不正ログインとは？手口・被害と企業がとるべき対策をわかりやすく解説

見慣れない場所からのログイン通知が届いた、あるいは他社の不正ログイン被害がニュースで流れてきた。自社のWebサービスやECサイト、会員サイトを運営していると、こうした場面で不正ログインとは何か、自社は大丈夫なのかと不安になることがあります。言葉は知っていても、正確に何を指し何が危ないのかを一度きちんと押さえておきたい方は少なくありません。

不正ログインとは、簡単にいえば他人のID・パスワードを悪用し、本人になりすましてサービスにログインされてしまうことです。本記事では、その定義と危険性から、代表的な手口、被害の実態と最新の統計、個人と事業者それぞれがとるべき対策、不正アクセス禁止法での位置づけ、被害に遭ったときの対処までを、公的機関の統計や条文とともに整理します。

読み終えるころには、不正ログインの全体像と、自社サービスを守るために何をすればよいかを判断できるようになります。まずは「不正ログインとは何か」から確認していきましょう。

不正ログインとは？何が危険なのか

不正ログインとは、他人のID・パスワードを悪用し、本来のアカウント所有者になりすましてサービスにログインする行為です。攻撃者はそのアカウントで金銭を引き出したり、登録された個人情報を盗んだり、そのアカウントを踏み台にして別の犯罪に加担させたりします。

正しいID・パスワードの組み合わせが入力されるため、システム上は「正規の利用者のログイン」と見分けがつきにくく、被害に気づくのが遅れやすい点が特徴です。

警察庁と警視庁は、不正ログインを含む「不正アクセス」を次のように定義しています。不正ログインは、この定義のうち「他人のIDやパスワードを使用してサービスを悪用する」なりすまし型に当たる、代表的な一形態です。

不正アクセスとは、悪意ある第三者が詐欺行為や個人情報の取得などを目的に、他人のＩＤやパスワードを使用しサービスを悪用したり、不正にコンピュータに侵入する犯罪です。

出典：不正アクセス対策｜警察庁

危険なのは、被害が本人の気づかないうちに拡大しやすいことです。ログインされた時点で、そのアカウントに紐づく決済情報・個人情報・取引履歴はすべて攻撃者の手に渡り得ます。とくに企業が運営するサービスでは、一人分のアカウント被害にとどまらず、会員全体の情報流出やなりすまし注文の連鎖につながり、事業の信頼そのものを損なうおそれがあります。ここからは、その入り口となる手口を具体的に見ていきます。

出典・参考資料（2件）

• 出典：不正アクセス対策｜警察庁
• 出典：あなたのアカウント狙われています（不正アクセス）｜警視庁

不正ログインの主な手口

ここからは、不正ログインに使われる代表的な手口を解説します。攻撃者は、パスワードそのものを機械的に破る方法と、利用者本人からパスワードを聞き出す方法を組み合わせて使い分けます。主な手口は次の5つです。

• パスワードリスト攻撃：他社サービスから漏えいしたID・パスワードの一覧を用意し、同じ組み合わせを別のサービスに次々と試す手口です。パスワードを複数のサービスで使い回していると、1か所の漏えいが芋づる式に他のアカウントの乗っ取りにつながります。
• 総当たり攻撃（ブルートフォースアタック）：考えられる文字の組み合わせを片端から自動で入力し、パスワードを力ずくで割り出します。桁数が短く単純なパスワードほど短時間で破られます。
• 辞書攻撃：辞書に載っている単語やよく使われるパスワード（「password」「123456」など）を優先的に試す手口です。総当たりより効率よく、推測されやすいパスワードを狙います。
• フィッシング：実在するサービスを装ったメールやSMSで偽のログイン画面へ誘導し、利用者自身にID・パスワードを入力させて盗み取る手口です。本人が入力するため、パスワードを強くしても防ぎきれません。
• ソーシャルエンジニアリング：関係者を装った電話や会話で、パスワードや認証コードを聞き出す方法です。技術ではなく人の心理の隙を突く点が特徴で、多要素認証のワンタイムコードすらだまし取られることがあります。

情報処理推進機構（IPA）も、不正ログインの基本的な手口を「単純なパスワードを推測される」「特定のサービスから漏えいしたパスワードを使われる」「フィッシングサイト等に騙されてパスワードを教えてしまう」の3つに整理しており、上記の手口と対応します。パスワードを機械的に破る攻撃と、本人からだまし取る攻撃の両方に備える必要があります。

これらの手口が実際にどう組み合わさるのか、IPAが相談の多い具体例として公表しているInstagramの乗っ取りの流れで見てみます。まず知り合いを装った攻撃者から投票依頼などのDMが届き、やり取りする中で電話番号を教えてしまいます。次にSMSで届いた認証コードを相手に伝えてしまうと、攻撃者はその認証コードで不正ログインします。

その後、パスワードや登録された電話番号・メールアドレスを変更され、本人はログインもパスワードのリセットもできなくなり、乗っ取られたアカウントは投資勧誘のDM送信や投稿に悪用されます。知り合いへのなりすましで本人が正規の認証コードを自ら渡してしまうため、多要素認証を設定していても突破されてしまう点が怖いところです。

出典・参考資料（1件）

• 参考資料：インターネットサービスへの不正ログインによる被害が増加中｜情報処理推進機構（IPA）

不正ログインによる被害（種類と規模）

ここからは、不正ログインが実際にどれだけ起きているのか、どんな被害につながるのかを、公的な統計とともに見ていきます。

被害の規模と最新の統計データ

まず、被害がどれくらい起きているのかを数字で押さえておきましょう。ここでいう「認知件数」は警察が把握した不正アクセス行為の件数を指し、実際の被害はこれを上回るとみられます。

国家公安委員会・総務大臣・経済産業大臣が公表する統計では、認知件数は年によって増減しながらも、近年は年間数千件規模で推移しています。直近の2024年（令和6年）は5,358件（前年比約15.1%減）でした。過去には2019年（令和元年）に前年比約99.2%増の2,960件へ急増した年もあります。単純な右肩上がりではないものの、数千件規模の被害が毎年続いている点は変わりません。

この統計は不正アクセス禁止法第10条にもとづき、国が毎年公表しています。

こうした統計とは別に、利用者からの相談も増えています。情報処理推進機構（IPA）に寄せられた不正ログインの相談件数（警察の認知件数とは別の指標です）について、IPAは2025年の状況を次のように公表しています。

2025年7月はこれまでで最も多い144件の相談が寄せられました。

出典：インターネットサービスへの不正ログインによる被害が増加中｜情報処理推進機構（IPA）

出典・参考資料（3件）

• 出典：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和6年）｜国家公安委員会・総務省・経済産業省
• 出典：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和元年）｜国家公安委員会・総務省・経済産業省
• 出典：インターネットサービスへの不正ログインによる被害が増加中｜情報処理推進機構（IPA）

金銭の窃取・不正送金

ネットバンキングやネット証券のアカウントが乗っ取られると、預金の不正送金や、勝手な株式・暗号資産の売買といった直接的な金銭被害が発生します。ECサイトや決済サービスでは、保存されたクレジットカード情報を使って高額な商品を不正購入されるケースもあります。被害額がそのまま利用者や事業者の損失になるため、影響が最も分かりやすい被害類型です。

個人情報の流出とアカウントの乗っ取り

ログインされたアカウントには、氏名・住所・電話番号・購入履歴・登録カード情報などが紐づいています。攻撃者はこれらを抜き取り、別の詐欺や名簿売買に悪用します。

パスワードリスト攻撃によってECサイトの会員情報が不正に閲覧される事例も公表されており、一度の乗っ取りが多数の顧客情報の流出につながることもあります。乗っ取られたアカウントは登録メールアドレスやパスワードを変更され、本人がログインできなくなる二次被害も起こります。

なりすましによる別の犯罪への加担

乗っ取ったアカウントは、それ自体が目的ではなく「踏み台」として使われることもあります。SNSアカウントから知人へ詐欺メッセージを送る、乗っ取ったアカウントで別サービスの不正登録を行う、フィッシングメールの送信元にするなど、本人が知らないうちに加害者側に仕立てられてしまいます。被害者であると同時に、加害の経路として悪用される点が不正ログインの厄介なところです。

これらの被害は抽象的なリスクではなく、実在する企業でも繰り返し起きています。どの企業でどのような手口・原因により、どの程度の規模の被害が生じたのかを具体的に知りたい方は、以下の記事で実名の事例を整理しています。

個人ができる不正ログイン対策

ここからは、被害を防ぐための対策を「個人ができること」と「事業者・システム側でやること」に分けて解説します。まず、利用者一人ひとりがすぐに実践できる対策は次のとおりです。IPAが呼びかけている「日頃の対策」とも対応します。

• パスワードを長く複雑にし、使い回さない：他社サービスから漏れたパスワードが流用される被害を防ぐには、サービスごとに異なるパスワードを設定するのが基本です。桁数を長くし、推測されにくい文字列にします。管理が難しい場合はパスワード管理ツールの利用も有効です。
• 多要素認証を設定する：ID・パスワードに加えて、SMSコードや認証アプリ、生体認証など「本人しか持たない要素」を組み合わせる仕組みです。パスワードが漏れても、もう一つの要素がなければログインを阻止できます。提供されているサービスでは有効化しておきます。
• パスキーを利用する：パスワードそのものを使わず、端末の生体認証などで本人確認を行う新しい認証方式です。フィッシングで盗み取られる対象となるパスワードが存在しないため、IPAも利用を推奨しています。対応サービスが増えており、選べる場合は設定を検討しましょう。
• フィッシング・不審なメールに注意する：メールやSMSのリンクからログインするのではなく、公式アプリやブックマークからアクセスする習慣をつけます。ログインを促す通知が来ても、URLや送信元を確かめ、少しでも不審なら入力しないことが重要です。

出典・参考資料（1件）

• 出典：インターネットサービスへの不正ログインによる被害が増加中｜情報処理推進機構（IPA）

事業者・システム側の不正ログイン対策

自社でWebサービスやECサイト、会員サイトを運営する事業者は、利用者任せの対策だけでは不正ログインを防げません。利用者がパスワードを使い回していても被害を最小化できるよう、システム側で検知・防御の仕組みを備える必要があります。ここでは、事業者が実装を検討すべき対策を解説します。

対策には優先順位があります。まず着手したいのは、ID・パスワードだけに頼らない多要素認証・リスクベース認証と、正しいID・パスワードでも本人かを見分けるログイン監視・不正検知の2つです。これらがパスワードリスト攻撃やBotによる大量ログインを直接食い止める中心になります。

その上で、攻撃の入り口を塞ぐ脆弱性診断とWAF、全体を貫く土台としてゼロトラストの考え方を組み合わせます。多要素認証やログ監視は自社の認証基盤で対応できる部分もありますが、端末情報や行動分析による不正検知は専門性が高く、後述する不正検知ソリューションで補うのが現実的です。以下、それぞれを見ていきます。

多要素認証とリスクベース認証

自社サービスのログインに多要素認証を導入すれば、パスワードが漏れても第三者のログインを防ぎやすくなります。ただし、すべてのログインで毎回追加認証を求めると利用者の負担が大きく、離脱の原因にもなります。

そこで有効なのがリスクベース認証です。普段と違う端末・地域・時間帯からのアクセスなど、リスクが高いと判断したログインにだけ追加認証を求め、通常のアクセスはスムーズに通します。利便性を保ちながら、不審なアクセスにのみ関門を設ける考え方です。

多要素認証やリスクベース認証を実際に自社サービスへ組み込むとなると、対応する認証方式や料金、導入形態はサービスによって大きく異なります。認証方式やタイプ別に主要な多要素認証システムを比較したい場合は、以下の記事が参考になります。

ログイン監視と不正検知の仕組み

ID・パスワードが正しくても、それが本当に本人によるものかを見分ける仕組みが不正検知です。ログイン時の端末情報（デバイスフィンガープリント）や操作の癖（入力速度・マウスの動きなどの行動分析）を分析し、いつもと異なる挙動や、自動化されたプログラム（Bot）によるアクセスを検知します。

短時間に大量のログイン試行が集中するパスワードリスト攻撃や総当たり攻撃も、こうした監視で早期に把握できます。検知したアクセスは、追加認証の要求やブロックといった対応につなげます。自社での構築が難しい場合は、後述する不正検知ソリューションの活用が現実的な選択肢になります。

端末情報や行動の分析でログインの異常を見分ける仕組みが、実際の運用でどう働くのかは導入事例から具体的に見えてきます。EC・予約サービスの2社が、会員登録からログイン・決済までを横断して不正を検知しつつ、認証の追加による利用者の離脱をどこまで抑えたかをまとめた事例集です。

脆弱性診断とWAFによる入り口の防御

攻撃者は、ログイン画面だけでなくWebアプリケーションの脆弱性も狙います。定期的な脆弱性診断でログイン機能やセッション管理の弱点を洗い出し、修正しておくことが基礎になります。あわせて、WAF（Webアプリケーションファイアウォール）を導入すれば、不正な通信パターンや自動化された攻撃を通信の入り口で遮断できます。OS・ソフトウェアを最新の状態に保つことも、既知の脆弱性を突かれないための前提です。

ゼロトラストの考え方を取り入れる

ゼロトラストは、「一度ログインを認めたら以降は信頼する」のではなく、すべてのアクセスを常に検証する考え方です。ログイン後の操作についても、その都度リスクを評価し、重要な操作（登録情報の変更・高額な取引など）では改めて本人確認を求めます。一つの対策に依存せず、認証・監視・アクセス制御を多層に組み合わせることで、どこか一つを突破されても被害の拡大を食い止められます。

不正ログイン対策に役立つ不正検知ソリューション

「ログイン監視や不正検知の仕組みを自社だけで構築するのは難しい」という場合は、専用の不正検知ソリューションを活用する方法があります。これらのサービスは、端末情報や行動分析をもとに、正しいID・パスワードでのアクセスであっても本人かどうかを見分け、不正なログインや取引を検知します。

不正ログイン対策の観点では、大きく2つのタイプに分けて考えると選びやすくなります。ひとつは、ログインやアカウント乗っ取りそのものを検知する「アカウント不正型」。もうひとつは、ログインを突破された後のなりすまし注文や決済不正まで含めて検知する「取引不正型」です。自社の課題が会員アカウントの保護にあるのか、EC・決済の取引不正にあるのかで、適したサービスは変わります。

以下は、不正ログイン・アカウント保護に対応する主なサービスの比較表です。

※2026年9月時点の各社公式情報等に基づきます。料金を公開していないサービスは「要問い合わせ」と記載しています（かっこ株式会社の金融機関向けプランのように公式が価格帯を示している場合は注記しています）。検知方式・対象は各社の主たる訴求をもとに整理したもので、最新の料金・機能は各社公式ページをご確認ください。

ここで取り上げたのは、不正ログイン・アカウント保護に関わる主なサービスです。EDR型やネットワーク型なども含めた不正検知システム全体を、4つのタイプ別に比較して選びたい場合は、以下の記事で詳しく整理しています。

アカウント不正型（不正ログイン・アカウント乗っ取りを検知）

ログイン時のなりすましやアカウント乗っ取り（ATO）、リスト型攻撃・Botによる不正ログインの検知に軸足を置くサービスです。会員サイトや金融サービスのアカウント保護を重視する場合に適しています。

1. Sardine（株式会社DGビジネステクノロジー）

Sardineは、端末情報を分析するデバイスインテリジェンスと、サイト・アプリ内のユーザー行動から本人性を判定する行動バイオメトリクスを組み合わせ、AI・機械学習で不正を検知するプラットフォームです。日本では株式会社DGビジネステクノロジーが提供しています。

アカウント乗っ取りへの対策では、複数の観点から監視する仕組みを備えます。フィッシングやソーシャルエンジニアリングによるセッション中の異常操作、クレデンシャルスタッフィング（漏えい情報の総当たり投入）やBotによるログイン、メール・電話番号・パスワードなどアカウント情報の変更操作を、それぞれ検知します。会員登録・ログイン・会員情報変更・決済といった各タッチポイントを横断して評価できる点も特徴です。

2. O-PLUX Account Protection（旧O-MOTION／かっこ株式会社）

かっこ株式会社が提供する不正アクセス（不正ログイン）検知サービスです。正しいID・パスワードでのアクセスでも、本来の所有者本人か、第三者のなりすましや自動プログラム（Bot）によるものかを、独自の端末特定技術とログイン時の操作情報のリアルタイム分析で判別します。検知対象は、Botによる総当たり攻撃・リスト型攻撃、手動のなりすましログイン、不正な会員登録などです。

認証サービスと組み合わせることでリスクベース認証を実現でき、正規のアクセスには追加認証を課さず、不正が疑われるアクセスにのみ二要素認証などを要求する運用ができます。

2026年4月に「O-MOTION」ブランドは、EC不正検知で実績のある「O-PLUX」に統合され、金融機関向けの「O-PLUX Account Protection」として提供されています（公式発表では既存顧客の契約条件に変更はないとされています）。

3. FraudAlert（株式会社カウリス）

FraudAlertは、銀行・証券会社・クレジットカード事業者・暗号資産交換業者などの金融機関を主な対象としたクラウド型の不正アクセス検知サービスで、株式会社カウリスが提供しています。「口座開設・ログイン・入出金」をWeb・スマートフォン両チャネルでモニタリングします。

端末情報を常時モニタリングして「本人らしさ」を蓄積し、端末情報の変化と不審な振る舞いを組み合わせて不正を検知する方式です。個人情報を用いず、端末から取得するパラメーターをもとに判定します。ログインの検知に加え、振込ルールと端末情報を組み合わせた入出金の検知も提供し、口座開設からログイン、入出金までの一連の流れを横断して監視できる点が特徴です。

4. F5 Distributed Cloud Bot Defense（F5ネットワークスジャパン合同会社）

Webアプリケーション・API・モバイルアプリを対象とするボット対策ソリューションで、F5ネットワークスジャパン合同会社が提供しています。CAPTCHAに依存せず、ブラウザやアプリから収集したテレメトリを機械学習で分析し、リクエストがアプリに到達する前に、自動化された攻撃か人間によるアクセスかを判別します。

防御対象として、クレデンシャルスタッフィングによるアカウント乗っ取り、不正なアカウント作成、在庫の買い占めなど、認証・取引フローを狙う自動化攻撃を挙げています。ログイン画面に押し寄せる大量の自動ログイン試行を入り口で止めたい場合に適した選択肢です。

取引不正型（ログイン突破後のなりすまし注文・決済不正を検知）

ログインを突破された後に起きる、なりすまし注文やクレジットカードの不正利用といった取引不正の検知に強みを持つサービスです。多くはアカウント保護の機能もあわせて備えており、EC・決済事業者が「ログインから決済まで」を通して守りたい場合に適しています。

5. O-PLUX（かっこ株式会社）

かっこ株式会社が提供する、EC・通販事業者向けのクラウド型不正注文検知サービスです。クレジットカードの不正利用、なりすまし注文、悪質転売、後払い未払いといった取引不正をリアルタイムに審査・検知し、不正被害の防止と審査業務の自動化を実現します。累計120,000サイト以上の導入実績があり、サイト間で不正注文のネガティブデータを共有する大規模なデータベースを検知に活用する点が中核です。

前述のO-PLUX Account Protection（旧O-MOTION）と組み合わせることで、ログイン時の不正から取引時の被害までを面で守れる構成になり、ログインから決済までを一貫してカバーできます。

6. ASUKA（株式会社アクル）

株式会社アクルが2019年に提供を開始した、ECサイト・オンライン決済向けのクラウド型の不正検知・認証システムです。クレジットカードの不正利用（不正注文）の検知・抑止を主な用途としています。

2026年時点の公式サイトでは、決済まわりのセキュリティを総合的に扱うプラットフォームとして再構成されており、第三者による不正利用やクレジットマスター対策に加え、不正ログイン対策・不正登録対策を担うAccount Protectionのモジュールも提供しています。ログイン突破後の取引不正まで含めて対策したいEC事業者に向いています。

7. Sift（Sift, Inc.／株式会社DGビジネステクノロジー）

米国のSift, Inc.が開発し、日本では株式会社DGビジネステクノロジーが提供する、AI（機械学習）を活用したオンライン不正検知プラットフォームです。アカウント作成から取引、取引後の対応まで、ユーザーの一連の行動全体を対象とします。

決済まわりの取引不正の検知を主としつつ、Account Defenseの機能でクレデンシャルスタッフィングや偽アカウント作成といったアカウント乗っ取りも検知します。グローバルなデータネットワークで学習した機械学習モデルにより、ログインから決済までを一気通貫でリスク評価できる点が特徴です。

8. CAFIS Brain（株式会社NTTデータ）

株式会社NTTデータが、決済プラットフォーム「CAFIS」のラインアップの一つとして提供する不正検知サービスです。インターネット通販・インターネットバンキング・入会申込み・会員サイトのログインなどで、利用者が操作する端末のデバイス情報を抽出し、取引情報と合わせて分析する「属性・行動分析」によって不正を検知します。

なりすましによる不正注文の検知を主な用途としつつ、不正ログイン対策・不正送金対策にも対応し、EC・銀行・会員サイトを横断して採用されています。決済領域で実績のあるNTTデータの基盤の上で提供される点も、金融機関やEC事業者にとって検討材料になります。

不正アクセス禁止法における不正ログインの位置づけ

不正ログインは、法律で明確に禁止された犯罪行為です。根拠となるのが「不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）」、いわゆる不正アクセス禁止法で、1999年に公布されました。ここでは、何が禁止され、違反するとどのような罰則があるのかを確認します。

禁止されている行為

不正アクセス禁止法は、第3条で「何人も、不正アクセス行為をしてはならない」と定め、あわせて関連する行為も禁じています。主な禁止行為は次の5類型です。

• 不正アクセス行為（第3条）：他人のID・パスワードでのなりすましログインなど
• 他人の識別符号を不正に取得する行為（第4条）
• 不正アクセス行為を助長する行為（第5条）
• 他人の識別符号を不正に保管する行為（第6条）
• 識別符号の入力を不正に要求する行為（第7条）：フィッシングなど

先に手口として挙げたフィッシングは、識別符号の入力を不正に要求する行為として第7条で禁止されており、それ自体が処罰の対象になります。

違反した場合の罰則

罰則は行為の類型ごとに定められています。現行の条文は次のとおりです。

第十一条　第三条の規定に違反した者は、三年以下の拘禁刑又は百万円以下の罰金に処する。

第十二条　次の各号のいずれかに該当する者は、一年以下の拘禁刑又は五十万円以下の罰金に処する。

出典：不正アクセス行為の禁止等に関する法律（第11条・第12条）｜e-Gov法令検索

整理すると、不正アクセス行為そのもの（なりすましログインなど）は3年以下の拘禁刑または100万円以下の罰金、他人のID・パスワードの不正取得・保管や、フィッシングによる入力要求などは1年以下の拘禁刑または50万円以下の罰金が科されます。

不正アクセスを助長する行為（第5条）も、相手の目的を知っていた場合は1年以下の拘禁刑または50万円以下の罰金、知らなかった場合は30万円以下の罰金（第13条）の対象です。

かつては「懲役」と定められていましたが、刑法の改正により懲役・禁錮が「拘禁刑」に一本化され、2025年6月1日に施行されています。不正ログインは軽い迷惑行為ではなく、実刑や罰金の対象となる犯罪であることを押さえておく必要があります。

出典・参考資料（1件）

• 出典：不正アクセス行為の禁止等に関する法律｜e-Gov法令検索

不正ログインの被害に遭ったときの対処

万一、不正ログインの被害に遭った、あるいはその疑いがある場合は、被害の拡大を防ぐために落ち着いて次の手順で対応します。警察庁・警視庁が示す対処手順に沿った流れです。

サービス提供会社に相談する

まず、不正ログインされたサービスの提供会社に連絡し、状況を伝えます。アカウントの一時停止や、乗っ取りによってログインできない場合の復旧手続きなど、事業者側でしか行えない対応を依頼できます。金銭被害が発生している場合は、クレジットカード会社や金融機関にも連絡します。

パスワードを変更する

ログインできる状態であれば、直ちにパスワードを変更しましょう。同じパスワードを使い回している他のサービスも、あわせて変更します。多要素認証を設定していない場合は、この機会に有効化しておきます。すでにパスワードを変更されてログインできない場合は、サービス提供会社の復旧手続きに従います。

ログイン履歴などを保存する

不正アクセスの日時やアクセス元などのログイン履歴、不審なメールの画面などは、後の相談・通報の証拠になります。消してしまう前に、スクリーンショットなどで保存しておきます。あわせて、端末のウイルススキャンやOS・ソフトウェアの更新を行い、原因がマルウェア感染でないかも確認しておきましょう。

警察・専門機関に相談・通報する

不正アクセスは犯罪であり、警察への通報・相談ができます。保存したログイン履歴などを持参し、最寄りの警察署またはサイバー事案に関する相談窓口に連絡しましょう。事業者として被害を受けた場合は、関係する機関への届出も検討します。被害を一人で抱えず、公的な窓口を活用することが解決の近道です。

出典・参考資料（2件）

• 出典：不正アクセス対策｜警察庁
• 出典：あなたのアカウント狙われています（不正アクセス）｜警視庁

事業者として被害を受けたときの対応

自社サービスが不正ログインの標的になった事業者は、個人利用者とは別に組織としての対応が必要です。まず被害の疑いがあるアカウントを保護・停止し、攻撃元の遮断と、影響範囲（不正ログインされたアカウント数や情報漏えいの有無）の調査を急ぎます。

利用者の個人データが漏えいした、またはそのおそれがある場合は、個人情報保護法にもとづき個人情報保護委員会への報告や本人への通知が求められることがあります。あわせて、影響を受けた利用者へのパスワード変更の呼びかけ、JPCERTコーディネーションセンターやIPAへの相談、ログなどの証拠保全も進めます。

出典・参考資料（1件）

• 参考資料：漏えい等の対応とお役立ち資料｜個人情報保護委員会

まとめ

不正ログインは、他人のID・パスワードでなりすましてログインする行為で、パスワードリスト攻撃や総当たり、フィッシングなどの手口によって行われます。国が公表する統計でも年間数千件規模で発生し、金銭被害・個人情報流出・なりすまし加担といった深刻な被害につながります。

対策は、個人がパスワードの使い回しを避け多要素認証やパスキーを使うことに加え、事業者側では多要素認証・リスクベース認証、ログイン監視と不正検知、脆弱性診断やWAFといった多層の防御が求められます。

自社サービスのログインをどう守るかを検討する段階に来たら、端末情報や行動分析で不正を見分ける不正検知ソリューションの活用が現実的な選択肢になります。アカウントの保護に重点を置くのか、取引不正まで含めて守るのかを軸に、自社の課題に合ったサービスの資料を取り寄せて比較してみてください。

よくある質問（FAQ）

Q. 不正ログインと不正アクセスの違いは何ですか？

A. 不正ログインは、他人のID・パスワードでなりすましてサービスにログインする行為で、より広い犯罪類型である「不正アクセス」の代表的な一形態です。

警察庁・警視庁は不正アクセスを「悪意ある第三者が他人のID・パスワードを使用してサービスを悪用したり、不正にコンピュータに侵入する犯罪」と定義しており、このうち他人になりすましてログインする「なりすまし型」が不正ログインにあたります。日常的にはほぼ同じ意味で使われますが、不正アクセスにはシステムの脆弱性（セキュリティホール）を突く侵入なども含まれる点が異なります。

出典・参考資料（1件）

• 出典：不正アクセス対策｜警察庁

Q. 不正ログインされたかどうかを確認する方法はありますか？

A. 多くのサービスが備える「ログイン履歴」や「ログイン通知メール」を確認するのが基本です。見覚えのない日時・場所・端末からのアクセスがないか、登録情報（メールアドレス・パスワード・電話番号）が勝手に変更されていないか、身に覚えのない注文・送金・投稿がないかを確認します。

不審なログインの通知が届いたり、急にログインできなくなったりした場合も、不正ログインのサインです。少しでも疑わしいときは、次の質問で挙げる対処にすぐ移ってください。

Q. 不正ログインされたら、まず何をすればよいですか？

A. まず不正ログインされたサービスの提供会社に連絡し、パスワードを変更（使い回している他サービスも含む）したうえで、ログイン履歴などの証拠を保存することが最優先です。

金銭被害が出ている場合はクレジットカード会社や金融機関にも連絡し、必要に応じて警察のサイバー犯罪相談窓口に通報・相談します。すでにパスワードを変えられてログインできないときは、サービス提供会社の復旧手続きに従います。詳しい手順は本記事「不正ログインの被害に遭ったときの対処」で解説しています。

出典・参考資料（2件）

• 出典：不正アクセス対策｜警察庁
• 出典：あなたのアカウント狙われています（不正アクセス）｜警視庁

Q. 不正ログイン対策として、企業がまず優先すべきことは何ですか？

A. ID・パスワードだけに頼らない「多要素認証（できればリスクベース認証）」の導入と、正しいID・パスワードでも本人かどうかを見分ける「不正検知の仕組み」の整備が、優先度の高い対策です。利用者はパスワードを使い回していることが多く、事業者側で被害を食い止める仕組みがなければ、パスワードリスト攻撃やBotによる大量ログインを防げません。

あわせて脆弱性診断とWAFで入り口を固め、重要な操作のたびに検証するゼロトラストの考え方で多層防御にすると効果が高まります。自社での構築が難しい場合は、不正検知ソリューションの活用が現実的な選択肢になります。

Q. 多要素認証やパスキーを設定すれば、不正ログインは完全に防げますか？

A. 多要素認証やパスキーは不正ログインのリスクを下げる有効な対策ですが、「完全に防げる」わけではありません。多要素認証はパスワードが漏れても第三者のログインを防ぎやすくする一方、偽サイトへ誘導してワンタイムコードごとだまし取るフィッシングやソーシャルエンジニアリングには突破される余地があります。

パスワード自体を使わないパスキーはフィッシングに強く、IPAも利用を推奨していますが、対応サービスはまだ限られます。事業者は、こうした認証強化に不正検知やログ監視を組み合わせ、万一突破されても被害を抑えられる多層の備えを用意することが重要です。

出典・参考資料（1件）

• 参考資料：インターネットサービスへの不正ログインによる被害が増加中｜情報処理推進機構（IPA）

Q. 不正ログインを行った加害者には、どのような罰則がありますか？

A. 他人のID・パスワードでなりすましてログインする不正アクセス行為は、不正アクセス禁止法により3年以下の拘禁刑または100万円以下の罰金の対象となります。ID・パスワードの不正取得・保管や、フィッシングによる入力要求などの関連行為は、1年以下の拘禁刑または50万円以下の罰金です。

かつては「懲役」と定められていましたが、刑法改正で懲役・禁錮が「拘禁刑」に一本化され、2025年6月1日に施行されています。不正ログインは軽い迷惑行為ではなく、実刑や罰金の対象となる犯罪です。

出典・参考資料（1件）

• 出典：不正アクセス行為の禁止等に関する法律（第11条・第12条）｜e-Gov法令検索

不正検知ソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、不正ログイン・アカウント乗っ取り対策に役立つ不正検知ソリューションの最新資料を無料で一括請求できます。検知の対象範囲や導入形態を比べて、自社の課題に合うサービスを選べます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。