不正アクセスとは ― 手口と対策

他人のIDとパスワードで勝手にログインすれば、中を見ただけでも不正アクセスです。不正アクセスとは、制限されたコンピュータをネットワーク越しに使える状態にする行為です。他人のID・パスワードを無断で使ったり、ソフトウェアの欠陥を突いたりします。日本では、不正アクセス行為の禁止等に関する法律が、この行為を禁止しています。

手口は、大きく2つに分かれます。他人の識別符号（IDやパスワードなど）を盗んで使う手口と、ソフトウェアのセキュリティホールを攻撃する手口です。どちらの手口にも、効果のある対策があります。通信を大量に送ってサービスを使えなくする攻撃は、これとは別のDoS攻撃・DDoS攻撃に分類します。

不正アクセス行為の禁止等に関する法律の第2条4項は、不正アクセス行為を3つの号で定めています。条文の「特定電子計算機」は、ネットワークに接続されたコンピュータを指します。

2号と3号は、どちらもセキュリティホールを攻撃する点で同じです。違いは、IDやパスワードなどを確かめる仕組みがどの機器にあるかです。2号は、攻撃される機器そのものがこの仕組みを持つ場合です。3号は、ネットワークでつながった別の機器がこの仕組みを受け持つ場合です。

この法律の第3条は、「何人も、不正アクセス行為をしてはならない」と定めています。違反すると、第11条により3年以下の拘禁刑又は100万円以下の罰金が科されます。第4条から第6条は、他人の識別符号を不正に取得・提供・保管する行為を禁止しています。

不正アクセスで個人データが漏えいすると、事業者は個人情報保護委員会への報告を求められる場合があります。どんな場合に報告が要るかは、個人情報保護法の記事で説明しています。

識別符号を盗む手口には、いくつかの種類があります。代表的なのは、パスワードを狙う辞書攻撃・総当たり攻撃・パスワードリスト攻撃です。

総当たり攻撃は、ありうる文字の組み合わせを片っ端から試す手口です。ブルートフォース攻撃とも呼びます。辞書攻撃は、辞書に載っている単語や、よく使われる文字列だけを試す手口です。試す数を絞っている分、総当たり攻撃より短い時間で試し終わります。

パスワードリスト攻撃は、別のサービスから漏れたID・パスワードの組を、そのまま別のサービスに試す手口です。クレデンシャルスタッフィングとも呼びます。同じID・パスワードを複数のサービスで使い回している利用者が、標的になります。仕組みと防ぎ方は、パスワードリスト攻撃の記事で詳しく説明しています。

本物のサイトを装ったページに誘い込み、IDとパスワードを入力させて盗む手口をフィッシングと呼びます。偽のサイトを見分けるには、URLやドメインを確かめます。HTTPSの証明書が保証する範囲も知っておくと役立ちます。フィッシングが不特定多数を狙うのに対し、特定の組織や人物を狙う手口を標的型攻撃と呼びます。

感染したPCでキーボードから入力した文字を記録し、盗んだIDやパスワードを攻撃者に送るマルウェアもあります。これをキーロガーと呼びます。キーロガーのほかにも、マルウェアには目的ごとにさまざまな種類があります。

どの手口も、盗んだ識別符号を使って本人になりすます点で共通しています。盗んだ識別符号を入力して使える状態にすれば、法第2条4項1号の識別符号窃用型にあたります。

ソフトウェアの欠陥のうち、攻撃に使えるものを脆弱性（セキュリティホール）と呼びます。この欠陥を突くと、識別符号を入力しなくても、制限されている利用ができる状態になります。

脆弱性を塞ぐ基本は、パッチの適用です。Webアプリの欠陥を突く代表的な手口には、SQLインジェクションやXSSがあります。自分のシステムに脆弱性が残っていないかは、脆弱性診断やペネトレーションテストで確かめます。脆弱性を突く通信を見つけて知らせたり止めたりするのが、IDSとIPSです。

攻撃者は、狙った機器に直接攻撃することもあります。一方で、別の弱い機器をあらかじめ乗っ取り、そこを経由して本来の標的を攻撃することもあります。経由に使われる機器を踏み台と呼びます。

踏み台にされた機器の持ち主は、自分が気づかないうちに、攻撃に加担してしまいます。自分の機器を踏み台にされないことも、不正アクセスへの対策の一部です。サーバの管理で使う踏み台サーバは、名前は似ていても、管理者が接続の中継のために用意するサーバです。

警察庁は、不正アクセス行為の発生状況を毎年公表しています。令和7年の認知件数は7,190件で、前年より1,832件（約34.2％）増えました。

令和7年の検挙件数は431件、検挙人員は248人でした。このうち、不正アクセス行為そのものの検挙は407件・236人で、全体の90％以上を占めます。

手口別の内訳を見ると、識別符号窃用型とセキュリティ・ホール攻撃型の差は、はっきりしています。

検挙された件数で見ると、識別符号窃用型がほとんどを占めています。この数は警察が検挙した件数で、起きた不正アクセスすべての内訳ではありません。それでも、パスワードの管理と多要素認証が欠かせないことは、この数からも分かります。パスワードが漏れても多要素認証なら、2つ目の要素が無い攻撃者はログインできません。

ここまでの手口と、その対策を1枚の図にまとめます。法律の号（1号・2号・3号）とも対応させています。

どの手口にどこまで対策するかは、組織ごとのリスクの大きさで決まります。リスクの大きさを特定・分析・評価する手順をリスクアセスメントと呼びます。その結果から、対応を選びます。

次の図で手口を1つ選ぶと、その手口に効果のある対策と、関連する記事が表示されます。