不正アクセスを規制しているのは、「不正アクセス行為の禁止等に関する法律」（通称：不正アクセス禁止法）です。他人のIDやパスワードを使ったなりすましログイン、他人に認証情報を教える行為、フィッシングなどを禁止し、違反には拘禁刑（懲役に代わる刑）や罰金を定めています。
「これは法律的に問題なのか」「違反するとどうなるのか」を確かめたいとき、まず知りたいのは法律そのものの中身——何が禁止され、どんな罰則があるのか——のはずです。
この法律は、禁止する行為を5つの類型に分けて定めており、それぞれに対応する罰則の重さが異なります。2012年の改正で罰則が引き上げられ、さらに2022年の刑法改正によって刑の種類が「懲役」から「拘禁刑」へと変わっているため、古い解説では現行とずれた数字が残っていることもあります。
本記事では、不正アクセス禁止法が禁止する行為とその罰則を条文に沿って整理し、行為ごとの罰則を一覧で確認できるようにします。あわせて、企業（アクセス管理者）に求められる防御措置（第8条の努力義務）、被害に遭った場合の対処、そして法律が求める防御措置を自社で実装するためのセキュリティサービスまでを解説します。
目次
一括ダウンロードする
不正アクセスを規制する法律とは（正式名称・目的・定義）
不正アクセスを規制する法律の正式名称は「不正アクセス行為の禁止等に関する法律」です。1999年（平成11年）に公布された法律で、通称は「不正アクセス禁止法」と呼ばれます。他人になりすましてコンピュータを利用する行為などを禁止し、違反に対する罰則と、再発防止のための公的な援助措置を定めています。
法律の目的は、第1条に次のように定められています。
この法律は、不正アクセス行為を禁止するとともに、これについての罰則及びその再発防止のための都道府県公安委員会による援助措置等を定めることにより、電気通信回線を通じて行われる電子計算機に係る犯罪の防止及びアクセス制御機能により実現される電気通信に関する秩序の維持を図り、もって高度情報通信社会の健全な発展に寄与することを目的とする。
出典：不正アクセス行為の禁止等に関する法律 第1条｜e-Gov法令検索
押さえておきたい用語（識別符号・アクセス管理者・不正アクセス行為）
条文を正確に読むには、第2条で定義されている用語を押さえておくと分かりやすくなります。日常の言葉に置き換えると、次のとおりです。
- 識別符号：利用者を本人かどうか見分けるために付けられた符号のことで、パスワードなどの秘密の符号、指紋・顔などの生体情報、署名を用いて作られる符号が含まれます（第2条第2項）。身近にはIDとパスワードがこれにあたります。
- アクセス制御機能：入力された符号が正しい識別符号であることを確認して、利用の制限を解除する仕組みのことです（第2条第3項）。ログイン認証の機能がこれにあたります。
- アクセス管理者：ネットワークに接続したコンピュータの利用について、その動作を管理する立場の人を指します（第2条第1項）。社内システムやサーバーを管理する企業・情報システム部門が、これにあたります。
そのうえで「不正アクセス行為」は第2条第4項で定義されています。大きく2つに分かれ、1つは、アクセス制御機能のあるコンピュータに、他人の識別符号（ID・パスワード等）をネットワーク経由で入力して、本来は制限されている利用ができる状態にする行為です。いわゆる「なりすましログイン」がこれにあたります。
もう1つは、識別符号以外の情報や指令を入力して、セキュリティホール（プログラムの不備）を突いて制限を解除する行為です。いずれも、管理者や利用権者の承諾を得て行う場合は除かれます。
総務省も条文を見出し付きで整理したページを公開しています。条文の全体像をあわせて確認したい場合に参考になります。
出典・参考資料（1件）
不正アクセス禁止法が禁止する行為（第3〜7条）
ここからは、不正アクセス禁止法が具体的に禁止している行為を、条文ごとに見ていきます。禁止されるのは「不正アクセス行為」そのもの（第3条）だけではありません。他人の認証情報を不正に取得・提供・保管する行為や、フィッシングも、それぞれ別の条文で禁じられています。
不正アクセス行為の禁止（第3条）
不正アクセス行為そのものは、第3条で端的に禁止されています。
何人も、不正アクセス行為をしてはならない。
出典：不正アクセス行為の禁止等に関する法律 第3条｜e-Gov法令検索
ここでいう「不正アクセス行為」の中身は、前述した第2条第4項の定義を指します。他人のID・パスワードを使ったなりすましログインと、セキュリティホールを突いた侵入の両方が含まれます。
他人の識別符号を不正に取得する行為（第4条）
不正アクセス行為に使う目的で、他人のID・パスワードを取得する行為も禁止されています（第4条）。実際に不正アクセスを行う前の、認証情報を手に入れる段階の行為を取り締まるものです。この規定は、後述する2012年の改正で新たに設けられました。
不正アクセス行為を助長する行為（第5条）
他人のID・パスワードを、本人や管理者以外の第三者に提供する行為も禁止されています（第5条）。他人に認証情報を教える行為がこれにあたり、業務その他の正当な理由がある場合は除かれます。
何人も、業務その他正当な理由による場合を除いては、アクセス制御機能に係る他人の識別符号を、当該アクセス制御機能に係るアクセス管理者及び当該識別符号に係る利用権者以外の者に提供してはならない。
出典：不正アクセス行為の禁止等に関する法律 第5条｜e-Gov法令検索
助長行為は、提供した相手が不正アクセスの目的を持っていることを知っていたかどうかで、後述する罰則の重さが変わります。
他人の識別符号を不正に保管する行為（第6条）
不正アクセス行為に使う目的で、不正に取得された他人のID・パスワードを保管する行為も禁止されています（第6条）。盗み取られた認証情報を手元に保持しておく行為を取り締まる規定で、こちらも2012年の改正で設けられました。
識別符号の入力を不正に要求する行為＝フィッシング（第7条）
本物の管理者になりすまして、利用者にID・パスワードの入力を求める行為も禁止されています（第7条）。いわゆるフィッシングを対象とする規定で、具体的には次の2つの行為を挙げています。
- 管理者になりすまし、利用者に識別符号の入力を求める情報を、公衆が閲覧できる状態に置く行為（偽のログインサイトを公開する行為）
- 管理者になりすまし、利用者に識別符号の入力を求める情報を電子メールで送信する行為（偽のメールを送る行為）
この第7条も、2012年の改正でフィッシングに対応するために新設された規定です。
出典・参考資料（1件）
行為別の罰則一覧（第11〜13条・拘禁刑と罰金の実数）
ここからは、それぞれの行為に対する罰則を確認します。罰則は第11条から第13条に定められており、行為によって重さが異なります。また、2022年の刑法改正（2025年6月1日施行）で、刑の種類である「懲役」と「禁錮」が「拘禁刑」に一本化されました。現行の条文はすべて「拘禁刑」と表記されているため、本記事もそれに合わせて記載します（2025年6月1日より前は「懲役」と表記されていました）。
まず、不正アクセス行為そのもの（第3条違反）の罰則は、第11条で次のように定められています。
第三条の規定に違反した者は、三年以下の拘禁刑又は百万円以下の罰金に処する。
出典：不正アクセス行為の禁止等に関する法律 第11条｜e-Gov法令検索
取得・助長・保管・フィッシングといった準備段階の行為は、第12条で「1年以下の拘禁刑又は50万円以下の罰金」と定められています。ただし助長行為（第5条違反）だけは例外で、提供した相手が不正アクセスの目的を持っていることを知らなかった場合は、第13条の「30万円以下の罰金」にとどまります。行為と条文、罰則の対応を一覧にすると次のとおりです。
| 禁止される行為 | 禁止の条文 | 罰則の条文 | 法定刑（現行） |
|---|---|---|---|
| 不正アクセス行為（なりすまし・セキュリティホール攻撃） | 第3条 | 第11条 | 3年以下の拘禁刑 又は 100万円以下の罰金 |
| 他人の識別符号の不正取得 | 第4条 | 第12条第1号 | 1年以下の拘禁刑 又は 50万円以下の罰金 |
| 助長行為（相手の目的を知って提供） | 第5条 | 第12条第2号 | 1年以下の拘禁刑 又は 50万円以下の罰金 |
| 他人の識別符号の不正保管 | 第6条 | 第12条第3号 | 1年以下の拘禁刑 又は 50万円以下の罰金 |
| 識別符号の入力を不正に要求（フィッシング） | 第7条 | 第12条第4号 | 1年以下の拘禁刑 又は 50万円以下の罰金 |
| 助長行為（相手の目的を知らずに提供） | 第5条 | 第13条 | 30万円以下の罰金（拘禁刑なし） |
※法定刑は第11〜13条の現行条文に基づきます（2025年6月1日施行の刑法改正で「懲役」は「拘禁刑」に一本化）。
出典・参考資料（2件）
2012年改正による罰則引き上げ（旧規定との違い）
現在の罰則の重さは、2012年（平成24年）の改正によるものです。この改正の前は、不正アクセス行為の罰則は「1年以下の懲役又は50万円以下の罰金」でした。改正により、現行の「3年以下の拘禁刑（改正当時は懲役）又は100万円以下の罰金」へと引き上げられています。
あわせてこの改正では、前述した第4条（不正取得）・第6条（不正保管）・第7条（フィッシング）が新たに設けられ、不正アクセスの準備段階やフィッシングも取り締まれるようになりました。改正法は2012年3月31日に公布され、公布から1か月を経過した2012年5月1日に施行されています。
出典・参考資料（1件）
検索すると制定当時（1999年）の条文が見つかることがありますが、そこには旧規定の「1年以下の懲役又は50万円以下の罰金」が記載されています。現行の罰則とは異なるため、罰則の数字を確認するときは必ず現行の条文（e-Gov法令検索）で確認してください。
公訴時効は何年か（刑事訴訟法第250条）
不正アクセス行為の公訴時効は3年です。これは刑事訴訟法第250条第2項が、「長期五年未満の拘禁刑又は罰金に当たる罪」の時効を3年と定めていることによります。不正アクセス行為は「3年以下の拘禁刑」で長期5年未満にあたるため、公訴時効は3年となります。準備段階の行為（第12条・1年以下の拘禁刑）や、罰金のみの助長行為（第13条）も、同じく時効は3年です。
六 長期五年未満の拘禁刑又は罰金に当たる罪については三年
出典：刑事訴訟法 第250条第2項第6号｜e-Gov法令検索
時効は、犯罪行為が終わった時点から進行します。継続的に不正アクセスが行われていた場合は、最後の行為が行われた時点が起算点になります。被害の発覚が遅れると時効が迫ることもあるため、気づいた時点からの経過に注意が必要です（被害に遭った場合の対処は後述します）。
不正アクセス禁止法に違反する行為の具体例
条文だけでは、自社や従業員のどんな行為が違反にあたるのかイメージしにくいかもしれません。前述した禁止行為の類型にあてはめると、実際に違反として扱われるのは次のような行為です。
- 他人のID・パスワードを使って、本人の許可なくアカウントやシステムにログインする（第3条の不正アクセス行為）。家族や同僚など親しい間柄であっても、本人の許可なくログインすれば該当します。
- 自分や他人の不正アクセスに使う目的で、他人のID・パスワードを盗み取る、または手元に保管しておく（第4条・第6条）。
- 他人のID・パスワードを、本人や管理者以外の第三者に教える（第5条の助長行為）。
- 本物のサービスを装った偽サイトや偽メールで、利用者にID・パスワードの入力を求める（第7条のフィッシング）。
裁判例では、不正アクセスが別の犯罪の手段として使われた場合でも、不正アクセスの罪が他の罪に吸収されず、独立して処罰され得ることが示されています。最高裁判所は、不正アクセス行為と私電磁的記録不正作出罪が行われた事案について、両者を別個の罪（併合罪）として扱うのが相当と判断しました（最高裁判所第二小法廷 決定 平成19年8月8日・刑集61巻5号368頁）。
どんな行為が違反になるかに加えて、不正アクセスが自社にどのような被害をもたらすのかも押さえておくと、対策の優先度を判断しやすくなります。以下の記事では、実名企業で起きた不正アクセスの手口・原因・被害規模を整理しており、自社の弱点を点検する手がかりになります。
アクセス管理者に求められる防御措置（第8条の努力義務）
ここからは、企業側（アクセス管理者）に法律が何を求めているかを見ていきます。不正アクセス禁止法は、不正アクセスを行う側を罰するだけでなく、システムを管理する側に防御措置を求めています。それが第8条です。
アクセス制御機能を特定電子計算機に付加したアクセス管理者は、当該アクセス制御機能に係る識別符号又はこれを当該アクセス制御機能により確認するために用いる符号の適正な管理に努めるとともに、常に当該アクセス制御機能の有効性を検証し、必要があると認めるときは速やかにその機能の高度化その他当該特定電子計算機を不正アクセス行為から防御するため必要な措置を講ずるよう努めるものとする。
出典：不正アクセス行為の禁止等に関する法律 第8条｜e-Gov法令検索
条文が求めているのは、大きく3つです。1つ目は、識別符号（ID・パスワード等）や、それを確認するために使う符号の適正な管理。2つ目は、アクセス制御機能（ログイン認証の仕組み）の有効性を常に検証すること。3つ目は、必要があると認めるときに、速やかにその機能を高度化するなど、不正アクセスから守るために必要な措置を講じることです。
ここで重要なのは、第8条の文末が「努めるものとする」となっている点です。これは法律上の「努力義務」であり、第3条から第7条の禁止行為とは異なり、違反しても罰則は定められていません。実際、罰則を定める第11条から第13条のいずれも、第8条を引用していません。
ただし、罰則がないことは「対策しなくてよい」ことを意味しません。アクセス管理者が防御措置を怠って不正アクセスの被害が生じれば、預かっている情報の漏えいや取引先への被害の波及につながり、民事上の責任や社会的な信頼の低下を招きます。
認証情報の管理や認証の仕組みの検証・高度化は、法律が企業に期待している対応として押さえておくべき実務です。法律が求めるこの防御措置を自社で具体的にどう実装するかは、後半の「法律を踏まえて企業が取るべき対策とサービス」で解説します。
不正アクセス被害に遭った場合の対処
どれだけ防御措置を講じても、不正アクセスの被害を完全に防げるわけではありません。実際に被害が疑われるときに取るべき行動を、順を追って整理します。
被害状況を記録・保全する
まず、何が起きたかを後から確認できるように、証拠を保全します。不審なアクセスのログ、エラーや警告の画面、身に覚えのない操作の履歴などを、消さずに記録として残します。原因調査や警察への相談、被害の立証にあたって、これらの記録が手がかりになります。被害の拡大を止めるために、該当アカウントのパスワード変更や、影響範囲の切り離しもあわせて検討します。
警察へ被害届・相談を行う
不正アクセスは犯罪であり、各都道府県警察のサイバー犯罪相談窓口へ相談・被害届の提出ができます。前述のとおり公訴時効は3年で、犯罪行為が終わった時点から進行するため、被害に気づいたら早めに相談することが大切です。
関係機関に報告・相談する
不正アクセス禁止法は、被害を受けたアクセス管理者が公的な援助を受けられる仕組みも用意しています。第9条は、不正アクセス行為が行われたと認められる場合に、アクセス管理者が再発防止のための援助を申し出たとき、都道府県公安委員会が資料の提供・助言・指導などの援助を行うと定めています。
都道府県公安委員会…は、不正アクセス行為が行われたと認められる場合において、当該不正アクセス行為に係る特定電子計算機に係るアクセス管理者から、その再発を防止するため、…援助を受けたい旨の申出があり、その申出を相当と認めるときは、当該アクセス管理者に対し、…必要な資料の提供、助言、指導その他の援助を行うものとする。
出典：不正アクセス行為の禁止等に関する法律 第9条｜e-Gov法令検索
このほか、IPA（情報処理推進機構）の情報セキュリティ安心相談窓口でも、被害の相談や対応の助言を受けられます。自社だけで対応を抱え込まず、これらの窓口を活用することで、再発防止と原因究明を進めやすくなります。
出典・参考資料（2件）
- 参考資料：情報セキュリティ安心相談窓口｜IPA（情報処理推進機構）
- 参考資料：サイバー犯罪対策｜警察庁
一括ダウンロードする
法律を踏まえて企業が取るべき対策とサービス
第8条の防御措置を実際の対策に落とし込むと、大きく次の5つの観点に整理できます。いずれも、不正アクセスの入り口をふさぎ、万一侵入されても早期に気づける状態をつくるための対策です。
- 認証の強化：ID・パスワードだけに頼らず、多要素認証やパスキー（FIDO2）など、フィッシングや認証情報の窃取に強い認証方式を導入します。第8条が求める「アクセス制御機能の高度化」に直接対応する対策です。
- アクセス権限の管理：利用者ごとに業務に必要な範囲へ権限を絞り、退職者や異動者のアカウントを速やかに整理します。万一認証を突破されても、被害の範囲を限定できます。
- 不審な通信・挙動の検知：ネットワークや端末の通信・挙動を監視し、侵入後の不審な動き（内部での横移動やデータ持ち出し）を検知できるようにします。「アクセス制御機能の有効性の検証」を、運用面で支える対策です。
- 脆弱性の管理：OS・ソフトウェアの脆弱性を把握して速やかに更新し、セキュリティホールを突いた侵入を防ぎます。
- 従業員教育：フィッシングや不審なメールに気づけるよう、従業員への教育・注意喚起を継続します。
これら5つの観点について、従業員と管理者がそれぞれ具体的に何をすべきかを、チェックリストの形で順に確認したい場合は、以下の記事が参考になります。
このうち、認証の強化と不審な通信・挙動の検知は、専用のサービスを導入することで実装しやすくなります。ここでは、不正アクセス対策に役立つサービスを紹介します。まずは各サービスの特徴を一覧で比較します。
| サービス名 | CloudGate UNO | YubiKey as a Service | Network Blackbox | DZ Pass | Darktrace |
|---|---|---|---|---|---|
| 対策の役割 | 認証強化（なりすましによる侵入をふさぐ） | 認証強化（なりすましによる侵入をふさぐ） | 検知・対応（侵入後の不審な挙動を捉える） | 認証強化（なりすましによる侵入をふさぐ） | 検知・対応（侵入後の不審な挙動を捉える） |
| 提供形態 | クラウド型IDaaS（SSO・多要素認証・アクセス制限を統合） | 物理セキュリティキー（ハードウェアトークン）＋サブスク運用代行 | NDR（ネットワーク型。ミラーリングで導入） | Windows PCインストール型（オンプレミス）＋スマホアプリ | 自己学習型AIのセキュリティプラットフォーム（NDR中心） |
| 主な認証方式・検知方式 | パスキー（FIDO2）・生体認証・OTP IP／デバイス／時間帯によるアクセス制限 | FIDO2／WebAuthn・FIDO U2F・PIV・OpenPGP・OTP 物理キーを持つ本人だけが認証可能 | フルパケットキャプチャ＋シグネチャ検知・ユーザー行為ベース検出（BAD）・コンテンツ分析 MITRE ATT&CKベースのハンティング | 顔認証＋スマートフォン認証（バックグラウンド認証の継続認証） 離席検知・なりすまし検知・覗き見検知 | 自己学習型AIによる異常検知 ネットワークを起点にメール・クラウド・端末等を横断 |
| 料金 | 月額400円〜/ユーザー（税抜） 初期費用は要問い合わせ | 要問い合わせ（200ライセンスから） | 要問い合わせ | 要問い合わせ | 要問い合わせ（監視デバイス数に応じた個別見積もり） |
| 無料トライアル | 30日間 | 要問い合わせ | デモ申込あり | 要問い合わせ | 要問い合わせ |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る | オンライン相談を予約 | サービス詳細を見る |
※料金・仕様は2026年10月時点の各社公式情報に基づきます。最新の内容は各社にご確認ください。
ここからは、各サービスの特徴を順に紹介します。
CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNO（クラウドゲートウノ）は、株式会社インターナショナルシステムリサーチが自社開発するIDaaS（クラウド型のID管理基盤）です。一度の認証で複数のクラウドサービスを利用できるシングルサインオン（SSO）に、多要素認証・アクセス制限・ID管理を統合しています。
認証面では、パスキー（FIDO2）によるパスワードレス認証を全プラン・全ユーザーで無制限に利用できます。パスキーは、生体認証やPINをデバイス側で検証し、秘密鍵をネットワークに流さない方式のため、フィッシングや認証情報の窃取に強い耐性を持ちます。第8条が求める「アクセス制御機能の高度化」を、認証の置き換えで実現できる選択肢です。
アクセス制限は、IPアドレス・デバイス証明書に加え、場所・時間帯・ブラウザといった軸で細かく設定できます。業務時間外や私用端末からのアクセスを制限するといった運用も可能です。料金は月額400円（税抜）からで、30日間の無料トライアルが用意されています。
認証の高度化が求められる背景には、攻撃の対象となる企業層の広がりがあります。提供元であるインターナショナルシステムリサーチの平澤氏は、導入相談の現場で次のような変化を感じていると話します。
中小企業ではまだサイバー攻撃を他人事と捉えている方もいらっしゃいますが、実は昨今、中小企業が狙われるケースが増えています。また、官公庁や業界団体が策定するセキュリティガイドラインへの準拠を目的としたご相談も増えています。
YubiKey as a Service（株式会社インターナショナルシステムリサーチ）
YubiKey as a Serviceは、Yubico社の物理セキュリティキー「YubiKey」を、サブスクリプション型で導入できるサービスです。株式会社インターナショナルシステムリサーチが、キー本体の提供に加えて、導入支援から運用までを一体で提供しています。
YubiKeyは、秘密鍵やPINをキー本体の内部に保持し、外部に送信しないハードウェアトークン型の認証方式です。物理的にキーを持っていなければ認証できないため、パスワードやSMS・アプリによるワンタイムパスワードと比べて、フィッシングや遠隔からの不正ログインに強いのが特徴です。スマートフォンを業務で使えない製造現場・医療・コールセンターなどでも導入できます。
サブスクリプション型のため、物理キーを買い切りで調達する場合と異なり、初期費用を抑えて運用費として導入できます。キッティング（初期設定）の代行、故障・紛失に備えた予備キーの提供、専任担当者による導入支援が含まれます。前述のCloudGate UNOと組み合わせることで、全社的に強固な多要素認証を展開できます。最低契約数は200ライセンスからで、料金は要問い合わせです。
認証強化を迫られる動きは、自社の社員に対してだけにとどまりません。同社の内田氏は、取引先を含めた対策の必要性が高まっていると指摘します。
近年はサプライチェーン対策としての需要も高まっています。経済産業省による新たなセキュリティ対策評価制度の開始を見据え、委託先の認証強化を急ぐ企業が増えています。
Network Blackbox（株式会社クワッドマイナージャパン）
ネットワークを流れる全パケットを収集・保存し、そこからサイバー脅威を検知・分析・対応するNDR（Network Detection and Response）製品が、株式会社クワッドマイナージャパンのNetwork Blackboxです。
認証の強化が「入り口」をふさぐ対策であるのに対し、Network Blackboxは侵入後の不審な通信を捉える「検知」の対策にあたります。フルパケットキャプチャを基盤に、既知の攻撃を捉えるシグネチャ検知、利用者の行為のパターンから異常を見つける検知、送受信データの内容を復元して分析する検知を組み合わせます。
外部からの侵入、内部の不審な通信、侵入後の横移動、データの持ち出しなど、ネットワーク上に痕跡が残る不正アクセスの検知と、事後の調査（フォレンジック）に対応します。
ミラーリング方式で導入するため既存のネットワークへの影響を抑えやすく、EDR（端末側の検知）やSIEM（ログ分析）とも連携できます。料金は要問い合わせで、デモの申し込みが可能です。
DZ Pass（株式会社AnchorZ）
スマートフォンのセンサーで本人確認を続ける「バックグラウンド認証」技術をWindows PCに応用したのが、株式会社AnchorZのDZ Passです。パスワードレス認証と情報漏洩対策を兼ねたソフトウェアで、本人確認を継続しながらPCへのサインインを行います。
従来のログイン認証が「使い始める前に一度だけ」本人確認するのに対し、DZ Passは使っている間ずっと本人性を確認し続ける「継続認証」である点が特徴です。顔認証とスマートフォン認証を組み合わせるスタンダードモード、顔認証のみのライトモード、既存の認証方法を維持しつつ監視機能を加えるWindows標準モードの3つから選べます。
離席時の自動ロック、本人以外の人物の映り込みを捉えるなりすまし検知、覗き見検知といった機能を備え、在宅勤務時の情報漏洩対策としても活用されています。料金は要問い合わせです。
Darktrace
Darktraceは、自己学習型AIを中核とするサイバーセキュリティのプラットフォームです。英国ケンブリッジに本社を置くDarktrace Limitedが開発し、日本法人のダークトレース・ジャパン株式会社が国内で展開しています。
組織ごとの「正常な挙動」をAIが学習し、そこからの逸脱を手がかりに、既知・未知の脅威を検知する点が特徴です。あらかじめ定めた攻撃パターン（シグネチャ）に依存しないため、新しい手口の不正アクセスや、ネットワーク内部の不審な動き、ランサムウェアの兆候などを捉えられます。ネットワークの挙動分析（NDR）を起点に、メール・クラウド・エンドポイントなどを横断して相関分析します。
検知したアラートをAIが自動で調査・優先度付けする機能や、リアルタイムで封じ込めを行う自律対処の機能も備えます。同社の発表によると、Darktrace/NETWORKは2025年・2026年のGartner Magic Quadrant for NDRでLeaderに位置づけられています。料金は監視対象のデバイス数に応じた個別見積もりです。
ここで紹介したのは、認証の強化と不審な通信の検知に役立つサービスの一部です。アクセス権限の管理や脆弱性対策なども含めて、守る対象ごとに社内のセキュリティ対策を比較しながら選びたい場合は、以下の記事もあわせてご覧ください。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
不正アクセスを規制する不正アクセス禁止法は、なりすましログイン（第3条）だけでなく、他人の認証情報の取得・提供・保管（第4〜6条）やフィッシング（第7条）も禁止しています。罰則は行為ごとに異なり、不正アクセス行為は3年以下の拘禁刑または100万円以下の罰金、準備段階の行為は1年以下の拘禁刑または50万円以下の罰金が定められています。
2012年の改正で罰則が引き上げられ、2022年の刑法改正で刑の種類が拘禁刑に変わっている点も、現行の条文で確認しておきたいところです。
企業（アクセス管理者）には、第8条で認証情報の適正な管理やアクセス制御機能の高度化が努力義務として求められています。罰則はありませんが、怠れば被害や信頼低下につながります。認証の強化・アクセス権限の管理・不審な通信の検知・脆弱性管理・従業員教育といった対策を、自社の状況に合わせて進めることが大切です。本記事で紹介したサービスの資料を見比べて、対策を具体的に動かす一歩としてください。
一括ダウンロードする
よくある質問（FAQ）
Q. 不正アクセス禁止法とは何ですか？
A. 不正アクセス禁止法は、他人のID・パスワードを使ったなりすましログインなどの「不正アクセス行為」を禁止し、違反に罰則を定めた法律です（正式名称：不正アクセス行為の禁止等に関する法律、1999年公布）。
なりすましログインそのもの（第3条）に加え、他人の認証情報の不正な取得・提供・保管（第4〜6条）や、偽サイト・偽メールで認証情報を入力させるフィッシング（第7条）も禁止しています。あわせて、システムを管理する側（アクセス管理者）に防御措置の努力義務（第8条）も定めています。
出典・参考資料（1件）
Q. 不正アクセスの罰則は懲役ですか、拘禁刑ですか？
A. 現行法の刑の種類は「拘禁刑」です。 2022年の刑法改正（2025年6月1日施行）で「懲役」と「禁錮」が「拘禁刑」に一本化されたため、現行の条文はすべて拘禁刑と表記されています。
不正アクセス行為そのもの（第3条違反）は3年以下の拘禁刑または100万円以下の罰金、取得・助長・保管・フィッシングといった準備段階の行為は1年以下の拘禁刑または50万円以下の罰金です。2025年6月1日より前の解説では「懲役」と書かれていますが、刑期や罰金額などの中身は同じです。
出典・参考資料（2件）
Q. 不正アクセス禁止法の時効（公訴時効）は何年ですか？
A. 不正アクセス行為の公訴時効は3年です。 刑事訴訟法第250条が「長期5年未満の拘禁刑又は罰金に当たる罪」の公訴時効を3年と定めており、法定刑が「3年以下の拘禁刑」の不正アクセス行為はこれにあたります（準備段階の行為や罰金のみの助長行為も同じく3年です）。
時効は犯罪行為が終わった時点から進行し、継続的に不正アクセスが行われていた場合は最後の行為の時点が起算点になります。被害の発覚が遅れることもあるため、不審なアクセスに気づいたら早めに証拠を保全し、警察へ相談してください。
出典・参考資料（1件）
Q. 家族や知人のアカウントに無断でログインするのは違法ですか？
A. 家族や知人であっても、本人の許可なく他人のID・パスワードでログインすれば、不正アクセス行為（第3条）に該当します。 親しい間柄であることは違法性をなくす理由にはならず、罰則（3年以下の拘禁刑または100万円以下の罰金）の対象になり得ます。
親しい間柄だからと軽く考えず、本人の同意なく他人のアカウントにアクセスしないことが基本です。あわせて、プライバシーの侵害として民事上の損害賠償責任を問われる可能性もあります。
Q. 不正アクセスの被害に遭った場合、慰謝料は請求できますか？
A. 不正アクセスは民法上の不法行為（民法第709条）に当たるため、加害者に対して損害賠償（慰謝料を含む）を請求できる可能性があります。
請求にあたっては、不正アクセスの事実・損害の発生・両者の因果関係を被害者側が立証する必要があり、アクセスログや取引履歴、画面のスクリーンショットなどの証拠を保全しておくことが重要です。認められる金額は被害の内容や悪質性によって異なるため、弁護士など専門家に相談しながら手続きを進めると確実です。
出典・参考資料（1件）
Q. アクセス管理者（企業）が防御措置を怠ると罰則はありますか？
A. 第8条の防御措置は「努力義務」であり、怠っても罰則はありません。 罰則を定める第11条から第13条は、いずれも第8条を対象としていないためです。
ただし罰則がないことは「対策しなくてよい」ことを意味しません。アクセス管理者が防御措置を怠って情報漏えいなどの被害が生じれば、民事上の責任や社会的な信頼の低下につながります。識別符号（ID・パスワード等）の適正な管理や、アクセス制御機能の検証・高度化は、法律が企業に期待している実務として備えておくべき対応です。
出典・参考資料（1件）
不正アクセス対策に役立つサービスの資料を一括チェック
MCB FinTechカタログでは、多要素認証・パスワードレス認証・不審な通信の検知などのセキュリティサービスの最新資料を無料で一括請求できます。自社の対策に合うサービスを資料で見比べられます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
