不正アクセスとは、他人のIDやパスワードを無断で使ったり、システムの不備を突いたりして、本来は使えないはずのサービスやコンピューターを使える状態にすることです。不正アクセス禁止法で禁止されており、違反すると3年以下の拘禁刑または100万円以下の罰金が科されます。令和7年（2025年）の認知件数は7,190件で、前年より約34%増えました。対策の中心は、パスワードの管理と多要素認証、そして機器やソフトウェアの脆弱性をふさぐことです。
不正アクセスの現状
国家公安委員会・総務大臣・経済産業大臣は、不正アクセス禁止法にもとづき、毎年少なくとも1回、不正アクセス行為の発生状況を公表しています。令和8年3月12日に公表された令和7年の状況を見てみます。
不正アクセス行為の認知件数の推移
不正アクセスの後に行われた行為で最も多かったのは「インターネットバンキングでの不正送金等」（4,747件）で、「証券会社のインターネット取引サービスでの不正取引等」（1,484件）、「インターネットショッピングでの不正購入」（228件）が続きます。証券口座の不正取引は、令和6年の2件から一気に増えました。
令和7年の不正アクセス禁止法違反の検挙は431件・248人でした。被疑者の年齢は20〜29歳が最も多く（91人）、次いで14〜19歳（81人）です。
主な手口
検挙された不正アクセス行為407件のうち、399件が他人のID・パスワード（法律上は「識別符号」）を使う識別符号窃用型でした。システムの不備を突くセキュリティ・ホール攻撃型は8件です。識別符号窃用型の手口と、悪用されたサービスの内訳は次のとおりです。
識別符号窃用型の不正アクセスの内訳（令和7年の検挙件数）
| ID・パスワードの入手手口 | 件数 | 悪用されたサービス | 件数 |
|---|---|---|---|
| パスワードの設定・管理の甘さにつけ込んで入手 | 84 | 社員・会員用等の専用サイト | 122 |
| フィッシングサイトから入手 | 77 | コミュニティサイト | 92 |
| 他人から入手 | 75 | インターネットショッピング | 67 |
| 元従業員や知人など識別符号を知り得る立場の者 | 61 | インターネットバンキング | 46 |
| 利用権者からの聞き出し、のぞき見 | 35 | オンラインゲーム | 9 |
フィッシングサイトから入手した手口は前年から36件増えました。元従業員や知人による犯行も61件あり、退職者のIDを放置しないことの大切さがわかります。
同じ資料の参考資料によると、IPAに届け出のあった不正アクセスでは、VPN装置の脆弱性の悪用や認証情報の不正利用を侵入経路にしたランサムウェア攻撃、Webサイトの脆弱性を突いた改ざん、Microsoft 365などのアカウントを乗っ取られて不正メールを送信される被害が見られました。ランサムウェアについてはランサムウェアの解説で詳しく扱っています。
不正アクセス禁止法とは
不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）は、ネットワークを通じた不正アクセス行為を禁止し、罰則を定めた法律です。法律の定める「不正アクセス行為」は、大きく次の2つです。
- アクセス制御機能のあるコンピューターに、ネットワークを通じて他人のID・パスワードを入力し、利用できる状態にする行為（管理者や本人の承諾がある場合を除く）
- ID・パスワード以外の情報や指令を入力して、アクセス制御を免れて利用できる状態にする行為（脆弱性を突く攻撃など）
不正アクセスそのものだけでなく、その準備や手助けにあたる行為も禁止されています。
不正アクセス禁止法で禁止される行為と罰則
| 条文 | 禁止される行為 | 罰則 |
|---|---|---|
| 第3条 | 不正アクセス行為 | 3年以下の拘禁刑または100万円以下の罰金 |
| 第4条 | 不正アクセスに使う目的で、他人のID・パスワードを取得する | 1年以下の拘禁刑または50万円以下の罰金 |
| 第5条 | 正当な理由なく、他人のID・パスワードを第三者に提供する | 相手の不正目的を知って提供した場合は1年以下の拘禁刑または50万円以下の罰金。それ以外は30万円以下の罰金 |
| 第6条 | 不正アクセスに使う目的で、不正に取得された他人のID・パスワードを保管する | 1年以下の拘禁刑または50万円以下の罰金 |
| 第7条 | 管理者になりすまし、ID・パスワードの入力を求めるサイトを公開したりメールを送ったりする（フィッシング） | 1年以下の拘禁刑または50万円以下の罰金 |
第7条にあたる「識別符号不正要求行為」には、ID・パスワードの入力を求めるフィッシングサイトを誰でも見られる状態に置く行為が該当します。令和7年には、生成AIを一部悪用して大手ECサイトを模したフィッシングサイトを公開した男らが、この規定で検挙されています。
「友人のパスワードを知っていたので、ちょっと見てみた」も、本人の承諾がなければ不正アクセス行為にあたります。同じ資料では、10歳の子どもが補導された例も報告されています。
システムを管理する側の義務と対策
不正アクセス禁止法第8条は、IDとパスワードで利用を制限している管理者（アクセス管理者）に対し、IDやパスワードの適正な管理に努め、アクセス制御機能の有効性を常に検証し、必要があれば機能の高度化など防御のための措置を講じるよう努めることを求めています。罰則のない努力義務ですが、自社のサービスや社内システムを運用する企業はこの立場にあたります。
公表資料では、アクセス管理者が講ずべき措置として次の項目が挙げられています。
運用体制を作る
セキュリティに必要なログを取得し、脆弱性の管理、不審なログインや操作の監視、不正アクセスされたときに対処できる体制を整えます。
推測されやすいパスワードを設定させない
必要な文字数をできるだけ増やすなどして、簡単なパスワードを登録できないようにします。使い回しをしないよう利用者に周知します。
IDを適切に管理する
退職者や委託先など、利用する立場でなくなった人のIDは速やかに削除するか、パスワードを変更します。
WebシステムやVPN機器の脆弱性をふさぐ
サーバーやアプリケーション、VPN機器を定期的に点検し、セキュリティパッチの適用やバージョンアップで脆弱性を解消します。
認証を強化する
ワンタイムパスワードなどの二要素認証や二経路認証に加え、パスキーのようなフィッシングに耐性のある認証技術を積極的に導入します。
なりすましメールを防ぐ
自社ドメインをかたるフィッシングメールを防ぐため、送信ドメイン認証（SPF、DKIM、DMARC）を計画的に導入し、DMARCは受信側に受信拒否を求めるポリシーで運用します。
個人が取るべき対策
利用者側（法律上の「利用権者」）が気をつける点も、同じ資料にまとめられています。
パスワードとアカウント
- 氏名・電話番号・生年月日など推測されやすいパスワードを使わない
- 複数のサイトやアプリで同じID・パスワードを使わない
- パスワードを他人に教えない、ネット上のメモアプリなどに安易に保存しない
- ワンタイムパスワードなどの二要素認証を使う
フィッシングと不正アプリ
- SMSやメールのリンクに安易にアクセスしない
- 本物と確認できるまで添付ファイルを開かない
- 不特定多数が使うパソコンでID・パスワードやカード情報を入力しない
- アプリを不用意にインストールせず、OSやソフトは最新にする
パスワードの具体的な作り方と管理方法はパスワード管理の解説、偽のメールやSMSの見分け方はフィッシング詐欺の見分け方にまとめています。
不正アクセスの被害に遭ったときは、警察のサイバー事案相談窓口に相談できます。警察庁のサイトから、都道府県警察へのオンラインでの相談・届出が可能です。
よくある質問
家族や恋人のスマホやSNSを勝手に見るのは不正アクセスですか？
不正アクセス禁止法の不正アクセス行為は、ネットワークを通じて他人のID・パスワードを入力し、利用できる状態にする行為です。本人の承諾なく、他人のIDとパスワードでSNSやクラウドのアカウントにログインすれば該当する可能性があります。個別の事案の判断は、弁護士などの専門家に相談してください。
パスワードを教えてもらうだけでも違法ですか？
第4条は、不正アクセスに使う目的で他人のID・パスワードを取得することを禁止しています。また第5条は、業務その他正当な理由がないのに、他人のID・パスワードを管理者や本人以外に提供することを禁止しています。
自社のサイトに不正アクセスされたら、どこに連絡すればよいですか？
警察のサイバー事案相談窓口に相談・届出をしてください。個人データの漏えいやそのおそれがある場合は、個人情報保護委員会への報告と本人への通知が必要になることがあります。詳しくは情報漏えい時の報告義務と損害賠償をご覧ください。
管理者側に罰則はありますか？
第8条のアクセス管理者の防御措置は「努めるものとする」という努力義務で、罰則はありません。ただし、個人データの漏えいにつながった場合は個人情報保護法上の対応が必要になり、利用者への損害賠償の問題が生じることもあります。
出典: 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（PDF）、総務省 報道資料（令和8年3月12日）、e-Gov法令検索「不正アクセス行為の禁止等に関する法律」、警察庁「サイバー事案に関する相談窓口」
