て社内システムにアクセス
退職した従業員が、在職中に使っていたアカウントでログイン
パターン2：セキュリティホールを突いた不正侵入
ID・パスワードを使わず、システムの脆弱性（セキュリティホール）を悪用してアクセス制御を回避し、本来は許可されていない操作を行う行為も不正アクセス行為に該当します。
OSやソフトウェアの既知の脆弱性を利用してサーバーに侵入
SQLインジェクションなどの技術的手法でデータベースに不正アクセス
ここで重要なのは、実際に情報を盗んだり、システムに損害を与えたりしなくても、ログインした時点で犯罪が成立するという点です。「ちょっと見ただけだから大丈夫」という言い訳は通用しません。
②識別符号の不正取得（第四条）｜ID・パスワードを勝手に入手
第四条は「何人も、不正アクセス行為の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得してはならない」と定めています。
識別符号とは、ID・パスワードだけでなく、指紋データ、ICカードの情報、生体認証データなど、本人確認に使われるあらゆる情報を含みます。
不正取得の手口は多岐にわたります。
フィッシング詐欺
金融機関やECサイトを装ったメールで偽サイトに誘導し、ログイン情報を入力させる手口です。近年は本物と見分けがつかないほど精巧な偽サイトが増えており、被害が拡大しています。
ショルダーハッキング
カフェや電車内で、他人がスマートフォンやPCにパスワードを入力する様子を背後から盗み見る行為です。アナログな手法ですが、意外と多くの情報が漏れています。
職務上の立場を悪用した閲覧
システム管理者やカスタマーサポート担当者が、職務上アクセスできる顧客のアカウント情報を、業務外の目的で閲覧・記録する行為も不正取得に該当します。
注目すべきは、実際にそのID・パスワードを使用していなくても、取得した時点で犯罪が成立する点です。「将来使うかもしれないから保存しておこう」という段階で既に違法なのです。
③不正アクセス行為の助長（第五条）｜ID・パスワードを第三者に提供
第五条は「何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない」と規定しています。
簡単に言えば、他人のID・パスワードを権限のない第三者に教えてはいけないということです。
具体的には次のようなケースが該当します。
上司が部下に「俺のアカウントでログインしておいて」と指示してパスワードを教える
友人から「ちょっと貸して」と頼まれてNetflixのアカウント情報を教える
インターネット掲示板で「○○のアカウント売ります」と有料アカウントを販売
では、なぜこのような行為が禁止されているのでしょうか。
アカウント情報を他人に渡す行為は、不正アクセスを容易にするからです。たとえ渡した相手が悪用しなくても、そこからさらに別の人物に情報が流れる可能性もあります。提供した側が「まさか悪用されるとは思わなかった」と主張しても、法律上は許されません。
ただし、「業務その他正当な理由による場合」は例外とされています。
会社の公式SNSアカウントを複数の広報担当者で共有する
システム障害対応のため、一時的に管理者権限を委譲する
法定代理人が未成年の子供のアカウントを管理する
こうしたケースは正当な理由があると認められる可能性が高いでしょう。ただし、明文化された規程や承認プロセスがあることが望ましく、口頭での合意だけでは不十分な場合もあります。
④識別符号の不正保管（第六条）｜不正取得したID・パスワードの保存
第六条は「何人も、不正アクセス行為の用に供する目的で、不正に取得されたアクセス制御機能に係る他人の識別符号を保管してはならない」と定めています。
第四条の「不正取得」と似ていますが、こちらは既に取得した情報を保管し続ける行為を処罰する規定です。
「不正に取得された」という部分が重要で、正当な方法で知り得たID・パスワード（例えば業務上知り得た情報）を保管すること自体は、直ちに違法とはなりません。ただし、その情報を不正アクセスに使う目的で保管すれば違法です。
保管の方法は問われません。
パソコンのメモ帳アプリに保存
USBメモリに暗号化して保存
ノートに手書きでメモ
スマートフォンのスクリーンショット
どのような形式であっても、不正取得した情報を保管していれば処罰対象となります。
この規定の狙いは、サイバー犯罪の準備段階での摘発にあります。大量のアカウント情報を収集・保管している段階で検挙できれば、実際の被害発生を未然に防げるからです。
⑤識別符号入力の不正要求（第七条）｜フィッシング詐欺など
第七条は、アクセス管理者になりすまして利用者にID・パスワードの入力を求める行為を禁止しています。いわゆるフィッシング詐欺を直接的に処罰するための規定です。
具体的には次の2つのパターンが該当します。
偽サイトの公開
正規のWebサイトに酷似した偽サイトを作成し、インターネット上に公開する行為です。
例えば、大手銀行のログインページそっくりの偽サイトを作り、ユーザーがそこにID・パスワードを入力するのを待ち構えます。実際に誰かが入力しなくても、偽サイトを公開した時点で犯罪が成立します。
フィッシングメールの送信
金融機関や通販サイトを装ったメールで、「アカウントに不正アクセスがありました」「パスワードの変更が必要です」などと偽り、偽サイトへのリンクを送る行為も該当します。
近年のフィッシングメールは巧妙化しており、正規の企業から送られてくるメールと見分けがつかないケースも増えています。公式ロゴを使用し、文面も自然で、差出人のメールアドレスまで本物に似せている場合もあるのです。
第七条の特徴は、実際に情報を取得していなくても、要求行為そのものが犯罪になる点です。「誰もひっかからなかったから無罪」という言い訳は通用しません。ユーザーを欺く意図があった時点で、法律に違反しているのです。
不正アクセス禁止法の罰則｜違反するとどうなる？
法律で禁止されている行為を理解したところで、次に気になるのは「違反したらどうなるのか」という点でしょう。不正アクセス禁止法は、違反の内容に応じて明確な罰則を定めています。
不正アクセス行為の罰則
第三条の不正アクセス行為に違反した場合、3年以下の懲役または100万円以下の罰金が科されます（第十一条）。
この罰則は2012年の法改正で引き上げられたもので、改正前は「1年以下の懲役または50万円以下の罰金」でした。サイバー犯罪の悪質化と被害の深刻化を受けて、抑止力を高めるため罰則が強化されたのです。
「懲役または罰金」という規定は、どちらか一方が科されるという意味ですが、裁判所の判断によっては両方が科される可能性もあります（併科）。悪質なケースでは、懲役刑に加えて罰金も支払うことになるわけです。
また、不正アクセスによって実際に情報を窃取したり、金銭的被害を発生させたりした場合、不正アクセス禁止法違反に加えて、窃盗罪、詐欺罪、業務妨害罪などの別の犯罪も成立する可能性があります。その場合、より重い刑罰が科されることになるでしょう。
不正取得・保管・要求行為の罰則
第四条（不正取得）、第六条（不正保管）、第七条（不正要求）に違反した場合、1年以下の懲役または50万円以下の罰金が科されます（第十二条）。
不正アクセス行為そのものより刑が軽いのは、これらが準備段階の行為だからです。しかし、軽いといっても懲役刑の可能性がある立派な犯罪であることに変わりはありません。
特に注目すべきは、実害が発生していなくても処罰されるという点です。
ID・パスワードを取得しただけで使っていない→有罪
不正取得した情報を保管しているだけ→有罪
フィッシングサイトを作ったが誰もアクセスしていない→有罪
サイバー犯罪を未然に防ぐため、準備段階でも厳しく処罰する姿勢が法律に表れています。
助長行為の罰則
第五条の助長行為（ID・パスワードの第三者提供）は、相手の意図を知っているかどうかで罰則が変わります。
不正アクセスに使われると知っていた場合
1年以下の懲役または50万円以下の罰金（第十二条第二号）
不正アクセスに使われると知らなかった場合
30万円以下の罰金（第十三条）
この区別の理由は、提供者の悪意の程度を考慮しているためです。
例えば、「ちょっとアカウントを貸してほしい」と友人に頼まれて安易にパスワードを教えてしまい、その友人が不正アクセスに使ったとします。あなたに悪意がなく、友人が不正使用することを知らなかった場合でも、罰金刑は免れません。
「知らなかった」では済まされない、というのが法律の考え方なのです。だからこそ、アカウント情報の管理には細心の注意が必要となります。
不正アクセス禁止法の時効
刑事事件には公訴時効という制度があります。一定期間が経過すると、もはや刑事訴追できなくなるというルールです。
不正アクセス禁止法違反の公訴時効は3年です。違反行為が終わった時点から3年が経過すると、検察官は起訴できなくなります。
ただし、この時効は刑事責任に関するものです。民事上の損害賠償請求権には別の時効期間が適用されます。不正アクセスによって被害を受けた企業や個人が、損害賠償を請求する権利は、刑事時効とは別に存在するのです。
また、時効が成立したからといって、やったことが許されるわけではありません。企業の信用失墜や個人のキャリアへの影響は、時効とは関係なく残り続けます。
不正アクセス禁止法違反の実際の事例
法律の条文や罰則を理解しても、「実際にどんな事件で適用されているのか」を知らなければ、リアリティを持って捉えることは難しいでしょう。
ここでは、実際に不正アクセス禁止法違反で検挙された事例を紹介します。これらの事例から、「どのような行為が摘発されているのか」「どんな被害が発生したのか」を学び、自社や自分自身の行動を見直すきっかけにしてください。
企業への不正アクセス事例①｜大手通信サービスのアカウント悪用
2020年4月、NTTドコモの会員サービス「dアカウント」を悪用した詐欺事件で、中国人の男女5人が逮捕されました。
事件の手口
犯行グループは、NTTドコモを装ったSMS（ショートメッセージ）を不特定多数に送信しました。メッセージの内容は「異常ログインの可能性があります」「電話料金が高額になっています。至急確認してください」といったもので、受け取った人の不安を煽る内容でした。
SMSには偽サイトへのリンクが貼られており、クリックするとNTTドコモの公式サイトそっくりのフィッシングサイトに誘導されます。利用者がそこでdアカウントのIDとパスワードを入力すると、情報が犯行グループに送信される仕組みでした。
犯行の目的と被害
グループは不正取得したアカウント情報を使い、都内の家電量販店で高額なゲーム機やタブレット端末を購入しました。購入代金はdアカウントに紐付けられたキャリア決済で支払われるため、被害者の知らないうちに高額な請求が発生します。
犯行グループは購入した商品を転売して現金化していました。組織的かつ計画的な犯行であり、被害総額は数百万円に上ったとされています。
この事例から学ぶべきこと
この事件は、フィッシング詐欺の典型例です。SMSという身近な連絡手段を使い、緊急性を装って冷静な判断力を奪う手口は、今も変わらず使われています。
企業側の対策としては、多要素認証の導入が有効です。ID・パスワードに加えて、SMS認証や生体認証を組み合わせれば、たとえパスワードが漏れても不正ログインを防げます。
個人としては、公式アプリやブックマークから直接アクセスする習慣をつけることが重要です。メールやSMSのリンクは絶対にクリックしないという原則を守るだけで、多くのフィッシング被害を防げます。
企業への不正アクセス事例②｜情報漏洩・システム停止の被害
2022年4月、ある電化製品販売企業が不正アクセスを受け、77,656件の顧客情報が削除されるという被害が発生しました。
削除された情報には、顧客の氏名、住所、電話番号、メールアドレスなどが含まれていました。幸いクレジットカード情報は含まれていなかったものの、個人情報が外部に流出した可能性も否定できず、企業は全顧客への謝罪と注意喚起を余儀なくされました。
さらに深刻だったのは、2022年3月に発生した東映アニメーションへの不正アクセス事件です。
攻撃者はランサムウェア（身代金要求型マルウェア）を使い、東映アニメーションの社内ネットワークに侵入しました。多数のファイルが暗号化され、業務システムが使用不能になったのです。
事件の影響と被害
この攻撃により、東映アニメーションは制作スケジュールに大幅な遅れが生じました。人気アニメ「ワンピース」「デジモンゴーストゲーム」「デリシャスパーティ♡プリキュア」などの放送が延期され、ファンや関係者に多大な迷惑をかける結果となりました。
システム復旧には数週間を要し、その間の業務停止による経済的損失は計り知れません。不正アクセスは単なる情報漏洩だけでなく、事業継続そのものを脅かすリスクがあることを示した事例です。
この事例から学ぶべきこと
ランサムウェア攻撃は、まず不正アクセスによってネットワークに侵入し、その後マルウェアを展開するという二段階の攻撃です。初期侵入を防げれば、被害は発生しません。
企業が取るべき対策は多岐にわたります。
VPN機器の脆弱性を放置しない
従業員へのフィッシングメール訓練
セキュリティパッチの速やかな適用
データのバックアップと復旧訓練
EDR（Endpoint Detection and Response）の導入
特に重要なのは、バックアップの確保です。ランサムウェアに感染しても、バックアップから復旧できれば身代金を支払う必要はありません。ただし、バックアップ自体も暗号化されるケースがあるため、オフライン保管や世代管理など、適切な運用が求められます。
個人による違反事例①｜学校成績の改ざん
2019年、新潟県の中学3年生が、学校のサーバーに不正アクセスして自分の成績を改ざんしたとして、不正アクセス禁止法違反の疑いで書類送検されました。
事件の手口
生徒は、教員用サーバーにアクセスするためのIDとパスワードを何らかの方法で入手しました。詳細な入手経路は公表されていませんが、教員のPCの操作を盗み見たか、メモを見つけたと推測されます。
次に生徒は、学校内のタブレット端末に遠隔操作用のアプリケーションをインストールしました。このアプリを使えば、校外から自分のスマートフォンで学校のタブレットを操作できます。
生徒は自宅から遠隔でタブレットを操作し、教員用サーバーにログイン。成績表にアクセスして自分の評定を実際より高い数値に書き換えました。9月から10月にかけて複数回にわたって不正アクセスを繰り返していたといいます。
この事例から学ぶべきこと
この事件で注目すべきは、中学生という未成年者でも刑事責任を問われた点です。14歳以上であれば、刑事事件として扱われる可能性があります。
また、この事例は学校のセキュリティ対策の甘さも浮き彫りにしました。
教員用のIDとパスワードが簡単に入手できる環境
生徒が使用する端末に遠隔操作アプリをインストールできる
不正なアクセスを検知するログ監視体制がない
教育機関は企業に比べてセキュリティ投資が後回しにされがちですが、個人情報を扱う以上、適切な対策が必要です。特に生徒・学生が使用する端末には、アプリケーションのインストール制限や持ち出し時のMDM（モバイルデバイス管理）の導入が求められます。
個人による違反事例②｜オンラインゲームのデータ不正移転
2020年、人気スマートフォンゲーム「ドラゴンクエストウォーク」に不正アクセスしたとして、23歳の男が不正アクセス禁止法違反および私電磁的記録不正作出・同供用の疑いで書類送検されました。
事件の経緯
40代の男性が、自分のゲームアカウントのキャラクター育成を他人に代行してもらいたいと考え、SNSで育成代行を請け負っている23歳の男に依頼しました。
代行を依頼する際、男性は自分のアカウントのIDとパスワードを23歳の男に教え、数千円の代金を支払いました。男はその情報を使って男性のアカウントにログインし、依頼通りにキャラクターを育成しました。
犯行の発覚
問題はその後です。育成代行を終えた男は、依頼者から教えてもらったアカウント情報を使って無断で再度ログインしました。そして、育成したキャラクターのデータを自分のアカウントに不正に移動させ、第三者に売却したのです。
依頼者が異変に気づいて警察に相談し、事件が発覚しました。
この事例から学ぶべきこと
滋賀県警サイバー犯罪対策課は、この事件を受けて「オンラインゲームの不正アクセス被害は多い。どんな理由であれ他人にIDとパスワードを教えるのは危険なので、やめてほしい」と注意喚起しています。
たとえ正当な理由（育成代行の依頼）があっても、アカウント情報を他人に教えることは極めて危険です。
教えた相手が悪用する可能性
教えた相手のPCやスマホから情報が漏れる可能性
教えた情報が第三者に転売される可能性
多くのオンラインゲームの利用規約では、アカウントの譲渡や貸与を禁止しています。育成代行サービスは、そもそも規約違反であることが多いのです。
また、この事件は不正アクセス禁止法違反だけでなく、私電磁的記録不正作出罪（刑法第161条の2）でも立件されています。ゲームデータを不正に書き換えたことが、別の犯罪にも該当したわけです。複数の罪が成立すれば、それだけ重い刑罰が科される可能性があります。
最新の不正アクセス手口とトレンド
サイバー犯罪の手口は日々進化しています。2024年から2025年にかけて、特に注意すべきトレンドをいくつか紹介します。
フィッシング詐欺の巧妙化
従来のフィッシングメールは、日本語が不自然だったり、差出人アドレスが明らかに偽物だったりと、注意深く見れば見抜けるものでした。しかし最近は、AIを活用して自然な日本語の文面を生成するケースが増えています。
また、正規のメールサーバーを乗っ取り、本物のドメインからフィッシングメールを送る手口も登場しました。受信者側では見分けがつかないため、被害が拡大しやすくなっています。
テレワーク環境を狙った攻撃の増加
コロナ禍を機に普及したテレワークですが、セキュリティ対策が追いついていない企業も少なくありません。
自宅のWi-Fiが暗号化されていない
VPN接続の認証が脆弱
個人所有のPCを業務に使用している
こうした脆弱な環境を狙った攻撃が増えています。特にVPN機器の脆弱性を突いた侵入は、大企業でも被害が相次いでいます。
クラウドサービスへの不正アクセス
業務データをクラウドに保存する企業が増えた結果、クラウドサービスのアカウントが狙われるようになりました。
Microsoft 365、Google Workspace、Salesforceなどの業務クラウドに不正アクセスされると、大量の機密情報が一度に流出するリスクがあります。また、クラウドストレージ（OneDrive、Google Driveなど）に保存されたファイルが暗号化されるランサムウェア被害も報告されています。
ランサムウェアとの組み合わせ攻撃
不正アクセスとランサムウェアを組み合わせた二重脅迫が主流になっています。
従来のランサムウェアは、データを暗号化して「復号してほしければ金を払え」と脅すものでした。しかし最近は、暗号化する前にデータを盗み出し、「金を払わなければデータを公開する」と二重に脅迫する手口が増えています。
バックアップから復旧できたとしても、情報漏洩の脅威は残るため、企業は身代金を支払わざるを得ない状況に追い込まれるのです。
企業が実施すべき不正アクセス対策
ここまで、不正アクセス禁止法の内容と実際の事例を見てきました。では、企業は具体的にどのような対策を講じるべきなのでしょうか。
不正アクセス対策は、技術的対策と組織的対策の両輪で進める必要があります。どちらか一方だけでは不十分で、総合的なセキュリティ体制の構築が求められます。
技術的セキュリティ対策
多要素認証（MFA）の導入
パスワードだけでは、もはや十分なセキュリティを確保できません。多要素認証（Multi-Factor Authentication）の導入は、現代のセキュリティ対策における必須事項です。
多要素認証とは、「知識（パスワード）」「所持（スマートフォンやICカード）」「生体（指紋や顔認証）」の3要素のうち、2つ以上を組み合わせて認証する仕組みです。
たとえパスワードが漏れても、スマートフォンに送られる認証コードがなければログインできないため、不正アクセスのリスクを大幅に低減できます。
Microsoft 365やGoogle Workspaceなどの主要なクラウドサービスは、標準で多要素認証に対応しています。設定は管理画面から数分で完了するため、未導入の企業は直ちに有効化すべきでしょう。
セキュリティソフト・UTMの活用
ウイルス対策ソフトは基本中の基本ですが、最近はEDR（Endpoint Detection and Response）と呼ばれる高度な製品が注目されています。
従来のウイルス対策ソフトは、既知のマルウェアを検出してブロックする「防御」が中心でした。しかしEDRは、万が一侵入を許した場合でも、異常な挙動を検知して迅速に対応できる「検知と対応」に重点を置いています。
また、UTM（統合脅威管理）を導入すれば、ファイアウォール、アンチウイルス、IPS/IDS（侵入防止/検知システム）などの機能を一元管理できます。中小企業でも導入しやすい価格帯の製品が増えているため、検討する価値があります。
OS・アプリケーションの定期更新
多くの不正アクセスは、既知の脆弱性を狙って行われます。ソフトウェアベンダーが公開しているセキュリティパッチを速やかに適用すれば、これらの攻撃は防げるのです。
問題は、「忙しくて更新を後回しにしてしまう」「更新したら動かなくなるかもしれない」といった理由で、パッチ適用が遅れることです。
Windows UpdateやmacOSのアップデートには自動更新機能があります。業務への影響を考慮して、夜間や休日に自動適用する設定にしておくと良いでしょう。
また、使用しているソフトウェアやプラグインのサポート期限にも注意が必要です。サポートが終了したソフトウェアは、脆弱性が発見されてもパッチが提供されません。Windows 7やInternet Explorerなど、サポート終了製品の使用は直ちにやめるべきです。
脆弱性診断の実施
自社のシステムにどのような脆弱性が存在するかを把握するため、定期的な脆弱性診断（セキュリティ診断）を実施することが推奨されます。
脆弱性診断には、自動ツールを使った診断と、セキュリティエンジニアが手動で行う診断（ペネトレーションテスト）があります。後者は費用がかかりますが、より実践的な攻撃シナリオに基づいた診断が可能です。
診断の結果、発見された脆弱性は優先順位をつけて修正します。CVSSスコア（共通脆弱性評価システム）が高いもの、インターネットから直接攻撃可能なものから優先的に対処しましょう。
ログ監視とアクセス制御
不正アクセスを早期に発見するには、ログの監視が欠かせません。
誰が、いつ、どのシステムにアクセスしたか
通常と異なる時間帯のアクセスはないか
大量のデータがダウンロードされていないか
ログイン失敗が連続していないか（総当たり攻撃の兆候）
こうした情報をログから読み取り、異常を検知したら直ちに調査する体制が必要です。
SIEM（Security Information and Event Management）と呼ばれるログ管理ツールを導入すれば、複数のシステムのログを統合的に監視し、異常を自動検知できます。
また、アクセス制御も重要です。すべての従業員にすべてのシステムへのアクセス権を与えるのではなく、業務上必要な範囲に限定します。「最小権限の原則」に従い、必要最低限の権限だけを付与することで、内部犯行や権限の悪用を防げます。
アカウント・パスワード管理の徹底
強固なパスワードポリシー策定
企業としてパスワードのルールを明確に定め、従業員に順守させることが重要です。
推奨されるパスワードポリシーは以下の通りです。
項目推奨内容文字数最低12文字以上（可能なら15文字以上）文字種大文字、小文字、数字、記号を組み合わせる禁止事項辞書に載っている単語、個人情報（誕生日、名前）、連続した文字（123456、abcdefなど）の使用禁止変更頻度90日ごとに変更（ただし、多要素認証導入済みなら延長可）再使用制限過去5回分のパスワードの再使用を禁止
ただし、近年は「頻繁なパスワード変更は逆効果」という研究結果も出ています。人間は覚えきれないほど複雑なパスワードを強制されると、メモに書いて貼り付けるという本末転倒な行動を取るからです。
多要素認証を導入している場合は、パスワードの変更頻度を緩和しても良いでしょう。重要なのは、強度と利便性のバランスです。
パスワード管理ツールの活用
「すべてのサービスで異なるパスワードを使え」と言われても、数十個ものパスワードを人間が記憶するのは不可能です。
そこで役立つのがパスワード管理ツール（1Password、LastPass、Bitwardenなど）です。これらのツールは、複雑なパスワードを自動生成し、暗号化して保存してくれます。ユーザーはマスターパスワード1つを覚えるだけで、すべてのサービスに安全にログインできます。
企業向けには、従業員間でパスワードを安全に共有できる機能や、管理者が従業員のパスワード強度を監視できる機能を持つ製品もあります。
不要アカウントの速やかな削除
退職者や異動した従業員のアカウントを放置すると、それが不正アクセスの入口になります。
実際、元従業員が退職後も使えるアカウントで会社のシステムにアクセスし、機密情報を持ち出した事例は少なくありません。また、そのアカウントが第三者に悪用される可能性もあります。
退職日当日に、すべてのアカウントを無効化するというルールを徹底しましょう。メールアカウント、業務システム、VPN、クラウドサービスなど、漏れなくチェックする必要があります。
人事部門とIT部門が連携し、退職者リストを共有する仕組みを作ることが重要です。
共有アカウント使用時の正当性確認
企業の公式SNSアカウントや、部署で共有する業務システムのアカウントなど、複数人で使うアカウントが存在する場合もあります。
こうした共有アカウントは、不正アクセス禁止法の「業務その他正当な理由」に該当する可能性がありますが、無制限に認められるわけではありません。
共有アカウントを使用する場合は、以下の点を明確にしておく必要があります。
なぜ個人アカウントではなく共有アカウントが必要なのか
誰がアクセス権限を持つのか
承認プロセスは適切か
利用状況のログは取得されているか
口頭での合意だけでなく、文書化された規程として整備しておくことが望ましいでしょう。
組織的セキュリティ対策
情報セキュリティポリシーの策定
技術的な対策だけでなく、組織全体でセキュリティに取り組む姿勢が不可欠です。その基盤となるのが情報セキュリティポリシーです。
情報セキュリティポリシーとは、企業が情報資産をどのように守るかを定めた基本方針と行動規範です。一般的には、以下の3層構造で構成されます。
基本方針
経営層が示す、情報セキュリティに対する基本的な考え方対策基準
具体的にどのような対策を実施するかの基準実施手順
実際の作業手順や操作マニュアル
ポリシーは作って終わりではありません。定期的に見直し、新しい脅威や技術の変化に対応させる必要があります。
アカウント管理規程の整備
不正アクセス禁止法違反を防ぐためには、アカウント管理に特化した規程を整備することが有効です。
規程に盛り込むべき内容は以下の通りです。
アカウントの発行・変更・削除の手順
パスワードの要件と変更ルール
共有アカウントの使用条件と承認プロセス
他人のアカウントを使用することの禁止
アカウント情報の保管方法
違反した場合の懲戒処分
規程を作成したら、全従業員に周知し、定期的に研修を実施します。「知らなかった」という言い訳ができない状態にしておくことが重要です。
定期的なセキュリティ教育・訓練
どれほど優れた技術的対策を導入しても、従業員のセキュリティ意識が低ければ意味がありません。人間が最大の脆弱性であり、同時に最強の防御線でもあるのです。
定期的なセキュリティ教育を実施しましょう。
新入社員研修での情報セキュリティ講習
年1回以上の全社員向けセキュリティ研修
フィッシングメールの模擬訓練
不正アクセス事例の共有
eラーニングシステムの活用
特に効果的なのがフィッシングメール訓練です。実際にフィッシングメールを模したメールを社内に送信し、誰がリンクをクリックしたかを把握します。クリックした従業員には個別にフォローアップ教育を行うことで、実践的な対応力が身につきます。
インシデント対応体制の構築
不正アクセスが発生した場合、初動対応の速さが被害の大きさを左右します。
インシデント対応体制（CSIRT: Computer Security Incident Response Team）を事前に構築しておきましょう。
インシデント対応体制に必要な要素は以下の通りです。
責任者と担当者の明確化
連絡フローの整備（誰に、どのように報告するか）
初動対応マニュアルの作成
証拠保全の手順
外部専門家との連携体制（フォレンジック業者、弁護士など）
再発防止策の検討プロセス
また、年に1回程度、インシデント対応訓練を実施することも重要です。実際に不正アクセスが発生した想定でシミュレーションを行い、対応手順の問題点を洗い出します。
内部監査の実施
セキュリティ対策が適切に運用されているかを確認するため、定期的な内部監査を実施しましょう。
監査のチェックポイントは以下の通りです。
パスワードポリシーが順守されているか
不要なアカウントが残っていないか
ログが適切に取得・保管されているか
セキュリティパッチの適用状況
従業員のセキュリティ教育受講状況
監査で問題が見つかった場合は、速やかに是正措置を取り、再発防止策を講じます。
業種別の注意点
業種によって、特に注意すべきポイントが異なります。
IT企業
開発環境へのアクセス制御が重要です。ソースコードが流出すれば、製品の脆弱性が露呈し、競合他社に技術が流出する恐れがあります。
GitHubなどのリポジトリへのアクセス権限の厳格化
開発サーバーと本番サーバーの分離
コードレビューの徹底
退職者の開発環境アクセス権即時削除
製造業
製造ラインを制御するOT（Operational Technology）システムへの不正アクセスは、生産停止や製品の品質不良につながります。
OTネットワークとITネットワークの分離
制御システムのパッチ適用計画（生産への影響を考慮）
USBメモリなど外部デバイスの持ち込み制限
保守業者のリモートアクセス管理
医療機関
医療情報は個人情報保護法上の「要配慮個人情報」に該当し、特に厳格な管理が求められます。
電子カルテシステムのアクセスログ監視
診療情報の閲覧権限の職種・部署別制限
医療情報システムの安全管理に関するガイドライン順守
BCP（事業継続計画）における医療データの保護
金融機関
不正アクセスによる金銭的被害が直接発生するため、多層防御が必須です。
多要素認証の徹底
異常な送金パターンの自動検知
定期的なペネトレーションテスト
金融庁のサイバーセキュリティ管理態勢に関する監督指針への対応
小売業
POSシステムやECサイトへの不正アクセスは、大量のクレジットカード情報流出につながります。
PCI DSS（ペイメントカード業界データセキュリティ基準）への準拠
ECサイトのWAF（Webアプリケーションファイアウォール）導入
定期的な脆弱性診断
顧客情報の暗号化
個人ユーザーが気をつけるべきポイント
企業だけでなく、個人も不正アクセスの被害者になり得ます。むしろ、セキュリティ対策が手薄な個人の方が狙われやすいとも言えるでしょう。
ここでは、個人ができる具体的な対策を紹介します。難しい技術は不要で、日々の習慣を少し変えるだけで、大幅にリスクを減らせます。
安全なパスワード設定と管理
推測されにくいパスワードの作成方法
多くの人が「password」「123456」「qwerty」といった単純なパスワードを使っていますが、これらは数秒で破られます。
安全なパスワードを作るコツは、ランダム性と長さです。
おすすめの方法は「パスフレーズ」を使うことです。複数の単語を組み合わせて文章のようなパスワードを作ります。
例：BlueSky-Coffee-Mountain-2024!
この方法なら、文字数が多く複雑でありながら、自分では覚えやすいパスワードになります。
また、パスワード生成ツールを使うのも有効です。ブラウザの拡張機能やパスワード管理ツールには、ランダムなパスワードを自動生成する機能があります。
サービスごとに異なるパスワードを使う
「メールアカウントもSNSもネットバンキングも、全部同じパスワードを使っている」という人は要注意です。
1つのサービスから情報が漏れると、他のすべてのサービスも危険に晒されます。これを「パスワードリスト攻撃」と呼びます。攻撃者は漏洩したID・パスワードのリストを使い、別のサービスでもログインを試みるのです。
理想は、すべてのサービスで異なるパスワードを使うことです。しかし現実的には、数十個ものパスワードを覚えるのは困難でしょう。
そこでパスワード管理ツールの出番です。1Passwordやbitwarden、LastPassなどのツールを使えば、マスターパスワード1つを覚えるだけで、すべてのサービスに個別のパスワードを設定できます。
二段階認証・多要素認証の有効化
Gmail、Facebook、Twitter、Amazon、楽天など、主要なWebサービスのほとんどが二段階認証（二要素認証）に対応しています。
設定方法はサービスによって異なりますが、一般的な流れは以下の通りです。
アカウント設定画面から「セキュリティ」や「二段階認証」を選択
スマートフォンの電話番号を登録
ログイン時に、パスワードに加えてSMSで送られる認証コードを入力
SMS認証より安全なのが、認証アプリ（Google Authenticator、Microsoft Authenticator、Authyなど）を使う方法です。SMSは電話番号の乗っ取り（SIMスワップ）によって突破される可能性がありますが、認証アプリならその心配がありません。
手間が少し増えますが、セキュリティは確実に向上します。特に金融機関やメールアカウントなど、重要なサービスでは必ず有効にしましょう。
定期的なパスワード変更
個人の場合、企業ほど厳格な変更スケジュールは不要ですが、年に1~2回程度はパスワードを見直すと良いでしょう。
特に以下の場合は、直ちにパスワードを変更すべきです。
利用しているサービスで情報漏洩が発生した
パスワードを他人に見られた可能性がある
共有していたPCやスマートフォンを他人に譲渡した
フィッシングサイトに誤って入力してしまった
フィッシング詐欺への対策
怪しいメール・SMSの見分け方
フィッシング詐欺を防ぐ第一歩は、疑うことです。
以下のような特徴があるメールやSMSには特に注意してください。
緊急性を煽る内容（「24時間以内に対応しないとアカウントが停止されます」など）
不安を煽る内容（「不正アクセスがありました」「未払いの料金があります」など）
お得すぎる情報（「抽選に当選しました」「100万円プレゼント」など）
日本語が不自然（機械翻訳のような文章、誤字脱字が多い）
差出人アドレスが公式ドメインでない
ただし、最近は日本語も自然で、差出人アドレスも本物に似せた巧妙なフィッシングが増えています。完全に見分けるのは困難になってきました。
URLの確認方法
メールやSMSのリンクをクリックする前に、リンク先のURLを確認する習慣をつけましょう。
スマートフォンの場合、リンクを長押しするとURLが表示されます。PCの場合、リンクにマウスを重ねる（クリックしない）とURL が下部に表示されます。
確認すべきポイントは以下の通りです。
ドメイン名が公式サイトと一致しているか
似ているが微妙に違うドメイン（amazon.com → arnazon.com など）ではないか
HTTPSで始まっているか（ただし、フィッシングサイトでもHTTPSは使えるため過信は禁物）
少しでも怪しいと感じたら、リンクをクリックせず、公式アプリやブックマークから直接アクセスしましょう。
公式アプリ・ブックマークからのアクセス推奨
「メールに書かれているリンクは絶対にクリックしない」という原則を守れば、フィッシング被害の大半を防げます。
銀行やクレジットカード会社、ECサイトなど、重要なサービスには以下の方法でアクセスしましょう。
公式アプリからアクセス
ブラウザのブックマークに登録した公式サイトからアクセス
検索エンジンで公式サイトを検索してアクセス（ただし広告には注意）
手間がかかるように感じるかもしれませんが、慣れれば自然な習慣になります。そして、この手間があなたの資産と個人情報を守るのです。
不審なメールは即削除
心当たりのない送信者からのメール、不自然な日本語のメール、添付ファイルがあるメールなどは、開かずに削除しましょう。
「開くだけなら大丈夫だろう」と思うかもしれませんが、メールを開いただけで感染するマルウェアも存在します。また、メール内の画像を読み込むことで、送信者に「このアドレスは有効だ」という情報を与えてしまう場合もあります。
迷ったら削除する、これが鉄則です。
アカウント共有のリスク
家族間でも原則アカウント共有は避ける
「家族なんだから大丈夫」と思うかもしれませんが、アカウントの共有にはリスクが伴います。
家族の誰かがフィッシング詐欺に引っかかると、共有しているあなたも被害を受ける
家族が悪意なくパスワードをメモに書いて紛失する
将来的に家族関係が変化した場合（離婚など）のトラブル
多くのサービスには家族プランやファミリー共有機能があります。個別のアカウントを持ちながら、料金は1つの契約で済む仕組みです。こうした正規の方法を活用しましょう。
サブスクリプションサービスの規約確認
NetflixやSpotify、Amazon Primeなどのサブスクリプションサービスを、友人と「割り勘」で使っている人もいるかもしれません。
しかし、多くのサービスは利用規約で同居していない第三者とのアカウント共有を禁止しています。規約違反は契約解除の対象となるだけでなく、不正アクセス禁止法に抵触する可能性もあります。
各サービスの規約を確認し、ファミリープランや学生プランなど、正規の方法で利用しましょう。
業務上のアカウント共有は正当な理由と承認が必要
企業の項目でも触れましたが、業務でアカウントを共有する場合は、明確な理由と承認プロセスが必要です。
「上司に頼まれたから」という理由だけで、自分のアカウントを貸したり、他人のアカウントを使ったりするのは危険です。万が一そのアカウントで不正な操作が行われた場合、あなたが責任を問われる可能性があります。
共有が必要な場合は、IT部門や上長に相談し、正式な承認を得た上で、共有アカウントとして設定してもらいましょう。
他人にID・パスワードを教えない
どんな理由があっても、自分のID・パスワードを他人に教えてはいけません。
「ちょっと貸して」と友人に頼まれた
「代わりにログインしておいて」と同僚に頼まれた
「育成を代行します」というサービスに依頼した
どのケースも危険です。教えた相手が悪用するかもしれませんし、その相手のPCやスマホから情報が漏れるかもしれません。
「信頼している相手だから大丈夫」と思っても、その信頼が裏切られた事例は数多くあります。自分の身は自分で守りましょう。
代行サービス利用時のリスク
オンラインゲームの育成代行、SNSの運用代行、レポート作成代行など、アカウント情報を預ける必要のあるサービスには十分注意してください。
多くの場合、こうしたサービスはそもそも利用規約違反です。そして、アカウント情報を悪用されても、あなた自身の責任となります。
「どうしても利用したい」という場合でも、リスクを十分に理解した上で、信頼できる業者を選び、万が一の被害に備えて証拠を残しておくことが重要です。
不正アクセス被害に遭った場合の対処法
どれほど注意していても、被害に遭う可能性はゼロではありません。もし不正アクセスの被害に遭ったと気づいたら、迅速な対応が被害を最小限に抑えます。
直ちにパスワード変更
不正アクセスに気づいたら、まずすぐにパスワードを変更しましょう。
まだログインできる状態なら、アカウント設定からパスワードを変更します。既にパスワードを変えられてログインできない場合は、サービスの「パスワードを忘れた方」機能を使って再設定します。
また、同じパスワードを他のサービスでも使っていた場合、そちらもすべて変更してください。パスワードリスト攻撃を防ぐためです。
サービス運営者への連絡
不正アクセスを受けたサービスの運営者に、直ちに連絡しましょう。
多くのサービスには、アカウント乗っ取りや不正利用に関する専用の問い合わせ窓口があります。サポートページで「アカウントが乗っ取られた」「不正ログインされた」などのキーワードで検索すると、対処方法が見つかります。
運営者に連絡すれば、以下のような対応をしてもらえる場合があります。
アカウントの一時凍結
不正な操作の取り消し
ログイン履歴の提供
二段階認証の強制設定
警察への被害届提出
不正アクセスは犯罪です。警察に被害届を提出しましょう。
最寄りの警察署でも受け付けていますが、都道府県警察のサイバー犯罪相談窓口に連絡するのが確実です。サイバー犯罪に詳しい専門の担当者が対応してくれます。
被害届を出す際には、以下の情報を整理しておくとスムーズです。
被害に気づいた日時
どのサービスで被害に遭ったか
どのような被害があったか（不正ログイン、金銭被害など）
証拠となるスクリーンショットやメール
不正利用の有無確認
クレジットカードが不正利用されていないか、銀行口座から不審な引き落としがないか、直ちに確認しましょう。
オンラインバンキングやクレジットカードの明細をチェックし、見覚えのない取引があれば、すぐにカード会社や銀行に連絡します。
クレジットカード会社への連絡
クレジットカード情報が漏れた可能性がある場合、カード会社に連絡してカードを停止してもらいましょう。
多くのカード会社は、不正利用に対する補償制度を設けています。被害を発見してから一定期間内（通常60日以内）に連絡すれば、不正利用分が補償されるケースが多いため、早めの連絡が重要です。
不正アクセス禁止法に関するよくある質問（FAQ）
法律の条文を読んでも、実際の場面でどう適用されるのか判断に迷うことがあります。ここでは、企業の担当者や個人が疑問に思いやすいポイントをQ&A形式で解説します。
Q1. 業務で他の社員のアカウントを使うのは違法ですか？
A. 原則として不正アクセス行為に該当しますが、業務上の正当な理由と承認があれば例外となります
不正アクセス禁止法の第三条は、他人のIDとパスワードを使ってシステムにアクセスすることを禁止しています。たとえ同じ会社の社員であっても、無断で他人のアカウントを使えば違法です。
ただし、第五条では「業務その他正当な理由による場合を除いては」という例外規定を設けています。
正当な理由があると認められる可能性があるのは、以下のようなケースです。
上司が出張中で緊急の承認作業が必要なため、上司の許可を得てアカウントを使用
システム障害対応のため、管理者権限を一時的に委譲
退職者の業務引継ぎのため、短期間アカウントを使用
重要なのは、事前の承認と記録です。
口頭での「いいよ」だけでは不十分な場合があります。メールでの承認記録を残す、アクセスログを保管する、使用後に報告するなど、適切な手続きを踏むことが重要です。
また、個人アカウントではなく共有アカウントとして正式に設定することも検討すべきでしょう。複数の担当者で使う必要があるなら、最初から共有用のアカウントを作成し、誰がいつ使ったかをログで管理する方が安全です。
Q2. 家族でNetflixなどのアカウントを共有するのは違法ですか？
A. サービスの利用規約によります。規約で認められていれば合法、禁止されていれば規約違反であり、不正アクセス禁止法に抵触する可能性もあります
多くのサブスクリプションサービスには、ファミリープランや家族共有機能があります。これらは同居している家族での共有を想定しており、規約で認められている範囲であれば全く問題ありません。
例えば、Netflixの利用規約には以下のように記載されています（2024年時点）。
Netflixサービスおよびサービスを通じて視聴されるコンテンツは、お客様個人の非商用利用のみを目的としており、お客様の世帯の範囲内で共有することができます。
つまり、同じ世帯の家族なら問題ないということです。
しかし、友人や恋人など、同居していない第三者とアカウントを共有すると規約違反となります。規約違反は契約解除の対象となるだけでなく、不正アクセス禁止法の「業務その他正当な理由による場合」に該当しないため、違法行為となる可能性があります。
「バレなければ大丈夫」と考えるかもしれませんが、IPアドレスやログイン地域の分析により、異なる場所からの同時アクセスは検知されます。実際、Netflixは2023年以降、アカウント共有の取り締まりを強化しており、追加料金の請求やアカウント停止措置を取っています。
各サービスの規約をよく読み、不明な点があればカスタマーサポートに確認しましょう。
Q3. 不正アクセスの被害に遭った場合、どこに相談すればいいですか？
A. 都道府県警察のサイバー犯罪相談窓口、IPA（情報処理推進機構）、場合によっては弁護士に相談しましょう
不正アクセスの被害に遭ったら、以下の窓口に相談できます。
都道府県警察のサイバー犯罪相談窓口
各都道府県警察には、サイバー犯罪に特化した相談窓口があります。不正アクセスは犯罪ですので、警察に相談するのが基本です。
こちらのページから、各都道府県の窓口を探せます。電話相談やメール相談に対応しており、被害届の出し方についてもアドバイスしてもらえます。
IPA（情報処理推進機構）セキュリティセンター
IPAは、経済産業省所管の独立行政法人で、情報セキュリティに関する相談を受け付けています。
技術的な対処方法や、被害を最小限に抑えるためのアドバイスを受けられます。ただし、IPAは捜査機関ではないため、犯人の特定や処罰を求める場合は警察への相談が必要です。
消費生活センター
ECサイトでのアカウント乗っ取りや、不正購入の被害など、消費者トラブルに関連する場合は、消費生活センター（188番）に相談できます。
返金交渉の方法や、悪質な事業者への対処についてアドバイスを受けられます。
弁護士
企業が不正アクセスの被害に遭い、損害賠償請求や法的対応が必要な場合は、弁護士に相談しましょう。サイバーセキュリティやIT法務に詳しい弁護士に依頼することが重要です。
日本弁護士連合会や各地の弁護士会には、IT・情報セキュリティに関する法律相談窓口があります。
早期相談の重要性
どの窓口に相談するにしても、早ければ早いほど良いです。
証拠が消えてしまったり、被害が拡大したりする前に、専門家のアドバイスを受けましょう。「こんなことで相談していいのか」と遠慮する必要はありません。相談窓口は、そのためにあるのです。
Q4. 退職した社員のアカウントをすぐ削除しないとどうなりますか？
A. 不正アクセスの入口となるリスクがあり、企業の管理責任が問われる可能性があります
退職者のアカウントを放置することには、複数のリスクがあります。
元社員による不正アクセス
退職した社員が、在職中に使っていたアカウント情報を使って会社のシステムに侵入するケースは珍しくありません。
競合他社に転職した元社員が機密情報を持ち出す、個人的な恨みから重要データを削除する、といった事例が実際に発生しています。元社員本人には「自分のアカウントだから使っても良いだろう」という意識があるかもしれませんが、退職後のアクセスは明確な不正アクセス行為です。
第三者による悪用
元社員がアカウント情報を第三者に売却したり、元社員のPCがマルウェアに感染して情報が漏れたりする可能性もあります。
企業の管理責任
不正アクセスが発生した場合、「なぜ退職者のアカウントが残っていたのか」という管理責任が問われます。個人情報保護法の観点からも、適切なアクセス制御を怠ったとして、企業が処分を受ける可能性があります。
推奨される対応
退職日当日に、すべてのアカウントを無効化する
メールアカウントは、必要に応じて転送設定してから削除
VPN、クラウドサービス、業務システムなど、漏れなくチェック
物理的なセキュリティ（入館証、鍵）も同時に回収
定期的なアカウント棚卸しで、不要なアカウントがないか確認
人事部門とIT部門が連携し、退職プロセスの中にアカウント削除を組み込むことが重要です。
Q5. 不正アクセス禁止法違反で逮捕されるとどうなりますか？
A. 刑事事件として捜査・起訴され、有罪判決を受ければ前科がつき、懲役刑または罰金刑が科されます
不正アクセス禁止法違反は刑事事件です。警察に逮捕されると、以下のような流れで手続きが進みます。
逮捕から起訴まで
逮捕
警察に逮捕され、最大48時間の取り調べを受けます送検
警察から検察官に事件が送られます（送検）勾留
検察官が裁判所に勾留請求し、認められれば最大20日間（10日+延長10日）の勾留となります起訴・不起訴の決定
検察官が起訴するか不起訴にするかを判断します
裁判と判決
起訴されると刑事裁判が始まります。日本の刑事裁判の有罪率は99%以上と言われており、起訴された場合はほぼ有罪になると考えて良いでしょう。
有罪判決を受けた場合、前科がつきます。前科があると以下のような影響があります。
一定期間、公務員になれない
特定の資格（弁護士、医師など）が取得できない、または剥奪される
海外渡航時にビザが必要になる国がある
就職や転職時に不利になる可能性
罰則の内容
不正アクセス行為の場合、3年以下の懲役または100万円以下の罰金が科されます。
初犯で悪質性が低い場合は執行猶予がつく可能性もありますが、被害が大きい場合や組織的な犯行の場合は実刑判決もあり得ます。
社会的影響
刑事罰だけでなく、社会的な影響も甚大です。
会社を解雇される
実名報道される可能性
家族や友人との関係が壊れる
インターネット上に記録が残り続ける
「バレなければ大丈夫」「軽い気持ちでやった」では済まされません。不正アクセスは重大な犯罪であり、人生を大きく狂わせる行為であることを肝に銘じるべきです。
不正アクセス禁止法とその他のサイバー関連法規
不正アクセス禁止法は、サイバーセキュリティに関する法律の一つですが、他にも関連する法律が複数存在します。実際の事件では、複数の法律が同時に適用されることも少なくありません。
ここでは、不正アクセス禁止法と関連が深い法律について解説します。
個人情報保護法との関係
個人情報保護法は、個人情報を取り扱う事業者に対して、適切な管理を義務付ける法律です。
不正アクセスによって個人情報が漏洩した場合、両方の法律に違反することになります。
不正アクセス禁止法：不正にシステムに侵入した行為自体を処罰
個人情報保護法：個人情報を適切に管理しなかった事業者の責任を追及
例えば、外部からの不正アクセスによって顧客情報が流出した場合を考えてみましょう。
攻撃者は不正アクセス禁止法違反で刑事罰を受けます。一方、企業側は個人情報保護法に基づき、個人情報保護委員会から勧告や命令を受ける可能性があります。セキュリティ対策が不十分だったと判断されれば、最悪の場合は罰則（1年以下の懲役または100万円以下の罰金）が科されることもあります。
また、流出した個人情報の本人から損害賠償請求を受ける可能性もあります。大規模な情報漏洩事件では、損害賠償額が数億円に達することもあり、企業の存続を揺るがしかねません。
企業は、不正アクセスを防ぐ責任と、万が一侵入された場合でも被害を最小限に抑える責任の両方を負っているのです。
刑法（電磁的記録不正作出罪など）との関係
不正アクセス禁止法は、不正アクセス行為そのものを処罰する法律ですが、その後の行為によっては刑法の別の犯罪も成立します。
電磁的記録不正作出罪（刑法第161条の2）
コンピューター上のデータを不正に作成したり改ざんしたりする行為を処罰する罪です。
不正アクセスして成績データを改ざん
会計システムに侵入して売上データを書き換え
ゲームのセーブデータを不正に改変
こうした行為は、不正アクセス禁止法違反に加えて、電磁的記録不正作出罪も成立します。
業務妨害罪（刑法第233条、第234条）
不正アクセスによって企業の業務を妨害した場合、業務妨害罪が成立する可能性があります。
ランサムウェアでシステムを使用不能にする
サーバーに過大な負荷をかけてサービスを停止させる
重要なデータを削除して業務を停止させる
窃盗罪・詐欺罪
不正アクセスによって金銭を窃取したり、商品を不正に購入したりした場合、窃盗罪や詐欺罪が成立します。
このように、不正アクセス禁止法違反は入口の犯罪であり、その後の行為によって複数の罪が成立することがあります。複数の罪で起訴されれば、それだけ重い刑罰が科される可能性が高まります。
サイバーセキュリティ基本法との関係
サイバーセキュリティ基本法は、国全体のサイバーセキュリティ政策の基本方針を定めた法律です。
不正アクセス禁止法が個別の犯罪行為を処罰するのに対し、サイバーセキュリティ基本法は国、地方公共団体、事業者の責務を定めています。
サイバーセキュリティ基本法では、以下のような内容が規定されています。
国の責務：サイバーセキュリティ戦略の策定、施策の実施
地方公共団体の責務：地域の実情に応じた施策の実施
重要インフラ事業者等の責務：自主的なセキュリティ対策の実施
この法律は直接的な罰則規定を持ちませんが、企業の努力義務を明確にしている点で重要です。特に、電力、通信、金融、航空、鉄道など、重要インフラを担う事業者には、高度なサイバーセキュリティ対策が求められています。
サイバーセキュリティ基本法を根拠として、政府は「サイバーセキュリティ経営ガイドライン」などの指針を公表しており、企業はこれらを参考に対策を進めることが期待されています。
あなたの会社は大丈夫？不正アクセス対策診断チェックリスト
ここまで、不正アクセス禁止法の内容と対策について詳しく見てきました。最後に、自社のセキュリティレベルを確認できるチェックリストを用意しました。
このチェックリストを使って、現状を把握し、改善が必要な項目を洗い出しましょう。
基本対策チェック項目
以下の項目に、該当するものをチェックしてください。
パスワード管理
パスワードポリシー（文字数、複雑性要件など）が文書化されている
従業員全員がパスワードポリシーを理解している
パスワードの使い回しを禁止している
パスワード管理ツールの導入を検討または実施している
定期的なパスワード変更ルールがある（または多要素認証で代替）
多要素認証
重要なシステムに多要素認証を導入している
クラウドサービス（Microsoft 365、Google Workspaceなど）で多要素認証を有効化している
VPN接続時に多要素認証を要求している
管理者アカウントには必ず多要素認証を設定している
ソフトウェア管理
OS（Windows、macOSなど）の自動更新を有効にしている
セキュリティパッチを月1回以上確認・適用している
サポート終了したソフトウェアを使用していない
ウイルス対策ソフトを全端末に導入している
ウイルス対策ソフトの定義ファイルが自動更新されている
アカウント管理
アカウント管理台帳（誰がどのシステムにアクセスできるか）を整備している
退職者のアカウントを退職日当日に削除するルールがある
定期的なアカウント棚卸し（年1回以上）を実施している
長期間使われていないアカウントを無効化している
共有アカウントの使用には正当な理由と承認が必要
組織体制チェック項目
ポリシーと規程
情報セキュリティポリシーが策定されている
アカウント管理規程が整備されている
違反した場合の懲戒規定が明確になっている
ポリシーと規程を年1回以上見直している
全従業員がポリシーと規程の内容を理解している
組織体制
情報セキュリティ責任者（CISO等）が明確に定められている
セキュリティ担当部署または担当者が存在する
インシデント発生時の連絡フローが明確になっている
インシデント対応マニュアルが整備されている
外部のセキュリティ専門家と連携体制がある
教育と訓練
新入社員研修でセキュリティ教育を実施している
全従業員向けのセキュリティ研修を年1回以上実施している
フィッシングメールの模擬訓練を実施している
セキュリティインシデント事例を社内で共有している
eラーニングなどで継続的な教育を行っている
監査と評価
定期的な内部監査（年1回以上）を実施している
脆弱性診断を実施している（年1回以上推奨）
ログの監視体制がある
監査で発見された問題点の是正を確実に実施している
セキュリティ対策の効果を測定・評価している
運用管理チェック項目
アクセス管理
最小権限の原則に基づいたアクセス権限設定がされている
管理者権限は必要最小限の人数に限定している
リモートアクセスはVPN等で暗号化している
重要なシステムへのアクセスログを取得・保管している
異常なアクセスを検知する仕組みがある
データ保護
重要なデータのバックアップを定期的に取得している
バックアップデータは別の場所（オフラインまたは別拠点）に保管している
バックアップからの復旧訓練を実施している
機密情報は暗号化して保存している
不要になったデータを確実に削除している
物理的セキュリティ
サーバールームへの入退室管理がされている
従業員の入退館管理（IDカード等）がされている
退職者の入館証・鍵を確実に回収している
来客者の入館管理と付き添いルールがある
重要書類の施錠保管ルールがある
インシデント対応
インシデント発生時の初動対応手順が明確になっている
インシデント対応訓練を実施している
証拠保全の手順が明確になっている
外部への報告・通知基準が明確になっている
再発防止策の検討プロセスがある
チェック結果の評価
チェックした項目の数を数えてください。
80%以上（32項目以上）チェックできた
素晴らしいです。基本的なセキュリティ対策は十分に実施されています。ただし、未チェックの項目についても改善を検討しましょう。また、定期的に見直しを行い、継続的な改善を心がけてください。
50～79%（20～31項目）チェックできた
一定のセキュリティ対策は実施されていますが、改善の余地があります。特に未チェックの項目の中で、自社にとって重要度が高いものから優先的に対策を進めましょう。
50%未満（19項目以下）チェックできた
セキュリティ対策が不十分な状態です。不正アクセスの被害に遭うリスクが高いと言えます。早急に対策を強化する必要があります。専門家への相談も検討してください。
このチェックリストは基本的な項目のみを網羅したものです。業種や企業規模によって、追加で必要な対策もあります。自社の状況に合わせて、適切なセキュリティレベルを目指しましょう。
まとめ｜不正アクセス禁止法を正しく理解し、安全な情報社会を
ここまで、不正アクセス禁止法について詳しく解説してきました。最後に、重要なポイントを振り返りましょう。
不正アクセス禁止法の重要ポイント
不正アクセス禁止法は、インターネット社会の安全を守るための重要な法律です。
5つの禁止行為を再確認
不正アクセス行為：他人のID・パスワードで不正ログイン、セキュリティホールを突いた侵入
識別符号の不正取得：フィッシング詐欺などでID・パスワードを盗む
不正アクセス行為の助長：他人のID・パスワードを第三者に提供
識別符号の不正保管：不正取得したID・パスワードを保管
識別符号入力の不正要求：偽サイトやフィッシングメールでID・パスワードの入力を求める
これらの行為は、実害が発生していなくても処罰対象となります。「ちょっと見ただけ」「使っていない」という言い訳は通用しません。
罰則の重さ
不正アクセス行為：3年以下の懲役または100万円以下の罰金
準備行為：1年以下の懲役または50万円以下の罰金
有罪判決を受ければ前科がつき、社会生活に大きな影響を及ぼします。「軽い気持ち」では済まされない重大な犯罪なのです。
知らずに違反するリスク
善意のアカウント共有や、業務上の便宜のための他人のアカウント使用が、違法行為に該当する可能性があります。「悪いことをしているつもりはなかった」では済まされません。
正しい知識を持ち、適切な手続きを踏むことが重要です。
今日から始められる対策
不正アクセス対策は、特別な技術や多額の投資が必ずしも必要なわけではありません。今日からできる対策もたくさんあります。
個人ができること
複雑なパスワードを設定し、サービスごとに変える
重要なサービスで多要素認証を有効化する
メールやSMSのリンクを安易にクリックしない
公式アプリやブックマークから直接アクセスする
他人にID・パスワードを教えない
定期的にパスワードを見直す
これらは、お金をかけずに今すぐ実行できます。一つひとつは小さな習慣ですが、積み重ねることで大きな防御力になります。
企業ができること
多要素認証の導入（主要クラウドサービスは無料で設定可能）
パスワードポリシーの文書化と周知
退職者アカウントの即日削除ルールの徹底
セキュリティ研修の定期実施
インシデント対応手順の整備
チェックリストを使った現状把握と改善計画の策定
完璧を目指す必要はありません。できることから一つずつ始めることが重要です。
困ったときの相談窓口
不正アクセスの被害に遭ったり、対策について専門的なアドバイスが必要だったりする場合は、以下の窓口に相談できます。
警察のサイバー犯罪相談窓口
各都道府県警察には、サイバー犯罪専門の相談窓口があります。不正アクセスの被害に遭った場合は、まずここに相談しましょう。
IPA（情報処理推進機構）セキュリティセンター
技術的な相談や、セキュリティ対策についてのアドバイスを受けられます。
弁護士・セキュリティ専門家
企業が法的対応や高度なセキュリティ対策を検討する場合は、専門家への相談が有効です。サイバーセキュリティに詳しい弁護士やセキュリティコンサルタントに相談しましょう。
早期相談の重要性
被害に遭った場合、時間が経つほど証拠が失われ、被害が拡大します。「こんなことで相談していいのか」と遠慮せず、少しでも不安があれば早めに相談してください。
不正アクセス禁止法は、私たちがインターネットを安全に利用するための法律です。この法律を正しく理解し、適切な対策を講じることで、不正アクセスの被害者にも加害者にもならずに済みます。
技術の進歩とともにサイバー犯罪の手口も日々進化していますが、基本的な対策を徹底すれば、多くの被害は防げます。
一人ひとりがセキュリティ意識を高め、企業と個人が協力して対策に取り組むことで、より安全な情報社会を実現できるのです。
