サイバー犯罪に関する設問では、実際に情報が盗まれたか、被害が発生したかだけで判断しません。
不正アクセス行為の禁止等に関する法律（以下「不正アクセス禁止法」）では、不正ログインだけでなく、他人の認証情報の提供や一定のフィッシング行為も規制されます。刑法の不正指令電磁的記録に関する罪では、実際に感染させる前の作成・提供も問題になります。
この記事では、対象・権限・目的・行為の段階の四つを使って、「どの時点から法的に問題になるか」を判断できるように整理します。
先に結論：四つの行為を区別する
| 行為 | 主な法律 | 判断の中心 |
|---|---|---|
| 不正アクセス行為 | 不正アクセス禁止法 | アクセス制御、識別符号、権限・承諾 |
| 不正アクセスを助長する行為 | 不正アクセス禁止法 | 他人の識別符号の提供、正当な理由 |
| 識別符号の入力を不正に要求する行為 | 不正アクセス禁止法 | なりすまし、入力要求、公開・メール送信 |
| 不正指令電磁的記録に関する罪 | 刑法 | 不正な指令、実行目的、正当な理由、作成・提供・供用 |
後続の不正ログインや感染が成功しなくても、規制対象になり得る行為があります。
1．SGシラバスでの位置付け
SGシラバス Ver.4.1では、不正アクセス禁止法について「アクセス制御機能」「不正アクセス行為」「不正アクセス行為を助長する行為」が明示されています。
また、刑法では不正指令電磁的記録に関する罪（ウイルス作成罪）が明示されています。
本記事では、条文番号や刑罰の暗記ではなく、事例の行為を分解して規制対象か判断するところまでを扱います。
2．不正アクセス行為はアクセス制御と権限で判断する
典型例は、電気通信回線を通じて他人のID・パスワードなどの識別符号を無断で入力し、アクセス制御によって制限されていた利用を可能にする行為です。
ログイン後に情報を閲覧・持出ししていなくても、制限されていた利用を可能にした段階で判断します。
パスワードを使わない突破もある
他人の識別符号を使わなくても、アクセス制御機能の不備を突く情報や指令を入力し、本来制限されていた利用を可能にする行為も不正アクセスに該当し得ます。
したがって、「他人のパスワードを使っていないから無関係」とは限りません。
一方、電気通信回線を経由せず、スタンドアロン端末を直接操作する行為は、不正アクセス禁止法上の「不正アクセス行為」とは別に評価します。他の法律や社内規程の問題がなくなるという意味ではありません。
自分のIDでも権限範囲を見る
自分に正式に付与されたIDで許可された範囲の業務を行うことは、通常、不正アクセス行為とは区別されます。
ただし、自分のIDでログインした後に脆弱性を悪用し、本来利用できない機能へ到達した場合などは、IDの名義だけでは判断できません。
確認するのは、アクセス制御、本人の権限範囲、制限を回避する情報・指令、アクセス管理者等の承諾です。
セキュリティ診断は承諾範囲を確認する
アクセス管理者の承諾を得て行うセキュリティ診断は、無断アクセスと区別されます。
ただし、承諾があれば全ての操作が許されるわけではありません。対象、期間、許可された手法、禁止事項など、合意された範囲を確認します。
脆弱性診断やペネトレーションテストの実施方法は「脆弱性管理とCVSS」の記事で扱います。
3．助長行為は識別符号を提供した段階で問題になる
不正アクセス禁止法は、業務その他の正当な理由がないのに、他人の識別符号を第三者へ提供する行為を禁止しています。
メール、チャット、口頭、紙、共有ファイルなど、伝達方法だけで適否は決まりません。実際に第三者がログインしたかどうかも、提供行為の成立に必須ではありません。
一方、流出した認証情報を不正アクセス防止のために情報セキュリティ事業者や公的機関へ届けるなど、正当な理由がある提供まで一律に禁止されるわけではありません。
他人の識別符号の取得・保管にも別の規制があります。科目Bでは、提供・取得・保管を同じ要件で判断しないことを押さえます。
4．フィッシングは入力前でも規制対象になり得る
不正アクセス禁止法は、アクセス管理者になりすますなどして、利用者へ識別符号の入力を不正に要求する一定の行為も禁止しています。
代表的には、
- 正規サイトと誤認させるサイトで識別符号の入力を求める情報を表示し、公衆が閲覧できる状態に置く
- 正規のアクセス管理者からのメールと誤認させるメールで、識別符号の入力を求める情報を利用者へ送る
という行為です。
利用者が実際に入力したことや、その識別符号で不正ログインしたことまで必要とは限りません。
フィッシングの攻撃手口や見分け方は「ソーシャルエンジニアリングとフィッシング」の記事で扱います。本記事では法律上の規制時点に限定します。
5．不正指令電磁的記録は作成・提供の段階も見る
刑法の不正指令電磁的記録に関する罪は、一般にウイルス作成罪などと呼ばれます。
中心となるのは、人がコンピュータを使用する際に、利用者の意図に沿うべき動作をさせず、又は意図に反する動作をさせる不正な指令を与える電磁的記録などです。
正当な理由がないのに、人のコンピュータで実行させる目的をもって、このような電磁的記録などを作成又は提供した場合、実際に他人の環境で動作させる前でも問題になり得ます。
実行の用に供する行為や、その目的による取得・保管についても規定があります。
「研究用」という名称だけでは決まらない
マルウェア検体の解析、教育用コードの作成、脆弱性検証には正当な目的があり得ます。
しかし、「研究用」と名付けただけで適法になるわけではありません。正当な理由、実行させる目的、承認された範囲、隔離環境、アクセス制御、外部へ拡散しない管理などを合わせて判断します。
6．二つの法律を比較する
| 比較点 | 不正アクセス禁止法 | 不正指令電磁的記録に関する罪 |
|---|---|---|
| 主な対象 | アクセス制御と識別符号 | 不正な指令を与える電磁的記録等 |
| 典型例 | 他人の認証情報による無断ログイン | マルウェアの作成・提供・供用 |
| 結果発生前 | 助長行為、入力要求なども規制 | 作成・提供なども規制 |
| 判断要素 | 回線、制御、権限、承諾、正当な理由 | 不正な指令、実行目的、正当な理由、行為段階 |
7．科目Bでの使われ方
- 対象：識別符号、アクセス制御、不正なプログラムのどれか
- 権限・承諾：正式な権限やアクセス管理者等の承諾があるか
- 目的・正当な理由：不正アクセスや実行の目的、業務上の理由は何か
- 行為の段階：入力、提供、取得、保管、公開、送信、作成、供用のどこまでか
- 別の法律：不正アクセスに該当しなくても、営業秘密、個人情報、著作権などの問題が残らないか
担当者としては、不正アクセスが疑われる事象を見つけても、自分で相手を特定しようとしたり、同じ手口を試したりせず、記録を保全して定められた窓口へ報告します。法的な評価や警察への相談が必要かどうかは担当者限りで判断せず、法務の担当部署や上位者へ報告して指示を仰ぎます。
よくある取り違え
| 誤った考え方 | 正しい整理 |
|---|---|
| 情報を盗まなければ不正アクセスではない | 制限された利用を可能にした段階で判断する |
| 自分のIDなら常に問題ない | 実際の権限範囲と制限回避を見る |
| 診断目的なら承諾は不要 | 承諾された対象・方法・期間を見る |
| 認証情報が使われなければ提供は問題ない | 正当な理由のない提供自体が規制され得る |
| 誰も入力しなければ偽サイトは問題ない | 所定の公開・送信行為自体が規制され得る |
| ウイルスを実行しなければ作成は問題ない | 目的をもった作成・提供から対象になり得る |
| 研究目的なら常に適法 | 正当な理由、目的、承認、管理状況を見る |
まとめ
- 不正アクセス行為は、アクセス制御と権限・承諾を中心に判断する
- 他人の識別符号だけでなく、制御の不備を突く突破も対象になり得る
- 助長行為や一定のフィッシング行為は、実際の不正ログイン前でも規制され得る
- 不正指令電磁的記録は、実行前の作成・提供も問題になり得る
- 科目Bでは、対象・権限・目的・行為段階を分けて確認する
関連記事
- C1-T07：ソーシャルエンジニアリングとフィッシング
- C5-T02：脆弱性管理とCVSS
- C8-T06：通信・電子取引に関する法律
- C8-T07：知的財産権
参考資料
本記事は、当サイトの教材基準日である2026年4月1日時点で施行されている法令と、2026年8月3日時点のSGシラバス Ver.4.1及び公的資料を基準に作成しています。2026年4月1日は当サイト独自の教材基準日です。
2026年7月17日に公布された個人情報保護法等の改正についても確認しましたが、本記事で扱う不正アクセス禁止法及び刑法を直接改正するものではないため、本文の現行法説明に変更はありません。
- IPA「情報セキュリティマネジメント試験（レベル2）シラバス Ver.4.1」
- e-Gov法令検索「不正アクセス行為の禁止等に関する法律」
- 警察庁「不正アクセス対策」
- 警察庁「不正アクセス行為の禁止等に関する法律の解説」
- e-Gov法令検索「刑法」
- 法務省「令和7年版 犯罪白書 第2編 第6章 第1節 6 サイバー犯罪対策」
コメント