用語解説 [公開日]2017年10月2日[更新日]2021年6月30日

不正アクセス禁止法の解説〜目的、違反要件、罰則・刑罰について

情報技術の発展に伴い、インターネットを中心としたコンピュータ・ネットワークを正しく運用することは、高度情報通信社会の健全な発展にとって不可欠なことです。

ハイテク犯罪に対する技術的・法的対応の強化が指摘され、国際社会からも法整備を迫られていたという背景の中で、コンピュータ・ネットワークへの不正アクセス自体を犯罪として処罰する「不正アクセス行為の禁止等に関する法律」（以下「不正アクセス禁止法」、あるいは単に「法」）が、平成11年8月13日に公布され、平成12年2月13日から施行（ただし、一部の規定は同年7月1日から施行）されたのです。

以下では、不正アクセス禁止法について解説していきます。

なお、不正アクセス禁止法の内容を理解する上で欠かせない用語の説明については「理解する上で欠かせない！不正アクセス禁止法の用語解説」をご参照ください。

１．「不正アクセス行為」の種類と罰則

まず、不正アクセス禁止法に規定されている「不正アクセス行為」はどのようなもので、どんな刑罰が科されるのかを確認していきます。

(1) 不正アクセス罪

不正アクセス罪は、不正アクセス行為をした場合に成立する犯罪です（法3条）。
不正アクセス罪を犯した者は、3年以下の懲役又は100万円以下の罰金に処せられます（法11条）。

法は、不正アクセス行為について、次の３類型を規定しています。

第１の類型：アクセス制御機能のある特定電子計算機に対し、ネットワークを通じて他人のID・パスワードを入力して、制御されている利用を可能にする行為（法2条4項1号）

第２の類型：アクセス制御機能のある特定電子計算機に対し、ネットワークを通じて特殊な情報又は指令を入力して、制御されている利用を可能にする行為（法2条4項2号）

第３の類型：ネットワークで接続された他の特定電子計算機のアクセス制御機能によって利用が制限されている特定電子計算機に対し、ネットワークを通じて特殊な情報又は指令を入力して、制御されている利用を可能にする行為（法2条4項3号）

第1の類型は、他人のID・パスワードを本人に無断で入力する「他人なりすまし型」と呼べるもので、もっとも単純な不正ログイン行為です。

第2、第3の類型は、共にセキュリティ・ホール攻撃行為です。攻撃対象プログラムの脆弱性を衝く攻撃用プログラム等を用いて特殊なデータを入力し、誰とも識別できないようにしアクセス制御機能を回避して、本来はID・パスワードにより制限されているはずのコンピュータの機能を利用する行為です。

第2の類型は機能を利用される攻撃対象サーバ自体がアクセス制御機能を有するサーバである場合、第3の類型は攻撃対象サーバとアクセス制御機能を有するサーバが異なる場合です。

(2) 不正取得罪

不正取得罪は、不正アクセス行為の用に供する目的で他人のID・パスワードを取得した場合に成立する犯罪です（法4条）。不正アクセス行為の予備的行為を処罰するものと言えます。

不正取得罪を犯した者は、1年以下の懲役又は50万円以下の罰金に処せられます（法12条1号）。

「不正アクセス行為の用に供する目的」とは、前述の「他人なりすまし型」を行う目的です。取得者自身に他人のID・パスワードを用いて不正アクセス行為を行う意図がある場合のほか、第三者に不正アクセス行為を行う意図がある場合にそのことを認識しながら当該第三者にID・パスワードを提供する意図を持って取得する場合のことをいいます。

ID・パスワードの「取得」とは、抽象的にはID・パスワードの情報を自己の支配下に移す行為で、具体例は次の場合です。

ID・パスワード情報が記載された紙を受け取る行為
ID・パスワード情報が記録されたUSBメモリ等の電磁的記録媒体を受け取る行為
自分が使用するスマホやＰＣの画面にID・パスワード情報を表示させる行為
ID・パスワードを暗記する行為

(3) 不正助長罪

不正助長罪は、業務その他正当な理由による場合を除き、他人のID・パスワードを第三者に提供した場合に成立する犯罪です（法5条）。

不正アクセスを実行しようとする者に、それと知りながら他人のID・パスワードを提供すれば、当然に不正アクセス行為を手助けする幇助犯であり、刑法上の共犯として処罰されます。

しかし、そのような事実を認識していなかったとしても、そもそも他人のID・パスワードを別の他人に教えるという行為それ自体が、不正アクセス行為を助長する危険性が高い行為であり、これを禁圧する必要性があります。

そこで本罪は、不正アクセス行為を助長する認識の有無を問わず、このような危険な行為を禁止したものです。

このため、法定刑は行為者の認識内容に応じた軽重が定められています。

提供者が提供行為を行うに当たり、提供の相手方に不正アクセス行為の用に供する目的があることを知りながら不正助長罪を犯した者は、1年以下の懲役又は50万円以下の罰金に処せられ（法12条2号）、その認識なしに不正助長罪を犯した者は30万円以下の罰金に処せられます（法13条）。

「業務その他正当な理由による場合」とは、社会通念上、正当と認められる場合です。例えば、以下の行為がこれに該当します。

情報セキュリティ会社ネット上に流出しているID・パスワードのリストを顧客企業に提供する行為
ネット上に流出している他人のID・パスワードを発見した者が、これを情報セキュリティ会社や公的機関に届け出る行為
情報セキュリティに関するセミナーの資料等において、実際に流出したID・パスワードのリストを掲載する行為
ありがちな単純なID・パスワードを、使うべきでない例として示す行為

「提供」とは、ID・パスワードを第三者が利用できる状態に置くことをいいます。要するに他人のID・パスワードを別の者に教えることです。

教える方法は、口頭、電話、電子メール、文書、ホームページなど、その手段・方法は問いません。

(4) 不正保管罪

不正保管罪は、不正アクセス行為の用に供する目的で、不正に取得された他人のID・パスワードを保管した場合に成立する犯罪です（法6条）。不正取得罪（第4条）と同様に、不正アクセス行為の予備的行為を処罰するものです。

不正保管罪を犯した者は、1年以下の懲役又は50万円以下の罰金に処せられます（法12条3号）。

「不正アクセス行為の用に供する目的」とは、上記(2)不正取得罪で説明したとおりです。
「不正に取得された」とは、正当な権限なく取得されたことをいいます。具体的には、法4条に該当する行為（不正取得罪）や法5条に該当する行為（不正助長罪）により提供されたID・パスワード等がこれに該当します。

「保管」とは、有体物の所持に相当する行為であり、ID・パスワードを自己の実力支配内に置いておくことをいいます。具体的には、ID・パスワードが記載された紙、記録されたUSBメモリ、ICカード等の電磁的記録媒体を保有する行為、自らが使用するスマホやPCに保存する行為等がこれに該当します。

(5) 不正入力要求罪

不正入力要求罪は、正規のアクセス管理者のように装って、利用権者に対しID・パスワードを入力することを求める情報を公開したり、ID・パスワードを入力することを求める情報を電子メールで送信した場合に成立する犯罪です（法7条）。

不正入力要求罪を犯した者は、1年以下の懲役又は50万円以下の罰金に処せられます（法12条4号）。

法7条は、いわゆる「フィッシング行為」即ち、ID・パスワード情報を「だまし取る行為」を禁止する規定です。

法7条のうち、1号が「サイト構築型」、2号が「メール送信型」になります。

サイト構築型：偽のウェブサイト上にID・パスワードを入力するよう求める文章、入力欄及び送信用のボタンを表示してID・パスワードを入力させようとするもの（要するに、管理者になりすまして、パスワードを入れさせる偽サイトをつくる行為です）

メール送信型：偽の電子メールを送信して、電子メールの本文欄にID・パスワードを入力するよう求める文章、入力欄及び送信用のボタンを表示するか、あるいは、これらの情報が表示されるプログラムを添付して、電子メールそのものや添付ファイルにID・パスワードを入力させようとするもの（要するに、管理者になりすまして、パスワードを入れさせる偽メールを送る行為です）