不正アクセス行為の禁止等に関する法律 第12条

解説

他人の ID とパスワードのリストを、使わずにスマホのメモに貼っておくだけ。これで犯罪が成立する。不正アクセス禁止法12条は、実際に他人のアカウントへ侵入する行為（3条違反、11条で3年以下）の「手前の段階」をまとめて処罰する条文だ。無断取得（4条）、他人への提供（5条）、保管（6条）、そして偽サイトやなりすましメールで入力させようとする行為（7条、いわゆるフィッシング）。侵入が一件も成功していなくても、ここで線を越えている。あなたが知っておくべきは二点。第一に、5条の提供は「相手に不正アクセスの目的があると知っていた」場合だけ12条の1年以下となり、知らずに教えた場合は13条の30万円以下の罰金に落ちるという二段構造。第二に、12条の最後の号は公務員向けで、相談を受けた警察職員の秘密漏示（9条3項）を処罰する。被害を相談する側の秘密も、同じ条文で守られている

法的な位置づけ

不正アクセス行為の禁止等に関する法律12条は、不正アクセス行為の準備段階に当たる行為を処罰する罰則規定である。識別符号の不正取得、情を知った上での不正提供、不正保管、入力の不正要求（フィッシング）及び委託事務従事者の秘密漏示の各違反を対象とし、法定刑は1年以下の拘禁刑又は50万円以下の罰金である。

こんなときに使う

• 退職時に、業務で使っていた共有アカウントの ID とパスワード一覧を自分の Gmail に送っておいた。使う気はなく「念のため」だった。これが6条の不正保管に当たり、12条の射程に入る。アクセスした痕跡がゼロでも成立する点が、多くの会社員の盲点
• 後輩から「あの人のアカウント見たいんだけど、パスワード知ってる？」と聞かれ、軽い気持ちで教えた。相手の目的を知っていれば12条2号で1年以下の拘禁刑、知らなかったなら13条で30万円以下の罰金。知っていたかどうかの境目は、LINE の前後のやり取りで判定される
• 自分が管理するサイトのログイン画面をそっくり複製し、検証目的でドメインを取って公開した。誰も騙されていなくても、他人の識別符号の入力を不正に要求する体裁が整えば7条違反となる。セキュリティ研究者が最も踏みやすい線がここにある
• もしあなたの会社の情シス担当が、退職予定者の端末から ID 一覧を見つけたとしたら？ 社内処分で済ませるか刑事告発するかの判断が、その日から始まる。保管の立証はログとファイル作成日時で足りるため、証拠は時間が経つほど相手に有利になる
• 不正アクセス被害を警察に相談し、社内のネットワーク構成や未修正の脆弱性まで説明した。あと数日で取引先への報告期限。この情報が外部に漏れたら二次被害だが、12条5号が担当職員の守秘を刑罰で裏打ちしている

取るべき行動

被害を受けた側：1. ログイン履歴、アクセス元 IP、不審メールの原文（ヘッダ込み）を保存、スクリーンショットだけでなく元データを確保する2. 全アカウントのパスワード変更と二要素認証を即日有効化3. 都道府県警察のサイバー犯罪相談窓口へ、被害の時系列を一枚にまとめて持参。相談内容は12条5号で職員の守秘義務が担保されている4. 加害者が従業員や取引先なら、民事の損害賠償（民法709条）と刑事告訴を並行で設計、就業規則上の処分も同時に検討する

訴えられた側：1. 任意同行や事情聴取の前に弁護人を確保、当番弁護士制度を使えば初回は無料2. 自分の行為がどの号に当たるか切り分ける。保管なら取得経緯、提供なら相手の目的を知っていたかが争点で、後者は12条と13条の分岐点になる3. 業務上の権限に基づく保管であった事情（指示メール、運用規程、共有フォルダの設定）を時系列で整理4. 被害が発生していない事案では、削除の実行と再発防止の報告を早期に行い、起訴前の示談と不起訴を狙う

時効（請求できる期限）：12条の罪は長期1年の拘禁刑を含むため、公訴時効は3年（刑事訴訟法250条2項）。起算点は犯罪行為が終わった時であり、保管罪は保管状態が続く限り時効が進行しないと解されるため、消さない限り古い案件も立件されうる。民事の損害賠償は損害および加害者を知った時から3年（民法724条）

改正の年表

1. 1.平成11年（1999年） 新設：不正アクセス行為の禁止等に関する法律制定。当初は識別符号の無断提供（助長行為）の処罰が中心だった
2. 2.平成24年（2012年） 改正：識別符号の不正取得・不正保管・入力の不正要求を新たに禁止し、その罰則を本条に置いた。不正アクセス行為本体の法定刑も引き上げられた
3. 3.令和4年（2022年） 改正：刑法の懲役・禁錮の一本化に伴い「懲役」を「拘禁刑」に改正（2025年6月1日施行）