不正アクセス行為の禁止等に関する法律 第4条（他人の識別符号を不正に取得する行為の禁止）
クイックジャンプ
何人も、不正アクセス行為（第二条第四項第一号に該当するものに限る。第六条及び第十二条第二号において同じ。）の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得してはならない。
この条文の基本情報
他人の識別符号を不正に取得する行為の禁止とは何ですか？
定義他人の識別符号を不正に取得する行為の禁止とは、不正アクセス行為の禁止等に関する法律第4条に定められた規定で、「何人も、不正アクセス行為（第二条第四項第一号に該当するものに限る。」と規定しています。
出典：e-Gov法令検索（デジタル庁）
- 不正アクセス行為の禁止等に関する法律第4条（他人の識別符号を不正に取得する行為の禁止）は、日本の不正アクセス行為の禁止等に関する法律に含まれる条文です。
- 不正アクセス行為の禁止等に関する法律第4条の条文原文は「何人も、不正アクセス行為（第二条第四項第一号に該当するものに限る。」で始まります。
- 不正アクセス行為の禁止等に関する法律の公布日は平成11年8月13日です。
- 不正アクセス行為の禁止等に関する法律について、LawPlayer が e-Gov法令検索から取得した令和8年4月5日時点では廃止情報はありません。
- 不正アクセス行為の禁止等に関する法律第4条の前の条は不正アクセス行為の禁止等に関する法律第3条です。
- 不正アクセス行為の禁止等に関する法律第4条の次の条は不正アクセス行為の禁止等に関する法律第5条です。
- 不正アクセス行為の禁止等に関する法律第4条には、要件・効果とよくある質問をまとめた解説が本ページにあります。
この条文を引用する
下の三行はそのまま引用に使えます（法令番号・条番号・出典・取得日を含みます）。
- 正式書式
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第4条 - 官報・e-Gov
e-Gov法令検索 https://laws.e-gov.go.jp/law/411AC0000000128 - 本サイト収録
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第4条（LawPlayer 収録、取得日 令和8年4月5日）https://lawplayer.com/jp/article/411AC0000000128/4
わかりやすく解説 AI による整理。効力は条文原文が基準です
要点不正アクセス禁止法4条は、不正アクセスに使う目的で他人のID・パスワード等の識別符号を取得する行為を禁じる。ログインしなくても成立し、罰則は1年以下の拘禁刑または50万円以下の罰金。
Q · 他人のIDとパスワードを手に入れただけで、まだログインしていなくても犯罪になるの？
ログインしなくても、悪用目的で取得した時点で違法です
不正アクセス禁止法4条は、他人の識別符号を入力する型の不正アクセス（2条4項1号）に使う目的で、他人のIDやパスワード等を取得する行為そのものを禁じています。実際にログインしたかどうかは問われません。違反すると12条1号により1年以下の拘禁刑または50万円以下の罰金が科されます。ただし目的犯であるため、業務上の正当な管理や研究目的など、不正アクセスに使う目的がなければ本条には該当しません。
解説
同僚のパソコンに貼られた付箋にIDとパスワードが書いてある。写真を撮ってスマホに保存した。ログインは一度もしていない。それでも、この時点であなたは不正アクセス禁止法4条に触れている可能性がある。本条が禁じているのは「アクセス」ではなく「取得」である。他人の識別符号（ID、パスワード、暗証番号など、本人を識別するための符号）を、不正アクセスに使う目的で手に入れる行為そのものが独立した違法行為として切り出されており、12条2号により1年以下の拘禁刑または50万円以下の罰金が科される。つまり刑事責任の起算点は「侵入した瞬間」ではなく、はるか手前の「手に入れた瞬間」にある。逆にあなたが被害者側なら、相手がまだ何もしていなくても、取得の事実だけで警察に持ち込める材料がある。この前後関係を知っているかどうかで、動けるタイミングが数週間から数か月ずれる。
法的な位置づけ
不正アクセス禁止法4条は識別符号の不正取得を禁止する規定であり、他人の識別符号を入力して行う不正アクセス行為（同法2条4項1号）の用に供する目的で、アクセス制御機能に係る他人の識別符号を取得する行為を禁じる。侵入行為（3条）に先立つ準備段階を独立して処罰する目的犯の構成要件である。
よくある質問 AI による整理
Q1識別符号とは何ですか？
アクセス管理者が利用者を識別するために定めたID・パスワード、暗証番号、指紋や虹彩などの生体情報等の符号です。不正アクセス禁止法2条2項が定義しています。
Q2パスワードを盗み見しただけで逮捕されますか？
不正アクセスに使う目的での取得と認められれば4条違反になり得ます。ただし記憶しただけの段階では目的の立証が難しく、保存・使用など外形的事情が重視されます。
Q3不正アクセス禁止法4条の罰則はどれくらい？
12条1号により、1年以下の拘禁刑または50万円以下の罰金です。侵入行為そのもの（3条違反）は3年以下の拘禁刑または100万円以下の罰金とより重くなります。
Q4パスワード取得の公訴時効はいつまで？
法定刑が1年以下の拘禁刑のため、公訴時効は犯罪行為が終わった時から3年です（刑事訴訟法250条2項）。社内で放置すると告訴の時間的余裕がなくなります。
Q5退職者がアカウント情報を持ち出したら違法？
退職後に不正アクセスに使う目的が認められれば4条、保存していれば6条に該当し得ます。顧客情報なども含めば不正競争防止法の営業秘密侵害と並行して検討されます。
Q6パスワードを不正取得されたら警察に相談できる？
ログイン被害が出る前でも相談できます。取得の経緯を示すスクリーンショットや送信記録、アクセスログを保全したうえで、都道府県警察のサイバー犯罪相談窓口へ持ち込むのが有効です。
Q7脆弱性を突く攻撃のための情報収集も4条違反？
4条は括弧書きで2条4項1号型（他人の識別符号を入力する型）に限定しており、セキュリティホールを突く型（同項2号・3号）のための情報取得は本条の射程外です。
Q8パスワードの取得と保管は別の犯罪ですか？
別の条文です。取得は4条、不正に取得された識別符号の保管は6条で、それぞれ独立に処罰されます。いずれも12条により1年以下の拘禁刑または50万円以下の罰金です。
この条文についての質問 AI による整理
Q1友達が自分のNetflixのIDとパスワードを教えてくれたんですけど、これも違法なんですか？
4条は「不正アクセス行為の用に供する目的」での取得を禁じており、本人の承諾があっても、アクセス管理者であるサービス側が認めていない利用は不正アクセス行為（3条）になりえます。実務のポイント：実務で刑事事件化するのは、規模・反復性・対価性があるケースにほぼ限られます。摘発されにくいのと合法なのは別物で、アカウント停止や規約違反による損害賠償という民事ルートの方が現実的なリスクです
Q2流出したパスワードリストをセキュリティ研究で分析しています。違法になりますか？
4条は目的犯なので、不正アクセスに使う目的がなければ構成要件を満たしません。ただし保管についても6条があり、目的の立証は外形から推認されます。実務のポイント：研究目的を主張する側が実務で最初に問われるのは、所属機関の承認文書・取扱い規程・アクセス制限の有無です。分析を始める前に承認と取扱い記録を作っておくかどうかで、立場の強さが根本的に変わります
Q3部下のパスワードを管理者として把握しているのは問題ないですか？
アクセス管理者自身が管理業務として把握することは、2条の構造上そもそも「他人の識別符号の不正取得」とは性質が違います。問題になるのは、権限を離れた目的や私的利用に転用した場合です。実務のポイント：実務の分水嶺は規程の有無です。パスワードリセット権限の運用規程と操作ログがあれば管理行為、なければ個人的取得と見られる。規程一枚が管理者自身を守る盾になります
Q4パスワードを盗み見られただけで、警察は動いてくれますか？
記憶しただけで保存も使用もない段階では、目的の立証が難しく捜査が進みにくいのが現実です。一方で、保存されていれば6条、入力させようとすれば7条が重なります。実務のポイント：相談の入口を「盗み見」ではなく「アクセス管理者としてログを保全した上での取得事実の申告」に組み替えると、担当部署の受け止めが変わります。被害者個人ではなく管理者として持ち込むのがコツです
間違えやすい点 AI による整理
- 「実際にログインしていないのだから何も罪にならない」という理解は前提そのものが外れている。問うべきは「入ったか」ではなく「不正アクセスに使う目的で手に入れたか」である。4条は取得を、6条は保管を、7条は入力を不正に要求する行為（フィッシング）をそれぞれ独立に禁じており、侵入は3条という別の条文の話にすぎない
- 4条があらゆる不正アクセスの準備行為を覆っていると思われがちだが、条文は括弧書きで「第二条第四項第一号に該当するものに限る」と限定している。つまり対象は他人の識別符号を入力する型の不正アクセスだけで、セキュリティホールを突く型（同項2号、3号）のための情報取得は4条の射程外である。この限定を読み飛ばすと、捜査機関も弁護側も見立てを誤る
- 「パスワードを教えてもらったのだから正当だ」と考える人は多い。だが本条が守っているのは教えた同僚の意思ではなく、アクセス管理者（システムの管理権限を持つ会社やサービス提供者）の管理権である。同僚から見れば善意の共有、法から見れば管理者の同意なき識別符号の移転。この落差が、善意のまま懲戒と刑事責任の両方を招く
- 罰金50万円だから軽いと受け止められているが、量刑の軽重と人生への打撃は別物である。有罪となれば前科が残り、金融・警備・公務・士業のように欠格事由や内部審査が厳しい職種では復帰経路が実質的に閉じる。軽い条文ほど、深刻さが見落とされる
| 比較の観点 | この条文 | ほかの条文 |
|---|---|---|
| 禁止される行為 | 4条：他人の識別符号の取得 | 3条：不正アクセス行為（侵入）そのもの 6条：不正に取得された識別符号の保管 |
| 主観的要件 | 不正アクセス行為（2条4項1号型）の用に供する目的が必要 | 侵入行為の故意 不正アクセス行為の用に供する目的が必要 |
| 処罰段階 | 侵入前の準備段階（上流） | 侵入の実行段階 取得後の所持・保存段階 |
| 法定刑 | 1年以下の拘禁刑または50万円以下の罰金（12条1号） | 3年以下の拘禁刑または100万円以下の罰金（11条） 1年以下の拘禁刑または50万円以下の罰金（12条） |
他国ではどう定めているか 4 か国
台湾は他人の帳号密碼を入力して侵入する行為を処罰するが、侵入前の取得段階を独立に処罰する規定は置いていない点で日本より処罰時点が後ろにある
韓国は情報通信網への侵入と、欺罔による他人情報の収集（フィッシング）を規律する
ドイツはデータ探知の準備としてパスワード等を入手する行為を処罰し、日本4条と同じく準備段階の前倒し処罰の構造を持つ
米国連邦法はパスワードの不正流通（trafficking）を処罰する。単純な取得よりも流通行為に焦点がある
AI による対応参考であり、公式の対照ではありません。各国の原文が基準です
想定される場面と対応 AI による整理
こんなときに使う
- 退職予定の社員が、引き継ぎを口実に部署全員のアカウント一覧をエクスポートして個人のクラウドに保存した。まだ誰のアカウントにも入っていない。それでも「退職後に使う目的」が立証できれば4条に該当しうる。会社側は不正競争防止法の営業秘密侵害と並行して、本条での被害届を検討できる
- もしあなたが、交際相手のスマホのロック解除パスコードを寝ている間にのぞき見て覚えたとしたら、どうなるか。それ自体を4条で問うには「不正アクセス行為の用に供する目的」が必要だが、その後SNSに無断ログインすれば3条違反が加わり、取得段階まで遡って評価される。後からの行動が、前の取得の目的を推認させる
- あなたが被告人側に立つ場面。フィッシングで流出したIDパスワードのリストを、セキュリティ研究のためにダークウェブからダウンロードした。あなたの主張は「研究目的」。検察の主張は「不正アクセスの用に供する目的」。本条の構成要件は目的犯であり、勝負は技術論ではなく、あなたのメモ・通信履歴・所属先への報告記録が示す目的の証明に移る
- 部下が上司のパスワードを知っていると自分から打ち明けてきた。あなたは管理者として動くべきか。3文で終わる判断だ。知っているだけでは足りないが、保存していれば6条の保管罪も視野に入る
- 社内調査で従業員の不正取得が判明した。懲戒と刑事告訴を同時に進めたいが、12条2号の法定刑は1年以下の拘禁刑であり、公訴時効は3年（刑事訴訟法250条2項）。社内でもみ消して2年半放置した案件は、告訴しようとした時点で残り時間が半年を切っている
取るべき行動
被害を受けた側：1. 取得された疑いのある識別符号を直ちに変更し、変更前後の時刻を記録する（侵入の有無を時系列で切り分けるため） 2. アクセス管理者としてログを保全。多くのサービスのログ保存期間は数か月で、放置すると消える3. 相手がまだ侵入していなくても、取得の経緯を示す証拠（スクリーンショット、送信履歴、持ち出し記録）をまとめて警察のサイバー犯罪相談窓口へ4. 社内案件なら、懲戒と刑事告訴のどちらを先に動かすか方針を決めてから本人に接触する
訴えられた側：1. 4条は目的犯である。争点は「取得したか」ではなく「不正アクセス行為の用に供する目的があったか」なので、まず目的を否定できる客観的資料（業務指示、研究計画、上司への報告、取得後の取扱い）を集める2. 手元に残っている識別符号は、独断で消す前に弁護人と相談する。証拠隠滅と評価されうる3. 括弧書きの限定（2条4項1号型に限る）に当たるかを確認。射程外なら構成要件自体を争える4. 事実関係を認める場合は、被害者側への謝罪と再発防止の記録を早期に作る
時効（請求できる期限）：12条2号の法定刑は1年以下の拘禁刑または50万円以下の罰金であり、公訴時効は犯罪行為が終わった時から3年（刑事訴訟法250条2項）。民事の損害賠償請求は、損害および加害者を知った時から3年（民法724条）。いずれも最新の改正状況をご確認ください
学説
一般的理解：4条は侵入行為（3条）の危険を前倒しして処罰する抽象的危険犯的な準備行為処罰規定であり、処罰範囲の過度な拡大を防ぐため、目的要件と2条4項1号型への限定によって射程が絞られていると理解されている。
改正沿革 AI による整理
改正の年表
- 1.平成11年（1999年） 新設：不正アクセス行為の禁止等に関する法律制定。当初は侵入行為と識別符号の提供による助長行為を中心に規律
- 2.平成24年（2012年） 改正：フィッシング等の増加を受けた改正により、識別符号の不正取得の禁止（現4条）、不正保管の禁止（6条）、入力要求の禁止（7条）を新設し、罰則を整備
- 3.令和4年（2022年） 改正：刑法等の一部改正に伴う整理により、罰則の懲役が拘禁刑に改められた（2025年6月1日施行）
- 不正アクセス行為の禁止等に関する法律 第2条識別符号と不正アクセス行為の定義、本条の射程を限定
- 不正アクセス行為の禁止等に関する法律 第3条侵入行為そのものの禁止、本条の前倒し対象
- 不正アクセス行為の禁止等に関する法律 第5条識別符号を第三者に提供する助長行為の禁止
- 不正アクセス行為の禁止等に関する法律 第6条不正取得された識別符号の保管の禁止
- 不正アクセス行為の禁止等に関する法律 第12条本条違反の罰則、1年以下の拘禁刑または50万円以下の罰金
- 刑法 第168条不正指令電磁的記録取得罪との競合関係（168条の3、現行効力を要確認）
- 不正競争防止法 第2条識別符号持出しが営業秘密不正取得と重なる場合の併用
- 個人情報の保護に関する法律 第26条識別符号漏えい時の委員会報告・本人通知義務
ログインすると、この条文にメモを残して他の利用者と共有できます。
ログインして共同ノートを始める出典：e-Gov法令検索（デジタル庁）。AI による解説は理解の補助であり、法的効力は条文原文が基準です。