他人のIDでログインした｜不正アクセス禁止法の成立範囲

家族や交際相手、同僚のIDとパスワードを使ってログインしてしまい、後から不安になって調べ始める方は少なくありません。不正アクセス禁止法は、中身を見たかどうかや、実際に損害が出たかどうかとは別のところに線を引いています。この記事では、条文のどこで成立と不成立が分かれるのかを、要素ごとに整理します。

この記事の要点

• 不正アクセス行為は、ネットワークを通じて他人のID・パスワードを入力し、制限されていた利用ができる状態にした時点で問題になります。
• 中身を見ていなくても、金銭的な被害が出ていなくても、成立の判断そのものには直接影響しません。
• アクセス管理者または利用権者の承諾を得て行った場合は、条文上そもそも不正アクセス行為から除かれます。
• 家族・交際相手・職場の同僚といった関係は、それ自体では除外事由になりません。
• この法律に未遂を処罰する規定はありませんが、ID・パスワードを取得した段階を別に処罰する規定はあります。

成立するかどうかは、条文の5つの要素で決まる

　不正アクセス禁止法は「不正アクセス行為をしてはならない」と定めるだけで(3条)、その中身は2条4項に置かれています。他人のIDでログインした場面は、そのうち1号のいわゆる識別符号窃用型に当たるかどうかが問題になります。1号は5つの要素に分けて読むと、境界が見えやすくなります。

①ネットワークにつながった機器であること

　条文は「特定電子計算機」、つまり電気通信回線に接続された電子計算機を対象にしています。オンラインのサービスやサーバーが典型で、ネットワークを介さず、手元の機器だけで完結する操作は1号の枠外と整理されています。

②ID・パスワードで利用が制限されていること

　対象になるのは「アクセス制御機能」が付いているもの、つまり入力された符号が正しい識別符号かどうかを確認して制限を解除する仕組みが働いているサービスです。誰でも見られる公開ページを閲覧しただけであれば、この要素を満たしません。

③「他人の」識別符号を「入力」したこと

　識別符号とは、利用権者を他の人と区別して識別できるように割り当てられた符号のことです(2条2項)。ID・パスワードの組み合わせが典型ですが、指紋や顔などの身体的な特徴から作られる符号、署名から作られる符号も含まれます。
　ここで押さえておきたいのは、条文が「入力して……作動させ」という形をとっている点です。自分に割り当てられた符号を入力した場合や、そもそも入力を経ていない場合は、1号の文言から外れると考えられています。ただし後で触れるとおり、1号に当たらないことと、何の責任も生じないことは別です。

④制限されていた利用ができる状態になったこと

　条文は「特定利用をし得る状態にさせる行為」と定めています。つまり、ログインが通った時点で要素は満たされ、その後に中身を読んだか、何かを操作したかは問われません。「見ただけ」「すぐ閉じた」という説明は、成立するかどうかの場面では決め手になりにくいということです。

⑤承諾がなかったこと

　1号には括弧書きの除外があり、アクセス制御機能を付加したアクセス管理者自身が行う場合と、アクセス管理者または識別符号に係る利用権者の承諾を得て行う場合は、そもそも不正アクセス行為に当たりません。承諾は「管理者と利用権者の両方」ではなく「いずれか」で足りる書き方になっている点は、確認しておくとよい部分です。

1号に当たらないと考えられる場面

　境界を具体的な場面に当てはめると、次のように整理できます。

　ただし、いずれも「不正アクセス禁止法の1号に当たらない」というだけです。他人の私的な情報を無断で見た行為は、民事上のプライバシー侵害として損害賠償の対象になり得ますし、得た情報の使い方によっては別の罪が問題になります。認証が通らなかった場合も、そのためにID・パスワードを入手していれば、取得罪や保管罪が別に成立し得ます。

関係性では変わらない部分

　3条は「何人も」と定めており、家族・夫婦・交際相手・職場の同僚といった関係は、それだけでは除外事由になりません。実際に問題になりやすいのは、次のような場面です。

• 以前に本人から教えてもらったID・パスワードを、関係が変わった後も使い続けた場面。
• 共有していたアカウントを、当初の合意とは違う目的で使った場面。
• 退職や異動で立場が変わった後に、以前と同じ経路でログインした場面。

　共通しているのは、過去に承諾があったことと、今この時点で承諾があることは別だという点です。承諾は撤回できますし、当初の承諾にも範囲があります。「昔は自由に見ていいと言われていた」という説明が、そのまま現在の承諾として通るとは限りません。
　勤務先のシステムでは、承諾の主体が誰かを分けて考える必要もあります。同僚が個人的に「使っていい」と言っていたとしても、業務システムの利用ルール上どう位置づけられるかは別の問題で、社内規程に基づく対応は残ります。令和7年の発生状況を公表した資料でも、アクセス管理者が講ずべき措置として、利用する立場でなくなった人のID削除やパスワード変更を速やかに行うことが挙げられています。

罰則と公訴時効

　この法律は、ログイン行為そのものだけでなく、その前後の行為も分けて規定しています。

　刑名は、2025年6月1日に施行された刑法改正により、懲役から拘禁刑に改められています。改正前に書かれた解説では懲役と表記されていることがありますが、期間の上限自体は変わっていません。
　公訴時効は、いずれの罪も法定刑が長期5年未満の拘禁刑または罰金にとどまるため、刑事訴訟法250条2項6号により3年です。起算点は行為が終わった時点で、繰り返していた場合は最後の行為が基準になります。また、11条と12条1号から3号までの罪については、国外で行われた場合にも適用され得る旨が定められています(14条)。

ログイン後の行為で別の罪が問題になる場合

　不正アクセス行為はそれ自体が独立して処罰される一方、ログイン後に何をしたかによって、別の罪が重ねて問題になることがあります。

• 口座やポイントを操作して財産上の利益を得た場合は、電子計算機使用詐欺罪(刑法246条の2)。
• 本人になりすまして投稿や登録を行った場合は、私電磁的記録不正作出・供用罪(刑法161条の2)や名誉毀損罪(刑法230条)。
• 設定を書き換えるなどして業務に支障を生じさせた場合は、電子計算機損壊等業務妨害罪(刑法234条の2)。
• 遠隔操作アプリなどを無断で入れた場合は、不正指令電磁的記録に関する罪(刑法168条の2)。

　実際に公表されている検挙事例でも、不正アクセス禁止法違反と他の罪が併せて立件されたものがあります。「ログインしただけ」と考えていた行為が、その後の操作まで含めて評価されることがある、という点は意識しておいた方がよいところです。

統計から見える実際の姿

　国家公安委員会・総務大臣・経済産業大臣は、この法律の10条1項に基づき、不正アクセス行為の発生状況を毎年公表しています。2026年3月に公表された令和7年分の内容は、次のとおりです。

　目を引くのは、検挙された手口の9割超が、技術的な攻撃ではなく他人のID・パスワードを入力する型だという点です。入手経路の区分にも、パスワードの管理の甘さにつけ込んだものや、識別符号を知り得る立場にあった元従業員・知人によるものが挙げられています。特別な技術を持たない人が当事者になり得る類型であることが、数字にも表れています。

心当たりがある場合に、先に避けたいこと

　不安から反射的に動くと、かえって経緯の説明が難しくなることがあります。

1. 端末の初期化や、ログイン履歴・アプリの削除。後から証拠隠滅を疑われる材料になり得ます。
2. 確認のための再ログイン。回数が増えるほど、経緯の説明が複雑になります。
3. 相手や勤務先への直接の連絡。感情的なやり取りになると、その内容がそのまま記録として残ります。
4. サービス側の窓口に、経緯を整理しないまま説明すること。

　代わりに残しておきたいのは、いつ・どのサービスに・どういう経緯でログインしたのか、承諾があったと考えた根拠は何か、といった事実関係のメモです。承諾の有無は本人の記憶だけで決まるものではなく、そのときのやり取りが残っているかどうかが判断を左右します。

よくある質問

中身を見ていなければ問題ないのでしょうか

　条文は「利用をし得る状態にさせる行為」を対象にしているため、閲覧や操作をしていないことは、成立そのものを否定する理由にはなりにくいと考えられます。もっとも、実際にどう扱われるかは事情によって異なり、被害の内容は処分を検討するうえでは意味を持ちます。

相手が被害届を出さなければ何も起きませんか

　この法律の罪は、告訴がなければ起訴できない親告罪とはされていません。サービス提供者がログを確認して申告する場合もあり、当事者の一方が動かないことだけで手続が止まるとは限りません。

自分のアカウントを取り戻すためのログインも対象になりますか

　自分に割り当てられた識別符号を自分で入力する行為は、「他人の識別符号」の入力に当たりません。もっとも、乗っ取られたアカウントの復旧は、サービス側の窓口を通す方が確実で、経緯も記録として残ります。

だいぶ前のことでも問われますか

　公訴時効は3年ですが、その期間が経過していても、民事上の損害賠償や勤務先での対応が問題になることはあります。刑事・民事・勤務先の処分は、それぞれ別の時間軸で動きます。

まとめ

　他人のIDでログインした行為が不正アクセス禁止法にどう当たるかは、感覚的な悪質さの度合いではなく、条文の要素を満たすかどうかで決まります。ネットワークを通じたこと、アクセス制御機能があったこと、他人の識別符号を入力したこと、利用できる状態になったこと、そして承諾がなかったこと。この5つが判断の骨格です。
　一方で、1号に当たらない場面であっても、プライバシー侵害としての賠償や勤務先での対応、ログイン後の行為に対する別の罪が残ることがあります。心当たりがある場合は、事実関係を整理したうえで、早めに弁護士へ相談されることをおすすめします。