不正アクセスの主な種類とは？手口の仕組み・被害・対策を一覧で解説

自社のWebサイトやサーバーがどんなやり方で狙われるのか、具体的にイメージできているでしょうか。「不正アクセス対策を」と言われても、攻撃の手口が漠然としたままでは、何に備えればよいのか、どの対策から手を付けるべきかの判断がつきません。

不正アクセスには、パスワードを狙うもの、システムの弱点を突くもの、人をだましてログイン情報を奪うものなど、いくつかの型があります。手口ごとに侵入の経路も、有効な対策も異なります。まず手口の全体像をつかむことが、過不足のない備えの出発点になります。

本記事では、不正アクセスの主な手口を型ごとに整理し、それぞれが「どうやって侵入するのか」の仕組みと、狙われやすい対象・起きる被害、そして手口に対応する対策までをまとめて解説します。公的機関が公表している被害の実態や、侵入を防ぐだけでなく「入られたときに気づく」ための考え方も取り上げ、自社がどこから点検すべきかを判断できる状態を目指します。

不正アクセスとは（手口の全体像）

不正アクセスとは、本来アクセスする権限を持たない人が、他人のIDやパスワードを悪用したり、システムの弱点を突いたりして、サーバーやネットワーク、各種サービスに侵入する行為を指します。侵入されると、情報漏洩やデータの改ざん、アカウントの乗っ取り、不正送金といった被害につながります。

個々の手口は多岐にわたりますが、大きく分けると次の3つの型に整理できます。1つ目は、IDとパスワードを何らかの方法で入手・推測してログインするパスワードを狙う手口。2つ目は、WebアプリケーションやOSの作り込みの不備を突く脆弱性を突く手口。3つ目は、偽サイトや偽メールで利用者をだましてログイン情報を奪う人をだます・なりすます手口です。

このほか、侵入後に被害を広げるランサムウェアや、公開された接続経路の弱さを突く侵入など、3つの型にきれいには収まらない手口もあり、本記事ではこれらもあわせて取り上げます。なお、DoS・DDoS攻撃（サービスを停止させる妨害）やマルウェアの無差別なばらまきのように、侵入や不正ログインに直接つながらない攻撃は対象としません。

ここまでの3つの型と、そのほか警戒したい手口を整理すると次のようになります。

「不正アクセス」とは何を指すか（不正アクセス禁止法の定義）

日常的に「不正アクセス」と呼ばれる攻撃手口は幅広いものですが、法律上の「不正アクセス行為」は、不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）で定義された行為を指します。同法は、大きく分けて2つの類型を「不正アクセス行為」として禁止しています。

1つは他人のID・パスワードを無断で入力してログインする類型（識別符号窃用型）、もう1つはシステムの弱点を突いて利用制限を回避する類型（セキュリティホール攻撃型）です。

同法第3条は「何人も、不正アクセス行為をしてはならない。」と定め、違反した場合は第11条により3年以下の拘禁刑または100万円以下の罰金が科されます。さらに、他人のID・パスワードを不正に取得・保管する行為や、フィッシングサイトを設置してパスワード等の入力を求める行為（第7条）も別途禁止されています。

本記事で扱う手口のうち、SQLインジェクションのように利用制限を回避してログインできる状態にする行為や、フィッシングで入手したIDでログインする行為は、これらの規定に該当し得ます。

出典・参考資料（1件）

• 出典：不正アクセス行為の禁止等に関する法律（平成11年法律第128号）｜e-Gov法令検索

不正アクセスの主な手口（大分類別に仕組み・狙われる対象・被害を解説）

ここからは、不正アクセスの主な手口を、先に挙げた型に沿って解説します。まず全体を一覧で見渡せるよう、代表的な手口を、どうやって突破するか・狙われやすい対象や起きる被害・対応する主な対策とあわせて整理しました。

※上記は代表的な手口の整理です。実際の攻撃は複数の手口を組み合わせて行われることもあります。

パスワードを狙う手口

最も基本的な型が、IDとパスワードそのものを入手・推測してログインする手口です。ブルートフォース攻撃（総当たり攻撃）は、1つのIDに対して考えうるパスワードを機械的に次々と試し、一致するまで繰り返す手法です。桁数が少なく単純なパスワードほど短時間で突破されます。

パスワードリスト攻撃は、別のサービスから漏洩したIDとパスワードの組み合わせリストを使い、同じ組み合わせで他のサービスへのログインを試す手法です。複数のサービスで同じパスワードを使い回している利用者が狙われます。総当たりと違い「どこかで実際に使われていた組み合わせ」を試すため、成功率が高いのが特徴です。

辞書攻撃は、辞書に載っている単語や人名、よくある文字列を順に試す手法で、単純なパスワードを設定しているアカウントが突破されます。

近年は、1つのパスワードを多数のIDに対して試すパスワードスプレー攻撃や、パスワードを固定してID側を変えていくリバースブルートフォース攻撃など、アカウントロックを回避しながら試行する派生的な手口も見られます。いずれも、パスワードの管理の甘さや使い回しが突破口になる点は共通しています。

実際の被害でも、この型は主要な侵入経路です。後述する警察庁などの公表データでは、他人のID・パスワードを悪用する類型が検挙件数の90％以上を占め、その入手方法として「パスワードの設定・管理の甘さにつけ込んで入手」が最も多いことが示されています。

脆弱性を突く手口

2つ目の型は、WebアプリケーションやOSの作り込みの不備（脆弱性）を突いて侵入する手口です。代表的なのがSQLインジェクションです。データベースと連携したWebアプリケーションの多くは、利用者の入力をもとにデータベースへの命令文（SQL文）を組み立てます。この組み立て方に不備があると、入力欄に不正な文字列を送り込むことでデータベースを不正に操作されてしまいます。

独立行政法人情報処理推進機構（IPA）は、発生しうる脅威として次のように挙げています。

• データベースに蓄積された非公開情報の閲覧（個人情報の漏えい 等）
• データベースに蓄積された情報の改ざん、消去
• 認証回避による不正ログイン
• ストアドプロシージャ等を利用した OS コマンドの実行

出典：安全なウェブサイトの作り方 改訂第7版 1.1 SQLインジェクション｜独立行政法人情報処理推進機構（IPA）

OSコマンドインジェクションは、Webアプリケーションを経由してサーバーのOSコマンドを不正に実行させる手口です。IPAは、この脆弱性があると「悪意あるリクエストにより、ウェブサーバ側で意図しない OSコマンドを実行させられ、重要情報が盗まれたり、攻撃の踏み台に悪用される可能性があります」と説明しています。

バッファオーバーフローは、プログラムが確保したメモリ領域を超えるデータを送り込み、想定外の動作をさせる手口で、IPAも注意すべき脆弱性の一つとして挙げています。これらは、入力値の検証やソフトウェアの更新といった、作り手側・運用側の対策が鍵になります。

このほか、Webアプリケーションの脆弱性を突く手口には、閲覧者のブラウザ上で不正なスクリプトを実行させるクロスサイトスクリプティング（XSS）や、利用者に意図しない操作を行わせるクロスサイトリクエストフォージェリ（CSRF）などもあり、セッションの乗っ取りや不正操作につながります。

出典・参考資料（1件）

• 出典：安全なウェブサイトの作り方 改訂第7版｜独立行政法人情報処理推進機構（IPA）

人をだます・なりすます手口

3つ目の型は、システムの弱点ではなく人をだまして認証情報を奪う手口です。フィッシングは、実在する企業やサービスを装った偽サイト・偽メールに利用者を誘導し、IDやパスワード、カード情報を入力させて窃取します。

盗んだ情報でそのまま本人になりすましてログインされるため、入口は「だまし」でも、結果は不正ログインにつながります。近年は、本物のサイトと利用者の間に割り込んで多要素認証のコードまで中継して盗む中間者型の手口（AiTM）も確認されています。

フィッシングは公的なデータでも主要な入手経路として表れており、他人のID・パスワードを悪用する類型のうち「フィッシングサイトから入手」が、パスワード管理の甘さに次いで多いことが公表されています。だます手口への対策は、技術だけでなく利用者・従業員への教育が欠かせません。

そのほか警戒したい手口

3つの型に単純には収まらないものの、警戒すべき手口があります。ランサムウェアは、侵入した端末やサーバーのファイルを暗号化し、復旧と引き換えに身代金を要求する攻撃です。侵入後に短時間で被害を広げ、業務停止に直結します。

インターネットに公開されたリモート接続の弱い認証を突いて遠隔操作するリモートデスクトップ経由の侵入も警戒が必要です。テレワーク環境の広がりとともに狙われやすくなっており、多要素認証やアクセス元の制限で接続経路を守ることが対策になります。

不正アクセスによる被害の実態

手口を理解したうえで、実際にどれだけの被害が起きているのかを公的なデータで確認します。警察庁・総務省・経済産業省が連名で公表している「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月12日公表）によると、不正アクセス禁止法違反の認知件数は次のとおりです。

令和７年における不正アクセス行為の認知件数は 7,190 件であり、前年（令和６年）と比べ、1,832 件（約 34.2％）増加した。

出典：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和8年3月12日公表）｜国家公安委員会・総務省・経済産業省

この7,190件は、不正アクセス禁止法違反として認知された件数であり、サイバー攻撃や情報漏洩のすべてを含む数字ではありません。それでも前年から約34.2％増えており、不正アクセスが身近なリスクとして拡大していることがうかがえます。

不正アクセス後の行為では「インターネットバンキングでの不正送金等」が4,747件と最も多く、「証券会社のインターネット取引サービスでの不正取引等」が1,484件と続いています。金銭に直結する被害が中心です。

手口の傾向も同じ資料から読み取れます。ここで示すのは摘発ベースの検挙件数で、先に挙げた認知件数（被害の届出等に基づく）とは母数が異なる点に注意が必要です。

検挙された不正アクセス行為のうち、他人のID・パスワードを悪用する識別符号窃用型が399件と全体の90％以上を占めます。その入手方法の内訳では「パスワードの設定・管理の甘さにつけ込んで入手」が84件で最も多く、次いで「フィッシングサイトから入手」が77件でした。

本記事で解説した「パスワードを狙う手口」と「人をだます手口」が、実際の侵入経路として主要であることを示すデータです。

企業が直面する脅威の全体像としては、IPAが毎年公表する「情報セキュリティ10大脅威」も参考になります。組織向けの2026年版では、1位に「ランサム攻撃による被害」、4位に「システムの脆弱性を悪用した攻撃」が挙げられており、本記事で扱った手口と重なる脅威が上位に並んでいます。

出典・参考資料（2件）

• 出典：不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況（令和8年3月12日公表）｜国家公安委員会・総務省・経済産業省
• 出典：情報セキュリティ10大脅威 2026（組織向け）｜独立行政法人情報処理推進機構（IPA）

統計の数字だけでなく、実際にどの企業がどんな手口で侵入され、どの程度の被害が出たのかという具体例から自社のリスクを考えたい場合は、以下の記事で実名で公表された事件をまとめています。

手口に効く対策（防ぐ＋気づく）

ここからは、手口に対応する対策を整理します。対策は「侵入を防ぐ」だけでは不十分で、「入られたときに気づく」までを含めて考える必要があります。

まず侵入を防ぐ側では、パスワードを狙う手口に対しては多要素認証が有効です。ID・パスワードが漏れても、もう一つの認証要素がなければログインできないため、パスワードリスト攻撃やブルートフォース攻撃の成功率を下げられます。あわせて、パスワードの使い回しをやめ、推測されにくいパスワードを設定する運用ルールの徹底も欠かせません。

脆弱性を突く手口には、Webアプリケーションへの不正な通信を遮断するWAF（Webアプリケーションファイアウォール）の導入と、脆弱性診断・パッチ適用による弱点の解消が対応します。人をだます手口には、従業員へのセキュリティ教育と、不審なメールやサイトを検知・ブロックする仕組みが効きます。

ファイアウォールやWAF、多要素認証、EDRといった「防ぐ」ための技術が、それぞれどの侵入経路を・どこで守るのかを一つずつ押さえておきたい場合は、以下の記事で守る場所ごとの役割分担とあわせて整理しています。

一方で、これらの防御をすり抜けて侵入される可能性はゼロにはできません。そこで重要になるのが「入られたときに気づく」検知です。検知は、守る対象の層によって手段が分かれます。アカウントへの不正ログインを見つける層、業務端末に入り込んだ不審な挙動を見つける層、ネットワークを流れる不審な通信を見つける層です。

アカウントの層では、ログイン時の操作や環境の異常から乗っ取りを見抜く仕組みが働きます。端末の層では、端末上の不審な挙動を検知するEDR（Endpoint Detection and Response）が役割を担います。ネットワークの層では、通信を監視して侵入後の不審な動きを捉えるNDR（Network Detection and Response）が使われます。

自社の対策を点検するときは、「防ぐ」仕組みだけでなく、この3つの層で「気づく」仕組みが揃っているかを確認するとよいでしょう。次章では、各層の検知を支援する具体的なサービスを紹介します。

不正アクセスの検知を支援するサービス

ここからは、前章で整理した「気づく（検知）」を担うサービスを紹介します。自社の守りたい対象に合わせて、どの層の検知を強化すべきかの参考にしてください。

以下はご紹介するサービスの比較表です。

※料金・仕様は変動します。詳細は各社の公式情報・資料をご確認ください（2026年10月時点）。

Sardine（株式会社DGビジネステクノロジー）

Sardineは、サイト・アプリ内でのユーザーの操作の癖（行動バイオメトリクス）と、利用している端末の情報（デバイスインテリジェンス）を組み合わせ、AIで不正を検知するプラットフォームです。米国のSardine AIが開発し、デジタルガレージグループの株式会社DGビジネステクノロジーが日本での販売・導入・サポートを担っています。アカウントの層で「本人かどうか」を見抜くことを得意とします。

アカウント乗っ取り対策では、攻撃のパターンごとに検知の着眼点を分けているのが特徴です。フィッシングやソーシャルエンジニアリングに対しては、リモート操作ツールの使用や第三者の指示による操作といったセッション中の異常を追跡します。クレデンシャルスタッフィング（パスワードリスト攻撃）やボットに対しては、ヘッドレスブラウザやプロキシの利用、不自然なタイピング速度などを検知します。

さらに、メールアドレスやパスワード、多要素認証の設定変更といったアカウント変更の操作も監視し、乗っ取りの兆候を捉えます。会員登録・ログイン・決済・送金まで、ユーザーの各場面に適用できます。

Network Blackbox（株式会社クワッドマイナージャパン）

ネットワークの層を担うのがNetwork Blackboxです。韓国Quad Minersの日本法人である株式会社クワッドマイナージャパンが提供するNDR（Network Detection and Response）製品で、ネットワークを流れるパケットをミラーリング方式で取り込み、保存・分析します。

国内では東証グロース市場に上場する株式会社フーバーブレインが総代理店として販売し、2024年に資本参加しています。

フルパケットキャプチャを基盤に、収集・検知・ハンティング・フォレンジック・対応の機能を備えます。シグネチャによる既知脅威の検知と、振る舞いの異常からの未知脅威の検知を両立し、外部からの侵入や、侵入後に内部で横移動する不審な通信、データの持ち出しといった、ネットワーク上に痕跡が残る動きを捉えます。

保存したパケットをさかのぼって調査できるため、侵入経路の事後分析にも対応します。エンドポイント単体の操作のように通信に現れない事象は対象外で、EDRなど他の層の仕組みと組み合わせて使う設計です。

ここで取り上げたのは、アカウントの層とネットワークの層で検知を担うサービスです。端末の層（EDR）を含め、より多くの不正アクセス検知システムを、検知方式や対応範囲、料金で横断的に比較して選びたい場合は、以下の記事で18サービスをタイプ別に整理しています。

まとめ

不正アクセスの手口は、パスワードを狙うもの、脆弱性を突くもの、人をだましてログイン情報を奪うものの3つの型に整理できます。公的なデータでも、他人のID・パスワードを悪用する手口が検挙件数の90％以上を占め、その入手経路はパスワード管理の甘さとフィッシングが主流です。まずはこの全体像を押さえることが、自社の備えを点検する出発点になります。

対策は、多要素認証やWAF、脆弱性管理、社員教育で「防ぐ」だけでなく、アカウント・端末・ネットワークの各層で「気づく（検知する）」仕組みまで揃えることが重要です。自社でどの層の検知が手薄かを確認し、必要な対策から検討を進めてみてください。各サービスの詳しい情報は、資料請求で比較できます。

よくある質問（FAQ）

Q. 不正アクセスとは何ですか？

A. 不正アクセスとは、本来アクセスする権限を持たない人が、他人のIDやパスワードを悪用したり、システムの弱点を突いたりして、サーバーやサービスに侵入する行為です。侵入されると、情報漏洩やデータの改ざん、アカウントの乗っ取り、不正送金といった被害につながります。法律上は、不正アクセス禁止法で禁じられた行為を指します。

Q. 不正アクセスと不正ログインの違いは何ですか？

A. 不正ログインは、他人のID・パスワードを使って本人になりすましてログインする行為で、不正アクセスの手口の一つです。不正アクセスはこれに加え、SQLインジェクションのようにシステムの弱点（脆弱性）を突いて利用制限を回避する侵入も含む、より広い概念です。

実際の被害でも、他人のID・パスワードを悪用する類型（識別符号窃用型）が検挙件数の90％以上を占めており、不正ログインは不正アクセスの主要な形といえます。

Q. 中小企業も不正アクセスの標的になりますか？

A. 企業規模を問わず標的になり得ます。不正アクセスは特定の企業を狙い撃ちするものばかりではなく、パスワードの使い回しや管理の甘さ、脆弱性の放置といった「突きやすい穴」を広く探して行われるため、規模の大小にかかわらず条件がそろえば侵入されます。令和7年の不正アクセス行為の認知件数は7,190件で前年比約34.2％増えており、身近なリスクとして拡大しています。

Q. 不正アクセスされたことには、どうやって気づけばよいですか？

A. 不正アクセスは、侵入を「防ぐ」仕組みだけでなく、入られたときに「気づく」ための検知の仕組みを備えることで発見できます。検知は守る対象の層で分かれ、アカウントの層ではログイン時の操作や環境の異常から乗っ取りを、端末の層ではEDRが端末上の不審な挙動を、ネットワークの層ではNDRが侵入後の不審な通信を捉えます。

どの防御もすり抜けられる可能性はゼロにできないため、この3つの層で「気づく」手段が揃っているかを点検することが重要です。

Q. 不正アクセス対策は何から始めればよいですか？

A. 不正アクセス対策は、多要素認証の導入と、パスワードの使い回しの見直しから始めるのが効果的です。他人のID・パスワードの悪用が侵入経路の大半を占めるため、情報が漏れても突破されにくくする多要素認証は優先度が高い対策です。そのうえで、脆弱性を突く手口にはWAFの導入やパッチ適用、人をだます手口には社員教育を重ね、最後に各層の「気づく（検知）」仕組みで補完していくと、過不足のない備えになります。

Q. 不正アクセスを行うと、法律ではどのように罰せられますか？

A. 不正アクセス禁止法に違反して不正アクセス行為を行った場合、3年以下の拘禁刑または100万円以下の罰金が科されます。同法は、他人のID・パスワードを無断で入力してログインする行為や、システムの弱点を突いて利用制限を回避する行為を「不正アクセス行為」として禁止しています。

あわせて、他人のID・パスワードの不正な取得・保管や、フィッシングサイトを設置してパスワード等の入力を求める行為も別途禁止されています。

不正検知ソリューションの料金・資料を一括チェック

MCB FinTechカタログでは、不正アクセスの検知・対策に役立つソリューションの最新資料を無料で一括請求できます。アカウント・端末・ネットワークの各層の製品を、機能や対応範囲で比べられます。

MCB FinTechカタログに掲載しませんか？

MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。