不正アクセス行為の禁止等に関する法律 第7条（識別符号の入力を不正に要求する行為の禁止）
クイックジャンプ
- 何人も、アクセス制御機能を特定電子計算機に付加したアクセス管理者になりすまし、その他当該アクセス管理者であると誤認させて、次に掲げる行為をしてはならない。ただし、当該アクセス管理者の承諾を得てする場合は、この限りでない。
- 一当該アクセス管理者が当該アクセス制御機能に係る識別符号を付された利用権者に対し当該識別符号を特定電子計算機に入力することを求める旨の情報を、電気通信回線に接続して行う自動公衆送信（公衆によって直接受信されることを目的として公衆からの求めに応じ自動的に送信を行うことをいい、放送又は有線放送に該当するものを除く。）を利用して公衆が閲覧することができる状態に置く行為
- 二当該アクセス管理者が当該アクセス制御機能に係る識別符号を付された利用権者に対し当該識別符号を特定電子計算機に入力することを求める旨の情報を、電子メール（特定電子メールの送信の適正化等に関する法律（平成十四年法律第二十六号）第二条第一号に規定する電子メールをいう。）により当該利用権者に送信する行為
この条文の基本情報
識別符号の入力を不正に要求する行為の禁止とは何ですか？
定義識別符号の入力を不正に要求する行為の禁止とは、不正アクセス行為の禁止等に関する法律第7条に定められた規定で、「何人も、アクセス制御機能を特定電子計算機に付加したアクセス管理者になりすまし、その他当該アクセス管理者であると誤認させて、次に掲げる行為をしてはならない。ただし…」と規定しています。
出典：e-Gov法令検索（デジタル庁）
- 不正アクセス行為の禁止等に関する法律第7条（識別符号の入力を不正に要求する行為の禁止）は、日本の不正アクセス行為の禁止等に関する法律に含まれる条文です。
- 不正アクセス行為の禁止等に関する法律第7条の条文原文は「何人も、アクセス制御機能を特定電子計算機に付加したアクセス管理者になりすまし、その他当該アクセス管理者であると誤認させて、次に掲げる行為をしてはならない。ただし…」で始まります。
- 不正アクセス行為の禁止等に関する法律の公布日は平成11年8月13日です。
- 不正アクセス行為の禁止等に関する法律について、LawPlayer が e-Gov法令検索から取得した令和8年4月5日時点では廃止情報はありません。
- 不正アクセス行為の禁止等に関する法律第7条の前の条は不正アクセス行為の禁止等に関する法律第6条です。
- 不正アクセス行為の禁止等に関する法律第7条の次の条は不正アクセス行為の禁止等に関する法律第8条です。
- 不正アクセス行為の禁止等に関する法律第7条には、要件・効果とよくある質問をまとめた解説が本ページにあります。
この条文を引用する
下の三行はそのまま引用に使えます（法令番号・条番号・出典・取得日を含みます）。
- 正式書式
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第7条 - 官報・e-Gov
e-Gov法令検索 https://laws.e-gov.go.jp/law/411AC0000000128 - 本サイト収録
不正アクセス行為の禁止等に関する法律（平成十一年法律第百二十八号）第7条（LawPlayer 収録、取得日 令和8年4月5日）https://lawplayer.com/jp/article/411AC0000000128/7
わかりやすく解説 AI による整理。効力は条文原文が基準です
要点不正アクセス禁止法7条は、管理者を装って ID・パスワードの入力を求める偽サイトの公開や偽メールの送信を禁止する。被害がなくても成立し、管理者の承諾があれば適用されない。
Q · 偽のログインページを作っただけで、誰も入力していなくても犯罪になるの？
なります。7条は公開・送信の行為そのものを禁じています
不正アクセス禁止法7条1号は、アクセス管理者になりすまして識別符号（ID・パスワード等）の入力を求める情報を、公衆が閲覧できる状態に置く行為を禁止しています。誰かが実際に入力したかどうかは要件ではありません。違反すると12条4号により1年以下の拘禁刑または50万円以下の罰金です。ただし、装った対象であるアクセス管理者の承諾を得ている場合は適用されません。
解説
銀行やクラウドサービスのログイン画面をそっくり真似たページを作り、ネット上に置く。あるいは「アカウント確認のためパスワードを再入力してください」というメールを本物の運営者を装って送る。この二つの行為は、不正アクセス禁止法7条で正面から禁止されている。ここであなたが押さえるべき核心は、誰のパスワードも実際には手に入っていなくても成立する点だ。7条は「置く行為」「送信する行為」そのものを禁じており、被害者が一人も引っかからなくても違反になる。しかも主体は「何人も」。ハッカーだけでなく、ページを作った受託業者、メールを配信した代行業者も射程に入る。違反には12条4号で1年以下の拘禁刑または50万円以下の罰金。検挙の起点は多くの場合、被害申告ではなく金融機関やセキュリティ事業者による偽サイト通報である。
法的な位置づけ
不正アクセス禁止法7条はフィッシング行為の禁止規定であり、アクセス管理者になりすまし又は誤認させて、利用権者に識別符号の入力を求める情報をウェブ上で公衆閲覧可能な状態に置く行為（1号）と、電子メールで送信する行為（2号）を禁ずる。主体は何人もであり、当該アクセス管理者の承諾がある場合は除外される。
手順
- 1.偽サイト・偽メールの証拠を保全する 偽サイトの URL、画面全体のスクリーンショット、HTTP レスポンスヘッダー、偽メールのヘッダー全文（メールソース）を手元に保存する。削除要請の前に行う
- 2.装われた事業者とフィッシング対策協議会へ通報 本物のアクセス管理者（銀行・サービス運営者）とフィッシング対策協議会に、保全した証拠を添えて通報する
- 3.ホスティング事業者・ドメイン登録業者へ削除要請 要請書に「不正アクセス禁止法7条違反に該当する」と明記し、該当ページの停止・削除を求める
- 4.入力済みの場合はパスワード変更と警察相談 既に入力してしまったなら、同じパスワードを使う全サービスを即時変更し、都道府県警察のサイバー犯罪相談窓口へ届け出る。実害があれば詐欺被害もあわせて申告する
よくある質問 AI による整理
Q1フィッシング行為とは何ですか？
正規の事業者を装い、偽サイトや偽メールで ID・パスワードを入力させようとする行為です。日本では不正アクセス禁止法7条で禁止されています。
Q2フィッシングサイトを作ると何罪になりますか？
不正アクセス禁止法7条違反で、12条4号により1年以下の拘禁刑または50万円以下の罰金です。金銭をだまし取れば刑法の詐欺罪も問題になります。
Q3フィッシング罪の時効はいつまでですか？
7条違反の法定刑は1年以下の拘禁刑等のため、公訴時効は3年です（刑事訴訟法250条2項）。起算点は行為が終わった時です。
Q4フィッシングメールを転送するだけで違法？
注意喚起や通報のための転送は、管理者になりすます目的ではないため通常は該当しません。ただし内容を自ら装って第三者に入力を求めれば別です。
Q5偽サイトを作るよう依頼された制作会社も処罰されますか？
主体は「何人も」なので、事情を知って公開状態に置いた受託者自身も7条違反の主体になりえます。発注を受けただけという立場は免責理由になりません。
Q6フィッシングの訓練メールは違法ですか？
自社システムを装う訓練なら自社が管理者で問題は小さいです。外部の銀行や SaaS を装う場合は、その事業者の承諾がなければ7条但書の免責が働きません。
Q7フィッシングサイトを見つけたらどこに通報しますか？
装われた事業者、フィッシング対策協議会、ホスティング事業者に通報し、都道府県警察のサイバー犯罪相談窓口にも相談します。通報前に証拠保全を。
Q8フィッシングで逮捕された例はありますか？
警察庁は不正アクセス禁止法違反の検挙状況を毎年公表しており、7条違反での検挙も含まれます。個別の件数は警察庁の公表資料で確認してください。
この条文についての質問 AI による整理
Q1一人も引っかからなかった偽サイトでも捕まるんですか？
捕まる。7条1号は「公衆が閲覧することができる状態に置く行為」自体を禁止しており、入力されたかどうかは成立要件ではない。罰則は12条4号で1年以下の拘禁刑または50万円以下の罰金。実務のポイント：実務では被害申告より先に、金融機関やセキュリティ事業者の監視で偽サイトが発見され、そこから立件が始まるケースが多い。被害者が出ていないから通報されないという前提が、そもそも成り立っていない
Q2社内のフィッシング訓練で取引銀行のメールを真似るのは問題ないですよね？
問題になりうる。但書が免責するのは「当該アクセス管理者の承諾を得てする場合」であり、装う対象が自社ではなく銀行なら、承諾を取る相手はその銀行である。送信先が自社社員だけでも7条2号の構造は変わらない。実務のポイント：訓練サービスを提供するベンダーは、通常は実在他社名を使わず架空ブランドや自社ドメインの文面を用いる。この設計理由が7条であることを説明しないベンダーもいる。契約前に文面の設計方針を確認する
Q3デザイン確認用に本物そっくりのログイン画面を一時的に公開しただけでもダメですか？
公開範囲と装い方次第で7条1号に触れる。アクセス管理者になりすまし、識別符号の入力を求める情報を公衆閲覧可能にした点が要件であり、目的の善悪は構成要件に書かれていない。実務のポイント：実務の防御線は、Basic 認証や IP 制限で「公衆が閲覧できる状態」を作らないこと、そしてロゴと正規ドメイン表記を外すこと。この二つの作業記録が残っているかどうかで、事情聴取での説明力が大きく変わる
Q4偽サイトを見つけたとき、警察に言う前にできることはありますか？
ある。装われた事業者本体とフィッシング対策協議会への通報、ホスティング事業者やドメイン登録業者への削除要請を並行して行う。要請書に7条違反該当を明記すると対応が早い。実務のポイント：削除されると画面証拠も同時に消える。通報前に URL、全画面スクリーンショット、HTTP レスポンスヘッダーを自分の手元に保全しておく。後で民事請求や刑事告訴をする段階で、消えた証拠は復元できない
間違えやすい点 AI による整理
- 「誰も騙されなかったのだから罪にならない」という理解は、条文の構造を取り違えている。7条は結果ではなく行為を禁じる。偽サイトの公開、偽メールの送信が完了した時点で違反が成立し、被害者がゼロでも12条4号の処罰対象になる
- 「フィッシングは違法だと知っている」という人は多いが、主体が「何人も」であることの重さを見落としている。実行犯だけでなく、画面を作った制作会社、文面を書いたライター、配信を担当したメール代行業者も、事情を知っていれば自ら7条の主体になりうる。発注されただけという立場は自動的な免罪符ではない
- 自社のセキュリティ訓練なら自由にできる、という発想は前提から誤っている。但書が免責するのは「当該アクセス管理者の承諾」がある場合。装う対象が自社システムなら自社が管理者なので問題は小さいが、取引銀行や外部 SaaS を装った瞬間、承諾を取る相手は自社ではなくその事業者になる
- あなたから見れば「デザイン確認用の一時ページ」でも、条文から見れば「識別符号の入力を求める情報を公衆閲覧可能な状態に置く行為」である。この落差が、悪意のない技術者を被疑者にする
| 比較の観点 | この条文 | ほかの条文 |
|---|---|---|
| 禁止される段階 | 7条：識別符号の入力を求める偽サイト公開・偽メール送信（準備段階） | 4条：他人の識別符号を不正に取得する行為（取得段階） 6条：不正に取得された識別符号を保管する行為（保管段階） |
| 被害（入力）の要否 | 不要。公開・送信した時点で成立 | 識別符号を実際に取得したことが必要 不正取得された識別符号を保管していることが必要 |
| 目的要件 | なし（なりすまし・誤認と入力要求の内容で限定） | 不正アクセス行為の用に供する目的 不正アクセス行為の用に供する目的 |
| 罰則 | 12条4号：1年以下の拘禁刑または50万円以下の罰金 | 12条：1年以下の拘禁刑または50万円以下の罰金 12条：1年以下の拘禁刑または50万円以下の罰金 |
他国ではどう定めているか 4 か国
台湾にはフィッシングの準備段階を独立に処罰する規定はなく、詐欺の加重類型や入侵電腦罪で事後的に対応する点で日本7条より処罰時点が遅い
韓国は情報通信網法で欺罔による情報収集を禁止し、収集の誘引行為も規律する点で日本7条と機能が近い
ドイツは偽サイト・偽メールを証拠的データの偽造として処罰する解釈が中心で、独立のフィッシング罪は置いていない
米国は連邦の独立したフィッシング罪はなく、CFAA や州法（カリフォルニア州 Anti-Phishing Act）で対応する
AI による対応参考であり、公式の対照ではありません。各国の原文が基準です
想定される場面と対応 AI による整理
こんなときに使う
- 社内の情報リテラシー研修で「訓練用フィッシングメール」を自作し、自社ドメインではなく取引銀行を装った文面で全社員に送った。アクセス管理者（その銀行）の承諾がなければ、7条但書の免責は働かない。善意の訓練が、条文上は禁止行為そのものになる
- もし、発注元から「ログイン画面のデザイン確認用に本番そっくりの検証ページを公開しておいて」と頼まれ、実在サービスのロゴ入りで一時的にネットに上げたとしたら？ 7条1号の「公衆が閲覧することができる状態に置く行為」に該当する余地がある。受託者であるあなた自身が主体になる
- 友人から「拾った ID でログインを試すツールの宣伝サイトを作るんだけど」と相談された。あなたが止めるべき理由は5条だけではない。入力を求める画面を置けば7条、保管すれば6条、取得すれば4条。入口ごとに別条文が待っている
- 偽サイトを一日だけ公開し、すぐ閉じた。アクセスログは消した。それでも Internet Archive とセキュリティ各社のクロール記録が残る。削除は成立を消さない
- 社員が業務端末から偽メールを一斉送信した疑いが浮上し、警察から照会が来るまであと数日。ログの保全、送信元の特定、委託先との責任分配。社内調査を動かす順番を今日決めないと、会社の管理責任の説明がつかなくなる
取るべき行動
被害を受けた側：1. 偽サイトの URL、画面全体のスクリーンショット、偽メールのヘッダー情報（送信元 IP が分かる全文）を保全する。Gmail なら「メッセージのソースを表示」で取得2. 正規のアクセス管理者（装われた事業者）とフィッシング対策協議会へ通報、同時にホスティング事業者へ7条違反を明記した削除要請3. 既に入力してしまったなら、該当パスワードと同一パスワードを使っている全サービスを即変更4. 都道府県警のサイバー犯罪相談窓口へ届出。実害が出ていれば刑法246条の詐欺もあわせて申告
訴えられた側：1. 争点は三つ。アクセス管理者になりすましたか、識別符号の入力を求める情報だったか、承諾があったか。この三点について時系列で事実を整理する2. 承諾がある、または装った対象が自社システムであれば但書で免責を主張3. 受託側なら、発注書・指示チャット・公開範囲の設定記録を保全。自ら公開状態に置いたのか、発注元の指示でどこまで関与したかが責任分配を決める4. 任意の照会段階で弁護人を入れ、供述前に事実関係を確定させる
時効（請求できる期限）：7条違反の罰則は12条4号で1年以下の拘禁刑または50万円以下の罰金。長期5年未満の拘禁刑に当たる罪なので公訴時効は3年（刑事訴訟法250条2項）、起算点は行為が終わった時。民事の損害賠償は民法724条により損害および加害者を知った時から3年、行為時から20年（最新の改正状況をご確認ください）
学説
立法趣旨に基づく一般的理解：7条は識別符号の不正取得（4条）に先行する準備段階を独立に処罰する抽象的危険犯的な規定であり、なりすまし・誤認と入力要求という二要件と但書の承諾により、正当な技術活動への萎縮を抑える構造とされる。
改正沿革 AI による整理
- 平成24年（2012年）改正 いわゆるフィッシング行為を正面から禁止する条文として新設。従来は識別符号を実際に取得・使用した段階でしか処罰できなかったが、偽サイトの公開と偽メールの送信という準備段階を独立の禁止行為とした
改正の年表
- 1.平成11年（1999年） 新設：不正アクセス行為の禁止等に関する法律制定。当初は不正アクセス行為と識別符号の無断提供を中心に規律
- 2.平成24年（2012年） 新設：改正により識別符号の不正取得・保管とともにフィッシング行為の禁止規定（7条）を新設。偽サイト公開・偽メール送信という準備段階を処罰対象とした
- 3.令和4年（2022年） 改正：刑法等の一部改正に伴う整理で、罰則の「懲役」が「拘禁刑」に改められた（2025年6月1日施行）
- 不正アクセス行為の禁止等に関する法律 第2条アクセス管理者・識別符号・アクセス制御機能の定義
- 不正アクセス行為の禁止等に関する法律 第3条フィッシングで得た符号を使う段階の禁止
- 不正アクセス行為の禁止等に関する法律 第4条識別符号の不正取得の禁止、取得段階の併発
- 不正アクセス行為の禁止等に関する法律 第6条不正に取得した符号の保管の禁止
- 不正アクセス行為の禁止等に関する法律 第12条本条違反に1年以下の拘禁刑等を科す罰則
- 刑法 第246条騙取して財産を得た段階の詐欺罪が別途成立
- 特定電子メールの送信の適正化等に関する法律 第2条本条2号の電子メール概念を借用する定義
- 刑法 第168条の2不正指令電磁的記録に関する罪との併発場面
ログインすると、この条文にメモを残して他の利用者と共有できます。
ログインして共同ノートを始める出典：e-Gov法令検索（デジタル庁）。AI による解説は理解の補助であり、法的効力は条文原文が基準です。