守られるのはアクセス制御という「電子の門」

この法律が中心に置くのは、コンピュータに設けられたアクセス制御です。アクセス制御とは、利用者を識別し、許可された人だけに特定の機能や情報を使わせる仕組みを指します。IDとパスワードによるログインが典型ですが、識別に使われるものはそれだけとは限りません。

法律上の対象になるには、コンピュータが通信回線につながり、アクセス制御によって利用が制限されていることが重要です。インターネット上のサービスだけでなく、外部のインターネットから切り離された組織内ネットワークも含まれます。一方、ネットワークにつながっていない端末を直接操作する行為は、無断使用として別の問題になり得ても、この法律が定める「不正アクセス行為」には当たりません。

不正なログインによって情報を見られれば情報セキュリティの3要素の機密性が損なわれ、書き換えや削除が行われれば完全性や可用性も脅かされます。そこで、情報を盗んだ後だけでなく、アクセス制御を破って利用できる状態にする行為そのものが禁止されています。

不正アクセスには二つの入口がある

第一の入口は、他人に割り当てられた「識別符号」を無断で入力する方法です。識別符号とは、アクセス管理者が利用者を区別するために用いる情報で、ID・パスワードの組合せなどが当てはまります。たとえ本人から以前にパスワードを聞いたことがあっても、現在の承諾なく本人になりすましてログインしてよいことにはなりません。

第二の入口は、プログラムの不備や設定ミスなどの弱点を突き、識別符号を入力せずに利用制限を回避する方法です。特殊なデータや命令を送って、本来は許可されていない機能を使える状態にする行為が該当します。つまり、この法律は「パスワードを盗んだ場合」だけを扱うものではありません。

どちらの場合も、アクセス管理者自身が行う保守作業や、管理者の承諾を得たセキュリティ検査まで一律に禁止する仕組みではありません。境目になるのは、技術に詳しいか、目的を面白半分と説明するかではなく、そのアクセスを行う正当な権限があるかどうかです。

ログインする前の取得・提供・保管も禁止される

被害を防ぐには、侵入に成功した時点だけを取り締まっても十分ではありません。そのため法律は、不正アクセスに使う目的で他人の識別符号を取得する行為、不正に取得された識別符号をその目的で保管する行為、正当な理由なく他人へ提供する行為も禁止しています。実際にログインする前の段階でも、目的や状況に応じて規制の対象になります。

さらに、正規のサービスを装った偽サイトを公開したり、正規の管理者からの連絡だと誤認させる電子メールを送ったりして、識別符号の入力を求める行為も禁止されています。これは一般にフィッシングと呼ばれる手口です。人をだまして秘密情報を引き出すソーシャルエンジニアリングと結び付くことが多く、入力されたパスワードがまだ悪用されていなくても、偽の入力要求自体が問題になります。

ただし、偶然に他人のパスワードを目にしただけで、直ちにすべての禁止行為が成立するわけではありません。取得や保管については、認識や不正アクセスに用いる目的などが要件になります。個別の出来事がどの規定に当たるかは、行為と目的を分けて判断する必要があります。

「身近な相手のアカウントなら軽い」は誤解

対象となるコンピュータは、企業や官公庁の大規模なサーバに限られません。個人向けのSNS、ウェブメール、オンラインストレージなどでも、通信回線を通じてアクセス制御を無断で突破すれば対象になり得ます。相手が家族や知人であることや、パスワードを推測できたことは、それだけで承諾の代わりにはなりません。

また、「中のデータを変更していないから問題ない」という理解も正しくありません。アクセス制御を解除して利用できる状態にした時点で、不正アクセス行為となり得ます。その後にデータの取得、改ざん、金銭の移動などがあれば、別の犯罪が成立する可能性もあります。不正アクセス禁止法は、コンピュータを使ったあらゆる違法行為を一つで扱う法律ではなく、アクセス制御を破る行為と、その準備につながる一定の行為に焦点を当てています。

正式名称の「禁止等」には防御も含まれる

一般には「不正アクセス禁止法」と呼ばれますが、正式名称は「不正アクセス行為の禁止等に関する法律」です。「等」が付くのは、違反者を処罰する規定だけで完結していないためです。アクセスを管理する側にも、識別符号を適切に管理し、アクセス制御が有効に働いているか確かめ、必要に応じて機能を高めるよう努めることが定められています。

この点から、法律の狙いは「侵入した人を罰する」だけではなく、不正アクセスが起こりにくい通信環境を整えることにもあると分かります。利用者の権限を削除し忘れないこと、弱点を修正すること、記録を確認することなど、管理する側の継続的な対策も欠かせません。

法律を知ることとアカウントを守ることは別の対策

法律による禁止は被害の抑止や事後の対応に必要ですが、それだけでパスワードの流出を技術的に止められるわけではありません。利用者側では、サービスごとに異なる推測されにくいパスワードを使い、可能なら多要素認証を有効にします。多要素認証は、パスワード以外の要素も組み合わせて本人確認を行うため、パスワードだけが知られた場合の不正ログインを防ぎやすくします。

ログイン通知や利用履歴に覚えのない記録があれば、正規のサイトやアプリからパスワードを変更し、サービスの窓口へ連絡します。メールやメッセージにあるリンクから慌ててログインせず、公式の入口を自分で開くことも重要です。法律が示す禁止の境界と、日常の具体的な防御を組み合わせることで、アカウントとその先にある情報を守れます。