# 不正アクセス対策と不正アクセス禁止法の基本をわかりやすく解説

不正アクセスの最新統計と主な手口、不正アクセス禁止法で禁止される行為と罰則、管理者に求められる防御措置、企業と個人が取るべき具体的な対策を、警察庁・総務省の公表資料と法令をもとに解説します。

不正アクセスとは、他人のIDやパスワードを無断で使ったり、システムの不備を突いたりして、本来は使えないはずのサービスやコンピューターを使える状態にすることです。不正アクセス禁止法で禁止されており、違反すると3年以下の拘禁刑または100万円以下の罰金が科されます。令和7年（2025年）の認知件数は7,190件で、前年より約34%増えました。対策の中心は、パスワードの管理と多要素認証、そして機器やソフトウェアの脆弱性をふさぐことです。

<Points>

- 検挙された不正アクセスの9割以上は、他人のID・パスワードを使う「識別符号窃用型」
- 不正アクセスそのものだけでなく、パスワードの不正取得・保管・提供や、フィッシングサイトの公開も処罰の対象
- システムを管理する側には、IDの適正な管理と防御措置を講じる努力義務がある

</Points>

## 不正アクセスの現状

国家公安委員会・総務大臣・経済産業大臣は、不正アクセス禁止法にもとづき、毎年少なくとも1回、不正アクセス行為の発生状況を公表しています。令和8年3月12日に公表された令和7年の状況を見てみます。

<BarChart
  title="不正アクセス行為の認知件数の推移"
  source="国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月）"
  unit="件"
  data={[
    { label: "令和3年", value: 1516 },
    { label: "令和4年", value: 2200 },
    { label: "令和5年", value: 6312 },
    { label: "令和6年", value: 5358 },
    { label: "令和7年", value: 7190, highlight: true },
  ]}
/>

不正アクセスの後に行われた行為で最も多かったのは「インターネットバンキングでの不正送金等」（4,747件）で、「証券会社のインターネット取引サービスでの不正取引等」（1,484件）、「インターネットショッピングでの不正購入」（228件）が続きます。証券口座の不正取引は、令和6年の2件から一気に増えました。

令和7年の不正アクセス禁止法違反の検挙は431件・248人でした。被疑者の年齢は20〜29歳が最も多く（91人）、次いで14〜19歳（81人）です。

## 主な手口

検挙された不正アクセス行為407件のうち、399件が他人のID・パスワード（法律上は「識別符号」）を使う識別符号窃用型でした。システムの不備を突くセキュリティ・ホール攻撃型は8件です。識別符号窃用型の手口と、悪用されたサービスの内訳は次のとおりです。

<Figure title="識別符号窃用型の不正アクセスの内訳（令和7年の検挙件数）" source="国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月）">

| ID・パスワードの入手手口 | 件数 | 悪用されたサービス | 件数 |
| --- | --- | --- | --- |
| パスワードの設定・管理の甘さにつけ込んで入手 | 84 | 社員・会員用等の専用サイト | 122 |
| フィッシングサイトから入手 | 77 | コミュニティサイト | 92 |
| 他人から入手 | 75 | インターネットショッピング | 67 |
| 元従業員や知人など識別符号を知り得る立場の者 | 61 | インターネットバンキング | 46 |
| 利用権者からの聞き出し、のぞき見 | 35 | オンラインゲーム | 9 |

</Figure>

フィッシングサイトから入手した手口は前年から36件増えました。元従業員や知人による犯行も61件あり、退職者のIDを放置しないことの大切さがわかります。

同じ資料の参考資料によると、IPAに届け出のあった不正アクセスでは、VPN装置の脆弱性の悪用や認証情報の不正利用を侵入経路にしたランサムウェア攻撃、Webサイトの脆弱性を突いた改ざん、Microsoft 365などのアカウントを乗っ取られて不正メールを送信される被害が見られました。ランサムウェアについては[ランサムウェアの解説](/ransomware/)で詳しく扱っています。

## 不正アクセス禁止法とは

不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）は、ネットワークを通じた不正アクセス行為を禁止し、罰則を定めた法律です。法律の定める「不正アクセス行為」は、大きく次の2つです。

- アクセス制御機能のあるコンピューターに、ネットワークを通じて他人のID・パスワードを入力し、利用できる状態にする行為（管理者や本人の承諾がある場合を除く）
- ID・パスワード以外の情報や指令を入力して、アクセス制御を免れて利用できる状態にする行為（脆弱性を突く攻撃など）

不正アクセスそのものだけでなく、その準備や手助けにあたる行為も禁止されています。

<Figure title="不正アクセス禁止法で禁止される行為と罰則" source="不正アクセス行為の禁止等に関する法律（e-Gov法令検索）">

| 条文 | 禁止される行為 | 罰則 |
| --- | --- | --- |
| 第3条 | 不正アクセス行為 | 3年以下の拘禁刑または100万円以下の罰金 |
| 第4条 | 不正アクセスに使う目的で、他人のID・パスワードを取得する | 1年以下の拘禁刑または50万円以下の罰金 |
| 第5条 | 正当な理由なく、他人のID・パスワードを第三者に提供する | 相手の不正目的を知って提供した場合は1年以下の拘禁刑または50万円以下の罰金。それ以外は30万円以下の罰金 |
| 第6条 | 不正アクセスに使う目的で、不正に取得された他人のID・パスワードを保管する | 1年以下の拘禁刑または50万円以下の罰金 |
| 第7条 | 管理者になりすまし、ID・パスワードの入力を求めるサイトを公開したりメールを送ったりする（フィッシング） | 1年以下の拘禁刑または50万円以下の罰金 |

</Figure>

第7条にあたる「識別符号不正要求行為」には、ID・パスワードの入力を求めるフィッシングサイトを誰でも見られる状態に置く行為が該当します。令和7年には、生成AIを一部悪用して大手ECサイトを模したフィッシングサイトを公開した男らが、この規定で検挙されています。

「友人のパスワードを知っていたので、ちょっと見てみた」も、本人の承諾がなければ不正アクセス行為にあたります。同じ資料では、10歳の子どもが補導された例も報告されています。

## システムを管理する側の義務と対策

不正アクセス禁止法第8条は、IDとパスワードで利用を制限している管理者（アクセス管理者）に対し、IDやパスワードの適正な管理に努め、アクセス制御機能の有効性を常に検証し、必要があれば機能の高度化など防御のための措置を講じるよう努めることを求めています。罰則のない努力義務ですが、自社のサービスや社内システムを運用する企業はこの立場にあたります。

公表資料では、アクセス管理者が講ずべき措置として次の項目が挙げられています。

<Steps>
<Step title="運用体制を作る">

セキュリティに必要なログを取得し、脆弱性の管理、不審なログインや操作の監視、不正アクセスされたときに対処できる体制を整えます。

</Step>
<Step title="推測されやすいパスワードを設定させない">

必要な文字数をできるだけ増やすなどして、簡単なパスワードを登録できないようにします。使い回しをしないよう利用者に周知します。

</Step>
<Step title="IDを適切に管理する">

退職者や委託先など、利用する立場でなくなった人のIDは速やかに削除するか、パスワードを変更します。

</Step>
<Step title="WebシステムやVPN機器の脆弱性をふさぐ">

サーバーやアプリケーション、VPN機器を定期的に点検し、セキュリティパッチの適用やバージョンアップで脆弱性を解消します。

</Step>
<Step title="認証を強化する">

ワンタイムパスワードなどの二要素認証や二経路認証に加え、パスキーのようなフィッシングに耐性のある認証技術を積極的に導入します。

</Step>
<Step title="なりすましメールを防ぐ">

自社ドメインをかたるフィッシングメールを防ぐため、送信ドメイン認証（SPF、DKIM、DMARC）を計画的に導入し、DMARCは受信側に受信拒否を求めるポリシーで運用します。

</Step>
</Steps>

<Note title="要追記：実体験">（ここに中小企業でのID棚卸しやVPN機器の更新手順など、実際に行った対策と工数を書く）</Note>

## 個人が取るべき対策

利用者側（法律上の「利用権者」）が気をつける点も、同じ資料にまとめられています。

<Compare>
<Column title="パスワードとアカウント">

- 氏名・電話番号・生年月日など推測されやすいパスワードを使わない
- 複数のサイトやアプリで同じID・パスワードを使わない
- パスワードを他人に教えない、ネット上のメモアプリなどに安易に保存しない
- ワンタイムパスワードなどの二要素認証を使う

</Column>
<Column title="フィッシングと不正アプリ" tone="accent">

- SMSやメールのリンクに安易にアクセスしない
- 本物と確認できるまで添付ファイルを開かない
- 不特定多数が使うパソコンでID・パスワードやカード情報を入力しない
- アプリを不用意にインストールせず、OSやソフトは最新にする

</Column>
</Compare>

パスワードの具体的な作り方と管理方法は[パスワード管理の解説](/password-management/)、偽のメールやSMSの見分け方は[フィッシング詐欺の見分け方](/phishing-check/)にまとめています。

不正アクセスの被害に遭ったときは、警察のサイバー事案相談窓口に相談できます。警察庁のサイトから、都道府県警察へのオンラインでの相談・届出が可能です。

## よくある質問

### Q. 家族や恋人のスマホやSNSを勝手に見るのは不正アクセスですか？

不正アクセス禁止法の不正アクセス行為は、ネットワークを通じて他人のID・パスワードを入力し、利用できる状態にする行為です。本人の承諾なく、他人のIDとパスワードでSNSやクラウドのアカウントにログインすれば該当する可能性があります。個別の事案の判断は、弁護士などの専門家に相談してください。

### Q. パスワードを教えてもらうだけでも違法ですか？

第4条は、不正アクセスに使う目的で他人のID・パスワードを取得することを禁止しています。また第5条は、業務その他正当な理由がないのに、他人のID・パスワードを管理者や本人以外に提供することを禁止しています。

### Q. 自社のサイトに不正アクセスされたら、どこに連絡すればよいですか？

警察のサイバー事案相談窓口に相談・届出をしてください。個人データの漏えいやそのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要になることがあります。詳しくは[情報漏えい時の報告義務と損害賠償](/data-breach-reporting/)をご覧ください。

### Q. 管理者側に罰則はありますか？

第8条のアクセス管理者の防御措置は「努めるものとする」という努力義務で、罰則はありません。ただし、個人データの漏えいにつながった場合は個人情報保護法上の対応が必要になり、利用者への損害賠償の問題が生じることもあります。

出典: [国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（PDF）](https://www.soumu.go.jp/main_content/001059979.pdf)、[総務省 報道資料（令和8年3月12日）](https://www.soumu.go.jp/menu_news/s-news/01cyber01_02000001_00276.html)、[e-Gov法令検索「不正アクセス行為の禁止等に関する法律」](https://laws.e-gov.go.jp/law/411AC0000000128)、[警察庁「サイバー事案に関する相談窓口」](https://www.npa.go.jp/bureau/cyber/soudan.html)