不正アクセスとは(不正アクセス禁止法)

不正アクセスとは、不正アクセス禁止法(不正アクセス行為の禁止等に関する法律)2 条 4 項が「不正アクセス行為」として定める 3 つの行為です。中心は 1 号で、他人の ID とパスワード(法律では識別符号)をネットワーク経由で入力してコンピューターを動かし、制限されている利用ができる状態にする行為です。3 条は「何人も、不正アクセス行為をしてはならない」と定め、11 条の罰則は 3 年以下の拘禁刑または 100 万円以下の罰金です。

法律は何を「不正アクセス行為」と呼ぶか

条文の言葉を先に示します。アクセス管理者は、コンピューターの動作を管理する人で、自社のシステムなら自社、外部のサービスならその提供者です。利用権者は、アクセス管理者から利用の許諾を得た人です。識別符号は、利用権者を他の人と区別するために付ける符号で、みだりに第三者に知らせてはならないもの(パスワード)、顔や指紋などの体の特徴や声、署名から作るもののいずれかを含みます。

警察庁などの年次資料は、1 号の型を「識別符号窃用型」と呼び、令和 6 年に検挙した不正アクセス行為 533 件のうち 511 件がこの型でした。

他人の ID とパスワードで入るとどう扱われるか

1 号の行為は、誰の ID かにかかわらず、3 条の禁止と 11 条の罰則の対象です。条文は、制限されている利用を「し得る状態にさせる行為」を対象にしており、入った後に何かを見たか、持ち出したかを条件にしていないと読めます。法律は、入る行為の前後にある行為も禁じています。

令和 6 年の検挙事例には、会社員が勤務先の名刺管理サービスの正規利用権者の識別符号を不正に取得してログインし、識別符号取得行為(4 条)と不正アクセス行為(3 条)で検挙されたものがあります。退職者ではなく、勤務先のサービスに他の利用者の ID で入った事例です。

本人の許可があって使う場合はどう読めるか

1 号の括弧書きは、アクセス管理者自身がする入力と、「当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするもの」を除いています。アクセス管理者か、その ID の利用権者の承諾を得て他人の ID とパスワードを入力する行為は、不正アクセス行為から除かれています。警察庁の解説は、正当な利用の例として、会社の同僚に自分の代わりにメールが着信していないかの確認を頼む場合を挙げています。会社が契約する外部サービスの共有 ID を、会社(利用権者)の許可を得た担当者が使う場合も、この承諾に当たると読めます。

一方で、教える側には 5 条があり、業務その他正当な理由による場合を除いて、他人の識別符号をアクセス管理者と利用権者以外に提供することを禁じています。承諾が誰に、いつまで、どの範囲で与えられたかによって、承諾の外に出た利用がどう扱われるかは、条文だけからは一義に読めません。個別の事案は、事実にもとづいて判断されます。

退職者が在職中の ID で入った場合はどう位置づけられるか

警察庁などの年次資料は、「ＩＤ・パスワードを知り得る立場にあった元従業員、委託先業者等の者による不正アクセス行為が発生している」と書いています。そのうえで、利用する立場でなくなった人の ID の削除かパスワードの変更を、アクセス管理者が速やかに行うよう求めています。自治体の公表にも、退職した小学校の臨時的任用講師が退職後に市のシステムへ不正にアクセスしたとして逮捕された、という例があります。

年次資料は、この削除や変更を防御上の留意事項として挙げています。8 条が求める識別符号の適正な管理に努める義務(罰則のない努力義務)と重なる内容です。