不正アクセス行為の禁止等に関する法律 第2条（定義）

解説

パスワードを技術的に「破った」かどうかは、犯罪が成立するかどうかと関係がない。以前に聞いたパスワードでも、付箋に書いてあったパスワードでも、本人の承諾なく他人のIDとパスワードを入力してログインした瞬間に、本条4項1号の「不正アクセス行為」が成立する。中身を一行も読まなくても、データを何も持ち出さなくても、「制限されている特定利用をし得る状態」（本来は鍵がかかっていて使えない機能が使える状態）になった時点で既遂である。逆に、パスワードも生体認証もかかっていない領域を開いても、原則としてこの法律の対象外になる。本条は、アクセス管理者、識別符号、アクセス制御機能、不正アクセス行為という4つの定義を積み上げて、「誰の鍵を」「どの扉に」「誰の許可なく」差し込んだかで線を引いている。罰則は11条で、3年以下の拘禁刑又は100万円以下の罰金である。浮気調査でも、退職時のデータ回収でも、脆弱性の発見でも、この線の位置を知っているかどうかで結果が分かれる。

法的な位置づけ

不正アクセス行為とは、アクセス制御機能を有する特定電子計算機に対し、電気通信回線を通じて他人の識別符号、または制限を免れる情報・指令を入力し、アクセス管理者等の承諾なく、制限された特定利用をし得る状態にさせる行為をいう。不正アクセス禁止法2条4項が、1号から3号までの3類型として定める。

こんなときに使う

• 配偶者のスマホに届く通知が気になり、以前盗み見たApple IDのパスワードで自分のiPadからログインしたら、どうなる？ 中身を見る前でも、ログインが通った時点で本条4項1号に当たり、11条の処罰対象になる。離婚調停で証拠として出したとたん、相手方は刑事告訴という強力なカードを手に入れる
• 退職日まで残り3日。辞めた後に同僚のIDで顧客管理システムに入れば、同僚本人も会社も承諾していない限り1号の不正アクセスになる。「自分が作ったデータを取り戻しただけ」という理屈は通らない
• 自社ECサイトの検証中に、URLのパラメータを一つ書き換えたら、他の会員のマイページが開いてしまった。善意のエンジニアでも、認証による制限を迂回して特定利用ができる状態にした以上、2号・3号の問題に直面しうる。どこで手を止め、誰に報告したかの記録が自分を守る

取るべき行動

被害を受けた側：1. ログイン履歴、不審な送信履歴、設定変更の通知メールを日時付きで保存する2. その後にパスワードを変更して二段階認証を設定し、使い回している他サービスもすべて変える3. 都道府県警察のサイバー犯罪相談窓口に相談する。本罪は非親告罪（被害者の告訴がなくても起訴できる罪）なので、加害者が家族でも捜査対象になる4. 損害があれば民法709条で賠償請求を検討し、加害者の特定は弁護士会照会や捜査機関への情報提供で進める

訴えられた側：1. ログインした当時、利用権者本人または管理者の承諾があったことを示すもの（メッセージ等）を確保する。これは1号の除外事由になる2. 認証のない領域へのアクセスだったなら、アクセス制御機能が存在しなかったと主張できる余地がある3. 警察から連絡が来たら、供述する前に弁護士に相談する4. 非親告罪だが、被害者との示談は起訴猶予の判断材料になる5. 取得したデータを独断で消去しない。証拠隠滅を疑われる

時効（請求できる期限）：不正アクセス罪（3条違反、11条）の公訴時効は3年（刑事訴訟法250条2項6号）で、ログイン行為の時点から起算する。ログインのたびに別個の罪が成立しうる。民事の損害賠償請求権は、損害及び加害者を知った時から3年、行為の時から20年で消滅する（民法724条）

学説

通説：本法の保護法益は個々の情報の秘密ではなく、アクセス制御機能に対する社会的な信頼、つまり電気通信に関する秩序である。そのため、ログインに成功した時点で既遂となる抽象的危険犯と理解される。

改正の年表

1. 1.平成11年（1999年） 新設：平成11年法律第128号として制定され、2000年2月に施行された。アクセス管理者・識別符号・アクセス制御機能の定義を置いた。
2. 2.平成24年（2012年） 改正：平成24年法律第12号による改正。不正アクセス行為の定義を2条4項に集約し、識別符号の不正取得・保管、フィッシング行為の禁止を新設した。