本記事には広告・アフィリエイトリンクが含まれています。
結論：侵入していなくても、禁止されている行為があります
不正アクセス禁止法が禁止しているのは、侵入行為だけではありません。総務省が掲げる条文です。
（不正アクセス行為を助長する行為の禁止）第五条 何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。
識別符号とはIDやパスワード等のことです。他人のIDとパスワードを第三者に教える行為そのものが禁止されています。
1. 禁止されている5つの行為
| 条文 | 禁止される行為 |
|---|---|
| 第3条 | 不正アクセス行為をしてはならない |
| 第4条 | 不正アクセス行為の用に供する目的で、他人の識別符号を取得してはならない |
| 第5条 | 正当な理由による場合を除き、他人の識別符号を提供してはならない |
| 第6条 | 不正アクセス行為の用に供する目的で、不正に取得された他人の識別符号を保管してはならない |
| 第7条 | アクセス管理者になりすまし、識別符号の入力を不正に要求してはならない（Webでの掲示、電子メールの送信） |
第7条は、いわゆるフィッシングの行為類型です。だまし取る前の「入力を求める行為」の段階で禁止されています。
2. 罰則
| 対象 | 罰則 |
|---|---|
| 第3条違反（不正アクセス行為） | 3年以下の懲役又は100万円以下の罰金 |
| 第4条・第6条・第7条違反、および第5条違反のうち相手方に目的があることを知って提供した場合 | 1年以下の懲役又は50万円以下の罰金 |
| 第5条違反（上記以外） | 30万円以下の罰金 |
「知らずに教えた」場合でも30万円以下の罰金の対象という構造です。
3. 「不正アクセス行為」の定義
そのようなIDやパスワードによりアクセス制御機能が付されている情報機器やサービスに対して、他人のID・パスワードを入力したり、脆弱性を突いたりなどして、本来は利用権限がないのに、不正に利用できる状態にする行為をいいます。
ポイントは「利用できる状態にさせる」までが要件で、中のデータを見たかどうかは書かれていないことです。
なお、アクセス管理者本人が行うものや、管理者・利用権者の承諾を得てするものは除かれます。
4. 被害は「自分のサイトが止まる」だけではありません
総務省の解説です。
その結果、サーバや情報システムが停止したり、重要情報が漏洩するなど、企業や組織の業務やブランド・イメージなどに大きな影響を及ぼします。
顧客情報などが漏洩すると、その企業や組織の信用が大きく傷つけられてしまうのは言うまでもないことですが、過去には損害賠償にまで発展した事例もあります。
そして、
インターネットは世界中とつながっているため、不正アクセスは世界中のどこからでも行われる可能性があります。
5. ホームページの書き換えの「今の形」
ホームページの書き換えは、攻撃者が全く関係のない画像を貼り付けるようなものもありますが、最近はホームページ内のリンクやファイルの参照先を不正に書き換え、接続してきた利用者をウイルスに感染させたり、パソコンから情報を盗み取ったりするものが増えています。
見た目が変わらない改ざんが増えている、ということです。自分では気づけません。
ホームページが書き換えの被害を受けることは、その企業や組織のセキュリティ対策が不十分であることを示すことになり、社会に対するイメージ低下は避けられません。
6. 侵入の手口
手口としては、ツールを用いてアカウント情報を窃取するためのパスワード総当たり攻撃を行ったり、OSやソフトウェアの脆弱性、設定の不備などを調べて攻撃したりすることが知られています。
対策は地味な3つに戻ります。
- 使い回さない、長いパスワード（総当たりへの対策）
- ソフトウェアの更新（脆弱性への対策）
- 設定の不備をなくす（初期パスワード、公開範囲）
7. 踏み台にされると、加害者側になります
不正アクセスによって侵入されたシステムは、攻撃者がその後いつでもアクセスできるように、バックドアと呼ばれる裏口を作られてしまうことが知られています。攻撃者は、そのシステムを踏み台として、さらに組織の内部に侵入したり、そのシステムからインターネットを通じて外部の他の組織を攻撃したりすることもあります。
よくある形がボットネットです。
ボットネットとは、攻撃者によって制御を奪われたコンピュータの集まりで、数千〜数十万というネットワークから構成されていることもあります。攻撃者はボットに一斉に指令を送り、外部の他の組織に対して大規模なDDoS攻撃を行ったり、スパムメールを送信したりすることもあります。
総務省はこう締めています。
このように、不正アクセスの被害に遭うと、知らない間に攻撃者の一員として利用されてしまうこともあるのです。
8. 小規模なサイトでもやること
- 管理画面のIDとパスワードを使い回さない
- 共有アカウントをやめる（第5条の観点でも、共有は避けたほうが安全です）
- CMSとプラグインの更新を止めない
- 退職・契約終了した人のアカウントを消す
- バックアップを取る（改ざんされたときに戻せます。取り方はこちら）
- 顧客情報を扱うなら管理責任を確認する
当サイトでは、具体的な攻撃の検知方法や復旧手順を確認していません。被害が疑われる場合は、契約しているサーバー事業者や警察（都道府県警のサイバー犯罪相談窓口）にご相談ください。
サイト運営でサーバーを選ぶ場合
以下は広告です。当サイトでは、これらのサービスのセキュリティ機能を検証したわけではありません。仕様・料金・キャンペーンは変更されることがあるため、必ず公式サイトで最新の内容をご確認ください。優劣を示すものではなく、選択肢として並べています。
WordPress以外の用途にも使う場合：ConoHa WING
WordPress専用として使う場合：XServer for WordPress
FAQ
家族や同僚にパスワードを教えるのは違反ですか。
第5条は業務その他正当な理由による場合を除き、他人の識別符号を管理者・利用権者以外に提供することを禁じています。個別の判断は当サイトではできません。
中を見ていなければ大丈夫ですか。
不正アクセス行為は「制限されている特定利用をし得る状態にさせる行為」と定義されています。
罰則はどれくらいですか。
不正アクセス行為は3年以下の懲役又は100万円以下の罰金です。取得・保管・入力の不正要求などは1年以下の懲役又は50万円以下の罰金とされています。
サイトが改ざんされたか分かりますか。
総務省はリンクやファイルの参照先を不正に書き換える手口が増えているとしています。見た目では分からないことがあります。
踏み台にされると何が起きますか。
バックドアを作られ、ボットネットの一員としてDDoS攻撃やスパムメールの送信に使われることがあるとされています。
参照した一次情報
- 総務省「国民のためのサイバーセキュリティサイト｜不正アクセスとは？」 soumu.go.jp
2026年9月17日確認。不正アクセスの定義と影響、損害賠償に発展した事例があること、世界中から行われ得ること、侵入の手口（パスワード総当たり攻撃、脆弱性、設定の不備）、ホームページ改ざんの手口の変化とイメージ低下、バックドアと踏み台、ボットネットの規模とDDoS攻撃・スパムメール、知らない間に攻撃者の一員として利用され得る旨の引用はこのページに基づきます。 - 総務省「国民のためのサイバーセキュリティサイト｜不正アクセス行為の禁止等に関する法律」 soumu.go.jp
2026年9月17日確認。識別符号の意味、不正アクセス行為の定義、第1条・第2条・第3条・第4条・第5条・第6条・第7条の条文、第11条〜第13条の罰則に関する引用はこのページに基づきます。
関連記事
- パスワードの定期変更はもう求められていません｜10文字以上と、使い回しをやめること
- USBを差しただけ、メールを開いただけでも感染します｜9つの経路と脆弱性
- バックアップの対象はファイルだけではありません｜送受信メールとURLも残す
- 鍵マークが付いていても偽サイトのことがあります｜フィッシングの3つの手口
- 個人情報の漏えいは「おそれ」でも報告です｜速報3〜5日、確報30日
このテーマの記事一覧：IT・個人情報
この記事は当サイト運営者が執筆しました。情報セキュリティ・法律の専門家による記事ではありません。上記の確認日以降に総務省の記載や法令が変わっている可能性があります。被害が疑われる場合は、契約しているサーバー事業者や警察の相談窓口へご相談ください。
コメント