不正アクセス
法律での意味
日本では「不正アクセス行為の禁止等に関する法律」（不正アクセス禁止法）が、この言葉を定義しています。総務省の解説は、まず「識別符号」をこう説明しています[1]。
識別符号とは、情報機器やサービスにアクセスする際に使用するIDやパスワード等のことです。
— 総務省「国民のためのサイバーセキュリティサイト」
そのうえで、不正アクセス行為を次のように説明しています[1]。
不正アクセス行為とは、そのようなIDやパスワードによりアクセス制御機能が付されている情報機器やサービスに対して、他人のID・パスワードを入力したり、脆弱性（ぜいじゃくせい）を突いたりなどして、本来は利用権限がないのに、不正に利用できる状態にする行為をいいます。
— 総務省「国民のためのサイバーセキュリティサイト」
「利用できる状態にする」ところまでが定義です。 IDとパスワードで入口を閉じているサービスに、権限のない人が入れるようにした時点で当てはまります。
法律が挙げる3つの型
法律の第二条第四項は、不正アクセス行為を3つの型に分けています[1]。
- 他人のIDやパスワードを使う。 条文は「当該アクセス制御機能に係る他人の識別符号を入力して当該特定電子計算機を作動させ」と書いています。
- IDやパスワード以外の情報や命令で、制限をすり抜ける。 条文は「特定利用の制限を免れることができる情報（識別符号であるものを除く。）又は指令を入力して」と書いています。
- 別のコンピュータが守っている機器に、その守りをすり抜けて入る。 条文は「他の特定電子計算機が有するアクセス制御機能によりその特定利用を制限されている特定電子計算機に」と、守る側と守られる側が別の機器である場合を書いています。
管理者本人や、承諾を得た人は対象外です。 1つ目の型には「当該アクセス制御機能を付加したアクセス管理者がするもの及び当該アクセス管理者又は当該識別符号に係る利用権者の承諾を得てするものを除く。」という除外が付いています[1]。
入る前の行為も禁止されている
法律は、入ることそのもの（第三条「何人も、不正アクセス行為をしてはならない。」）だけでなく、その手前の行為も禁じています[1]。
- 他人のIDやパスワードを取得すること（不正アクセスに使う目的で）
- 他人のIDやパスワードを、管理者や本人以外に提供すること（業務その他正当な理由がある場合を除く）
- 不正に取得された他人のIDやパスワードを保管すること（不正アクセスに使う目的で）
- 管理者になりすまして、IDやパスワードの入力を求めること。 条文は、管理者になりすますなどして、入力を求める情報をWebで公開したり電子メールで送ったりする行為を挙げています
ニュースで読むときの注意
「不正アクセスがあった」と「情報が持ち出された」は、別々の事実です。 法律の定義は「利用できる状態にする行為」までで、情報を持ち出したかどうかは定義の中にありません。情報漏えいのニュースを読むときは、発表がどちらについて書いているのかを分けて読むと、状況を取り違えにくくなります。
鍵のかかった事務所に、拾った合鍵で入るのが1つ目の型、窓の留め金の壊れたところから入るのが2つ目の型、のようなものです。