不正アクセス禁止法の違反例と罰則｜他人のSNSへのログインも犯罪

別れた恋人のSNSに、知っているパスワードでログインしてみた。配偶者の浮気が気になって、メールをこっそり開いた。本人にとっては「のぞいただけ」のつもりでも、これらは不正アクセス禁止法に違反する犯罪になり得ます。

反対に、自分のアカウントに誰かが勝手にログインしていた、身に覚えのない投稿がされていた、という被害の相談も年々増えています。パスワードが一つ漏れるだけで、SNSも通販サイトも銀行の口座も危険にさらされる時代です。

この記事では、刑事事件とネットのトラブルを扱う弁護士の立場から、不正アクセス禁止法がどんな行為を処罰しているのか、罰則はどの程度か、被害者と加害者それぞれがどう動けばよいのかを、身近な例を交えて説明していきます。

不正アクセス禁止法とは｜目的と成り立ち

不正アクセス禁止法の正式名称は「不正アクセス行為の禁止等に関する法律」です。1999年に成立し、2000年2月に施行されました。インターネットが家庭に広がり始めた時期に、他人のコンピューターへの無断侵入を取り締まるために作られた法律です。

この法律の特徴は、侵入した後に何をしたかに関係なく、無断でログインすること自体を処罰する点にあります。データを盗んでいなくても、書き換えていなくても、他人のIDとパスワードでログインした時点で犯罪が成立します。

2012年の改正で広がった処罰範囲

フィッシング詐欺などの被害が増えたことを受けて、2012年に大きな改正が行われました。それまでは不正アクセスそのものが中心でしたが、改正により、他人のIDやパスワードを不正に取得する行為、保管する行為、偽のサイトで入力を求める行為なども処罰されるようになりました。不正アクセス罪の法定刑も引き上げられています。

管理者に求められる努力

この法律は、利用者やサービスの運営者に対しても、IDやパスワードを適切に管理し、防御の措置を講じるよう努めることを求めています。国や都道府県の公安委員会は、被害の防止に役立つ情報を提供したり、助言をしたりする役割を担っています。

保護されているもの

この法律が守ろうとしているのは、コンピューターのアクセス制御という仕組みへの信頼です。IDとパスワードでログインする仕組みは、正しい利用者だけが使えるという前提で成り立っています。その前提を崩す行為を広く処罰することで、ネット社会の安全を保とうとしているのです。

検挙される事件の傾向

警察が毎年公表している統計を見ると、不正アクセスの手口として多いのは、高度な技術を使ったものではありません。利用者の管理が甘いパスワードを推測したり、フィッシングで盗み取ったりする手口が大半を占めています。犯人と被害者が知り合いという事件も、一定の割合で含まれています。技術よりも、人の油断を突く犯罪だと言えるでしょう。

刑法の犯罪との関係

コンピューターに関する犯罪は、不正アクセス禁止法だけでなく、刑法にも定められています。不正アクセス禁止法が「入り込むこと」を処罰するのに対し、刑法の犯罪は、入り込んだ後にデータを書き換えたり、お金をだまし取ったり、システムを壊したりする行為を処罰します。一つの事件で、両方の法律の罪が同時に成立することも少なくありません。

不正アクセス行為にあたる3つの類型

法律は、不正アクセス行為を次の3つの類型に分けて定めています。一般の方が関わる可能性が高いのは、1つ目の類型です。

類型	内容	具体例
識別符号の無断入力	他人のIDやパスワードなどを無断で入力し、利用制限を解除して使う	元交際相手のパスワードでSNSにログインする
セキュリティの穴を突く侵入	プログラムの欠陥などを突いて、IDやパスワードなしに利用制限を回避する	システムの脆弱性を利用して管理画面に入り込む
他のコンピューターを経由した侵入	別のコンピューターの利用制限を回避して、その先のシステムに入り込む	外部のサーバーを足がかりにして社内のネットワークに侵入する

具体例で考えてみましょう。ある男性が、元交際相手の誕生日を組み合わせたパスワードを試したところ、SNSにログインできてしまいました。この男性は技術的な手段を何も使っていませんが、識別符号の無断入力という最も典型的な不正アクセスにあたります。何度か試して当たったという経緯も、罪の成立を妨げません。

「識別符号」とは何か

識別符号とは、利用者を識別するためにアクセス管理者が定めた符号のことです。IDとパスワードの組み合わせが典型ですが、指紋や顔などの生体情報による認証や、スマートフォンに届く確認コードも含まれます。つまり、パスワードでなく顔認証のスマートフォンでも、他人の顔を使って勝手にロックを解除すれば、問題になり得ます。

対象になるのはネットにつながったコンピューター

不正アクセス禁止法の対象は、ネットワークを通じてアクセスが制御されているコンピューターです。そのため、ネットにつながっていない単体のパソコンを勝手に操作する行為は、この法律の不正アクセスにはあたらないと考えられています。ただし、別の犯罪やプライバシー侵害の問題が生じることはあります。

許可があれば違法ではない

不正アクセスにあたるのは、本人やアクセス管理者の承諾がない場合です。会社が業務のために社員のアカウントを管理者として確認する、利用者本人から頼まれて設定を代わりに行う、といった場面は、承諾の範囲内であれば問題になりません。セキュリティの診断のために、依頼を受けてシステムの弱点を調べる行為も同様です。大切なのは、誰が、どの範囲まで認めていたかという点です。

処罰される行為と罰則の一覧

不正アクセス禁止法が処罰しているのは、ログインそのものだけではありません。その前段階の行為も、それぞれ独立した犯罪として定められています。

処罰される行為	内容	法定刑
不正アクセス行為	他人のIDやパスワードで無断ログインするなど	拘禁刑3年以下か罰金100万円以下
識別符号の不正取得	不正アクセスに使う目的で、他人のIDやパスワードを手に入れる	拘禁刑1年以下か罰金50万円以下
不正アクセスの助長	正当な理由なく、他人のIDやパスワードを第三者に教える	拘禁刑1年以下か罰金50万円以下（相手の目的を知らないときは罰金30万円以下）
識別符号の不正保管	不正アクセスに使う目的で、不正に取得した他人のIDやパスワードを保管する	拘禁刑1年以下か罰金50万円以下
不正な入力要求	正規の事業者を装った偽のサイトやメールで、IDやパスワードを入力させようとする	拘禁刑1年以下か罰金50万円以下

不正アクセス罪は親告罪ではありません。被害者が告訴しなくても、警察が捜査を始めることができます。被害者と示談が成立しても、それだけで刑事手続きが止まるとは限らない点にも注意が必要です。

罰則が重くなった理由

2012年の改正前、不正アクセス罪の法定刑は1年以下の懲役または50万円以下の罰金でした。それが現在の水準に引き上げられたのは、不正アクセスが詐欺や情報流出の入り口となり、被害が社会全体に広がるようになったためです。単なるのぞき見では済まない犯罪として、法律の評価が変わったと言えます。

偽のサイトを作っただけでも処罰される

銀行や通販サイトを装った偽のサイトを作り、利用者にIDやパスワードを入力させようとする行為は、実際に誰かが入力しなくても処罰の対象になります。偽のサイトに誘導するメールを送る行為も同じです。フィッシングの被害が深刻になったことを受けて、準備の段階から取り締まれるようにした規定です。

身近に起こり得る違反の例

不正アクセスというと、高度な技術を持つハッカーの犯罪を思い浮かべる方が多いかもしれません。けれども、実際に検挙される事件の多くは、知人のパスワードを使ったものです。身近な人間関係の中で起きる例を見ていきましょう。

次に挙げる例は、実際の相談でもよく耳にするものばかりです。どれも「自分は大丈夫」と思っている人ほど、うっかり足を踏み入れてしまいやすいものといえます。

元交際相手や配偶者のアカウントにログイン

最も多いのが、交際相手や配偶者のアカウントをのぞくケースです。付き合っていたころに教えてもらったパスワードや、誕生日などから推測したパスワードでSNSやメールにログインする行為は、不正アクセス罪にあたります。

浮気の証拠を集めたいという理由でも、正当化はされません。離婚の裁判で証拠として使おうとしても、違法に集めた証拠として扱いが問題になるうえ、自分が刑事責任を問われるおそれがあります。

退職した会社のシステムにログイン

退職後に、在職中のIDとパスワードで会社のシステムに入る行為も、不正アクセスにあたります。アカウントが削除されずに残っていたとしても、利用する権限はすでに失われています。顧客データを持ち出したり、取引先の情報を競合の会社で使ったりすれば、さらに別の犯罪や民事上の責任が加わります。

職場でのパスワードの共有

職場で一つのアカウントを複数人で使い回している場合、どこまでが許された利用なのかが曖昧になりがちです。たとえば、異動した社員が前の部署の共有アカウントに入り続ける、上司のパスワードを見て覚え、上司の権限でシステムを操作する、といった行為は、許可の範囲を超えていると判断される可能性があります。社内の規則で権限をはっきり決めておくことが、社員を守ることにもつながります。

友人のゲームアカウントにログイン

オンラインゲームのアカウントを乗っ取り、アイテムを自分のアカウントに移す事件も後を絶ちません。子どもや若い人が、軽い気持ちで行ってしまうケースも目立ちます。ゲームの中のアイテムでも、不正アクセスの事実は変わりません。

学生による事件

中学生や高校生が、同級生のSNSのパスワードを推測してログインし、なりすまして投稿する事件も起きています。本人はいたずらのつもりでも、少年事件として警察の捜査の対象になります。学校のいじめの問題として扱われることも多く、被害を受けた子どもの心の傷は深いものです。保護者の方は、パスワードを他人に教えないこと、他人のアカウントに入らないことを、早い段階から子どもと話し合っておいてください。

業者に頼んでアカウントを調べさせた場合

「パートナーのSNSを調べます」とうたう業者に依頼するケースもあります。業者が不正アクセスによって情報を得れば、実行した業者だけでなく、依頼した人も共犯として責任を問われる可能性があります。正規の調査のように見えても、中身が違法な手段なら依頼者も巻き込まれることを覚えておいてください。

家族のスマートフォンやアカウント

家族であっても、本人の許可なくアカウントにログインすれば不正アクセスにあたる可能性があります。親が未成年の子どものアカウントを確認する場合は、親権に基づく監督の範囲として考えられる余地もありますが、子どもの年齢や目的によって評価は分かれます。トラブルを避けるには、あらかじめ家庭内でルールを決めておくのが賢明です。

あわせて成立し得る犯罪

不正アクセスをきっかけに、ほかの犯罪へと発展することもあります。ログインした後の行為によって、次のような犯罪が問題になります。

ログイン後の行為	成立し得る犯罪
他人のアカウントで買い物や送金をする	電子計算機使用詐欺罪
他人になりすまして投稿し、評判を落とす	名誉毀損罪、私電磁的記録不正作出罪
データを消去したり、システムを止めたりする	電子計算機損壊等業務妨害罪
コンピューターウイルスを作ったり、送りつけたりする	不正指令電磁的記録作成・供用罪
得た情報で相手を脅す	脅迫罪、恐喝罪

電子計算機使用詐欺罪

他人のアカウントに入り込んで、その人の登録したカードで買い物をしたり、電子マネーを送金したりすると、電子計算機使用詐欺罪が問題になります。人をだますのではなく、コンピューターに虚偽の情報を与えて財産上の利益を得る犯罪で、法定刑は10年以下の拘禁刑と重く定められています。不正アクセスと組み合わさると、刑事責任は一気に重くなります。

たとえば、元交際相手のSNSにログインし、本人になりすまして知人に悪口を送りつければ、不正アクセス罪に加えて、名誉毀損などの罪が重なります。一つひとつの行為は小さく見えても、合わせると重い責任になることを知っておいてください。

なりすましアカウントとの違い

他人の名前や写真を使って新しいアカウントを作る「なりすまし」は、本人のアカウントに入り込むわけではないため、不正アクセスにはあたりません。ただし、なりすましによって本人の評判を落とせば名誉毀損、写真を無断で使えば肖像権の侵害などが問題になります。乗っ取りと偽アカウントの作成は、似ているようで法律上の扱いが異なります。

のぞき見た内容を広めた場合

他人のアカウントで見たメッセージや写真を、第三者に見せたりネットに載せたりすれば、プライバシーの侵害として民事上の責任も生じます。内容によっては名誉毀損にもなります。ログインした行為と、得た情報を広めた行為は、それぞれ別に評価されると考えてください。

アカウントを乗っ取られたときの対応

ここからは、被害を受けた側の対応です。自分のアカウントに身に覚えのないログインがあったと気づいたら、次の順番で動きましょう。

1. パスワードを変更し、ほかのサービスで同じパスワードを使っていればそれも変える
2. 二段階認証を設定し、ログインしている端末の一覧から不審なものを外す
3. ログイン履歴、不審な投稿やメッセージの画面を保存する
4. サービスの運営者に、乗っ取りの被害を報告する
5. 金銭の被害があれば、カード会社や金融機関に連絡する
6. 警察のサイバー犯罪相談窓口に相談する

警察に相談するときに持っていくもの

• ログイン履歴や不審な通知の画面
• 乗っ取られた後にされた投稿やメッセージの記録
• 金銭の被害があれば、利用明細や取引の記録
• 犯人に心当たりがあれば、その人物との関係と理由をまとめたメモ

運営者への報告のしかた

多くのサービスには、アカウントが乗っ取られたときの専用の窓口があります。報告の際は、いつ異変に気づいたか、どんな投稿や操作がされたか、パスワードを変更したかどうかを伝えます。自分でログインできなくなっている場合でも、本人確認の手続きを経てアカウントを取り戻せることがあります。

二段階認証の大切さ

二段階認証は、パスワードに加えて、スマートフォンに届く確認コードなどを求める仕組みです。パスワードが知られても、手元の端末がなければログインできないため、乗っ取りを防ぐ効果は大きいといえます。被害を受けた後の再発防止としてだけでなく、日ごろから主要なサービスで設定しておくことをおすすめします。

犯人に心当たりがあるとき

元交際相手など、犯人に心当たりがあることも多いものです。その場合でも、自分で問い詰めるのは避けてください。証拠を消されたり、逆恨みされたりするおそれがあります。警察に被害を届け出れば、捜査によって接続の記録から犯人を特定できる可能性があります。

損害賠償を求める

不正アクセスによって精神的な苦痛を受けたり、金銭の被害が生じたりした場合は、加害者に損害賠償を請求できます。乗っ取られたアカウントで中傷の投稿がされたなら、その被害も請求の対象です。刑事手続きで加害者が判明すれば、その情報をもとに民事の請求を進めることができます。

不正アクセスをしてしまった場合の対応

一時の感情で他人のアカウントにログインしてしまい、後になって不安になる方もいます。やってしまったことは取り消せませんが、その後の対応によって、結果は大きく変わります。

すぐにやめて、何も変更しない

まずは、それ以上のログインをやめてください。取得した情報を誰かに見せたり、アカウントの設定を変えたりすれば、責任はさらに重くなります。保存した画像やメッセージがあれば、広めずにそのまま保管し、弁護士に相談しましょう。

「バレなければ大丈夫」と考えて放置するのは得策ではありません。被害者が異変に気づいてパスワードを変えたとしても、過去のログインの記録は運営者のもとに残り続けます。

警察から連絡が来たら

被害者が警察に相談すれば、接続の記録から身元が判明し、警察から連絡が来ることがあります。悪質な場合や、証拠を隠すおそれがある場合には、逮捕されることもあります。取り調べで話す内容は、その後の処分に大きく影響するため、できる限り早く弁護士に相談してください。

処分の見通し

不正アクセス罪で起訴されるかどうか、どの程度の刑になるかは、ログインの回数や期間、得た情報をどう使ったか、被害者との示談の有無、前科の有無などによって判断されます。一度きりの行為で、情報を悪用しておらず、示談も成立しているなら、不起訴や罰金にとどまる可能性があります。一方、繰り返し侵入していたり、金銭をだまし取っていたりすれば、実刑も視野に入ります。

自首という選択

警察に発覚する前に自ら名乗り出れば、自首として刑が軽くなる可能性があります。すでに警察が犯人を特定している段階では自首にあたりませんが、自ら出頭した姿勢は反省の表れとして考慮されます。どのタイミングで、どのように出頭するのがよいかは、事前に弁護士と相談して決めるのが安全です。

被害者との示談

不正アクセス罪は親告罪ではないものの、被害者との示談が成立していれば、起訴するかどうかの判断で有利な事情として考慮されます。初めての事件で、被害が小さく、示談が成立している場合には、不起訴になることもあります。加害者が直接被害者に連絡すると、かえって相手を怖がらせてしまうため、示談の交渉は弁護士を通じて行うのが一般的です。

企業やサービス運営者が取るべき対策

不正アクセス禁止法は、処罰だけでなく、アクセス管理者に対して、IDやパスワードの適正な管理やシステムの防御に努めることも求めています。企業が被害を受けた場合、顧客の情報が漏れれば、個人情報保護法上の報告義務なども生じます。

• 退職者や異動者のアカウントを速やかに停止する
• 管理者権限を持つアカウントを必要最小限に絞る
• 二段階認証を導入し、パスワードの使い回しを禁じる
• ソフトウェアの更新を怠らず、既知の欠陥をふさぐ
• ログイン記録を一定期間保存し、不審な動きを確認できるようにする

加えて、どの社員がいつ、どのデータにアクセスしたかを記録する仕組みは、不正の抑止にもなります。見られているという意識が、社内の不正を防ぐ一番の歯止めになるからです。

とくに退職者のアカウント管理は、中小企業で手薄になりやすい部分です。辞めた社員が在職中のIDで顧客情報を持ち出したという相談は、決して珍しくありません。

被害が起きたときの社内対応

自社のシステムに不正アクセスがあったと分かったら、被害の拡大を止めることが最優先です。該当するアカウントの停止、通信の遮断、記録の保全を行い、そのうえで原因と影響の範囲を調べます。顧客の個人データが漏れたおそれがあれば、個人情報保護委員会への報告や本人への通知が必要になる場合もあります。警察への相談と並行して、対応の方針を早めに固めることが肝心です。

従業員への教育

システムの対策と同じくらい大切なのが、社員への教育です。不審なメールのリンクを開かない、パスワードを使い回さない、共有のアカウントを勝手に使わない。こうした基本を繰り返し伝えることで、外部からの攻撃にも、社内の不正にも強い組織になります。

弁護士に相談するメリット

不正アクセスの問題は、刑事と民事、被害者と加害者、どの立場でも法律の専門的な判断が必要になります。

とくに、身近な人との間で起きた事件では、刑事の問題と人間関係の問題が絡み合います。感情的になりやすい場面では、第三者である弁護士が冷静に状況を整理することに意味があります。

被害者の場合

弁護士は、警察への被害届や告訴状の作成を支援し、捜査が動くように働きかけます。乗っ取られたアカウントで名誉を傷つける投稿がされたなら、その削除や、損害賠償の請求も進められます。企業の被害であれば、情報漏えいの報告や顧客への対応も含めて相談できます。

乗っ取られたアカウントを取り戻す手続きや、流出した情報への対応など、技術的な面と法律的な面が入り混じる問題にも、専門家として道筋をつけることができます。

加害者の場合

加害者の立場では、取り調べへの対応、被害者との示談交渉、不起訴に向けた活動を弁護士に任せられます。逮捕された場合でも、早い段階で弁護士が関わることで、身柄の解放や処分の軽減につながる可能性が高まります。

相談するタイミング

被害者であれば、乗っ取りに気づいた直後が相談のタイミングです。記録が新しいほど、犯人の特定につながりやすくなります。加害者であれば、警察から連絡が来る前に相談しておくと、取れる選択肢が広がります。

企業の場合

企業が被害を受けた場合、弁護士は、警察への告訴のほか、顧客や取引先への説明、個人情報保護委員会への報告の要否の判断、元社員などの加害者への損害賠償請求まで、法的な対応を一貫して支援できます。システムの調査会社と連携して、事実関係を整理することも重要な役割です。

よくある質問

他人のIDとパスワードを売買するとどうなりますか

他人のIDやパスワードを売る行為は、不正アクセスの助長として処罰の対象になります。買った側も、不正アクセスに使う目的で取得したのであれば、不正取得の罪に問われます。ネット上で「アカウント販売」をうたう取引には、こうした違法な情報が含まれていることがあるため、関わらないようにしてください。

パスワードを教えてもらっていた場合でも不正アクセスになりますか

本人から「使っていい」と許可されていた範囲であれば、不正アクセスにはなりません。ただし、交際中に教えてもらったパスワードを、別れた後に無断で使うのは、許可の範囲を超えています。許可があったかどうかは、ログインした時点で判断されます。

ログインを試みただけで失敗した場合も罪になりますか

不正アクセス罪には未遂を処罰する規定がありません。そのため、パスワードを入力してログインに失敗しただけなら、不正アクセス罪そのものは成立しないと考えられます。ただし、他人のIDやパスワードを不正に取得していれば、その行為が別に処罰の対象になることがあります。

公開されているWi-Fiに勝手に接続するのは違反ですか

パスワードがかかっていない公開の無線回線に接続するだけなら、不正アクセスにはあたらないと考えられます。一方、パスワードで保護された他人の無線回線に、推測したパスワードで接続する行為は、問題になる可能性があります。

パスワードをメモした紙を見てログインした場合はどうなりますか

パスワードをどうやって知ったかは、不正アクセス罪の成否に関係しません。机の上のメモを見た場合でも、肩越しにのぞき見た場合でも、本人の許可なくログインすれば罪になります。メモを持ち去った場合は、窃盗などの別の問題も生じます。

海外のサーバーにあるサービスへのログインも対象になりますか

日本国内からログインした場合は、サーバーが海外にあっても、日本の不正アクセス禁止法が適用されると考えられています。海外のSNSや通販サイトのアカウントであっても、無断でログインすれば処罰の対象になり得ます。

子どものゲームアカウントを親が確認するのは違反ですか

小さな子どものアカウントを、保護者が安全のために確認することは、通常は問題になりにくいと考えられます。ただ、子どもがある程度の年齢になれば、本人の意思を尊重することも必要です。確認する場合は、あらかじめ子どもと話し合い、ルールとして合意しておくとトラブルを避けられます。

ログインした証拠がなければ罪に問われませんか

サービスの運営者は、ログインの日時や接続元などの記録を保存しています。警察は捜査の中でこうした記録を取り寄せることができるため、証拠がないと考えるのは危険です。自分の端末の履歴を消しても、運営者側の記録は残ります。

時効はありますか

不正アクセス罪の公訴時効は3年です。ログインした日から3年が経過すると、起訴されることはなくなります。民事の損害賠償請求には、別に時効の定めがあります。