不正アクセス禁止法

アクセス制御のある機械に、回線越しに、承諾なく入れる状態を作れば成立する。中を見たか、壊したかは問わない。

正式名不正アクセス行為の禁止等に関する法律平成11年法律第128号[1]。2026年11月時点の条文で書いています。

要点

第2条第4項が不正アクセス行為を定める。3つの条件がそろったときに成立する。

図1 不正アクセス行為が成立する点

号	入力するもの	典型	承諾で外れる人
1号	他人の識別符号	盗んだ、推測した、使い回しを試したパスワードでのログイン	アクセス管理者、その識別符号の利用権者
2号	制限を免れる情報か指令。識別符号を除く	認証回避の脆弱性を突く入力。ログインを素通りさせるSQLインジェクションなど	アクセス管理者だけ
3号	同上。制限が別の機械のアクセス制御で掛かっている場合	認証を別のサーバーに任せた構成で、守られた側の機械へ回避の入力をする	アクセス管理者だけ

1号はなりすまし、2号と3号は脆弱性の悪用と整理できる。2号の除外の括弧書きは「次号において同じ」として3号にも掛かる[1]。

不正アクセスに至らなくても、識別符号をめぐる行為が罰せられる。

条	禁止される行為	罰則
第3条	不正アクセス行為	3年以下の拘禁刑か100万円以下の罰金。第11条
第4条	1号に使う目的で、他人の識別符号を取得する	1年以下の拘禁刑か50万円以下の罰金。第12条第1号
第5条	業務その他正当な理由なく、他人の識別符号を管理者と本人以外へ提供する	相手の不正アクセスの目的を知っていれば1年以下の拘禁刑か50万円以下の罰金。第12条第2号。それ以外は30万円以下の罰金。第13条
第6条	不正アクセスに使う目的で、不正に取得された識別符号を保管する	1年以下の拘禁刑か50万円以下の罰金。第12条第3号
第7条	管理者になりすまし、識別符号の入力を求めるページを公開する、メールを送る	1年以下の拘禁刑か50万円以下の罰金。第12条第4号

図2 承諾した人と、外れる類型

承諾を出せるのは、そのアクセス制御を付けたアクセス管理者。発注した部署ではなく、システムの管理の権限を持つ主体の名で書面にする。
クラウドやレンタルサーバーでは、基盤の側にも別のアクセス管理者がいる。基盤の事業者が定める診断の決まりに従う。たとえば AWS は、事前の承認なしに診断してよいサービスと、禁じる行為を公開している[3]。
アクセス制御を越えない調査、たとえばポートの走査は、この法律の不正アクセス行為には当たらない。ただし負荷で業務を妨げれば刑法第234条の2の電子計算機損壊等業務妨害罪が問われ得る[2]。許可の範囲に含めてから行う。

管理者の努力義務

第8条は、アクセス管理者に、識別符号の適正な管理と、アクセス制御機能の有効性の検証と、必要な防御の措置を求める。罰則は無いが、事故のあとに管理の落ち度を問われる根拠になる。