TERM GUIDE · SECURITY
不正アクセスとは、正当な権限をもたない人が、ネットワークを通じてコンピュータやWebサービスなどに入り、本来は許可されていない利用をできる状態にする行為です。典型的な例は、他人のユーザIDとパスワードを無断で使ってログインすることです。日本では、このような行為は「不正アクセス行為の禁止等に関する法律（不正アクセス禁止法）」によって禁止されています。
Webサービスなどでは、誰でもすべての機能を利用できるわけではありません。例えば、SNSやメールでは、ユーザIDとパスワードなどを使って「その利用者本人であるか」を確認します。このように利用者を確認する仕組みを認証といいます。
認証などによって、正当な利用者だけがシステムを利用できるようにする仕組みがアクセス制御です。例えば、次のような仕組みがアクセス制御に当たります。
正しいIDとパスワードを入力した人だけがメールを読める
登録された利用者だけがSNSのアカウントを操作できる
権限を与えられた教職員だけが学校のシステムを利用できる
不正アクセス禁止法では、IDとパスワードなど、利用者を識別するために使われる情報を識別符号と呼んでいます。ID・パスワードだけでなく、指紋や虹彩などによる認証も識別符号に関係します。
最も典型的な不正アクセスは、他人のIDとパスワードを本人の承諾なく使ってログインすることです。
他人のSNSのID・パスワードを使う
↓
その人のSNSにログインする
↓
メッセージを見る
この場合、メッセージを書き換えたり削除したりしていなくても、不正アクセスに当たり得ます。
重要なのは、ログイン後に何をしたかではなく、本来利用する権限がない人がアクセス制御を越えて利用できる状態にしたかという点です。そのため、「見るだけならよい」「一度だけならよい」「実際の被害が出なければよい」ということにはなりません。警察庁の解説でも、データの閲覧を含め、利用の内容そのものには限定がないとされています。
また、パスワードをどのように手に入れたかによって、無断ログインが正当化されるわけではありません。例えば、次のような場合でも、本人の承諾なく利用すれば不正アクセスに当たり得ます。
道で他人のパスワードを書いたメモを拾う
↓
そのパスワードで本人のSNSにログインする
「不正アクセス」という言葉から、難しい技術を使ってパスワードを破る行為だけを想像しやすいですが、不正アクセスはそれだけではありません。
例えば、他人の正しいIDとパスワードを知っていて、それを入力すると普通にログインできたとしても、その認証情報を使う権限がなければ不正アクセスに当たり得ます。
正しいパスワードを入力できた
＝ 正当な利用者である、とは限らない
一方、不正アクセスには、他人のID・パスワードを使う方法だけでなく、システムの脆弱性（セキュリティ上の弱点）を悪用してアクセス制御を回避する方法もあります。
フィッシングと不正アクセスは関連が深いですが、同じ行為ではありません。
例えば、次のような流れを考えます。
① 実在する銀行を装った偽サイトを用意する
↓
② 利用者にIDとパスワードを入力させて盗む
↓
③ 盗んだIDとパスワードで本物の銀行サービスにログインする
①や②のように、実在する企業やサービスを装って認証情報などをだまし取る手口がフィッシングです。一方、③のように、だまし取った他人の認証情報を使って無断でログインする行為が不正アクセスです。
したがって、次のように区別するとよいでしょう。
フィッシング → ID・パスワードを盗む手口
不正アクセス → 盗んだID・パスワードなどを使って無断でアクセスする行為
不正アクセス禁止法は、実際に他人のアカウントへログインする行為だけを対象としているわけではありません。不正アクセスにつながる次のような行為も規制しています。
他人の識別符号を不正に取得する行為
不正アクセスに使う目的で、他人のID・パスワードなどを取得する行為です。
他人の識別符号を第三者に提供する行為
正当な理由なく、他人のID・パスワードなどを別の人に教えたり、インターネット上に掲載したりする行為です。不正アクセスを容易にするため、これも規制されています。
不正に取得された識別符号を保管する行為
不正アクセスに使う目的で、不正に取得された他人の認証情報を保存しておく行為も規制されます。
フィッシングによって識別符号の入力を要求する行為
正規のサービスなどを装い、利用者にID・パスワードを入力させようとする行為も規制対象となります。
つまり、
認証情報をだまし取る → 他人に渡す → 不正アクセスに使う
という一連の行為のうち、実際のログインだけを規制しているわけではありません。
不正アクセスを防ぐには、IDやパスワードなどの認証情報を適切に管理する必要があります。
例えば、ネットワークカメラなどを購入したときに、工場出荷時の初期パスワードをそのまま使用すると、第三者にパスワードを知られたり推測されたりして、不正にアクセスされる危険があります。そのため、初期パスワードは変更します。
また、同じパスワードを複数のサービスで使い回さない、推測されにくいパスワードを設定する、可能であれば多要素認証を利用するといった対策も有効です。警察庁も、パスワードの適切な設定やワンタイムパスワードなどによる認証強化を対策として挙げています。
組織では、アカウントの管理も重要です。例えば、従業員が退職したのにアカウントをそのまま残していると、本人や第三者によって悪用される可能性があります。そのため、退職や異動によって利用資格がなくなった場合には、不要となったIDを速やかに停止・削除するなどの管理を行います。
試験では、「コンピュータやインターネットを悪用した行為」がすべて不正アクセスになるわけではないことにも注意します。
架空の商品を売ると言って代金をだまし取る
詐欺に関係する問題であり、それだけで不正アクセスとはいえません。
他人の著作物を無断で複製して販売する
著作権に関係する問題です。
大量の通信を送り付けてサービスを利用しにくくする
DoS攻撃などに関係する問題であり、他人の認証情報を使ってアクセス制御を越える典型的な不正アクセスとは異なります。
誰でも閲覧できる公開Webページを見る
そもそもアクセス制御によって利用を制限されていないため、通常の閲覧は不正アクセスではありません。
公開されている掲示板に、認められた方法で自分の意見を書き込む
正当な利用であり、それだけでは不正アクセスではありません。
不正アクセスかどうかを判断するときは、次の点に注目するとよいでしょう。
その人には利用する権限があるか
認証などのアクセス制御を無断で越えていないか
不正アクセスに関する問題では、次の流れを整理しておくと判断しやすくなります。
認証
「あなたは誰か」をID・パスワードなどで確認する。
↓
アクセス制御
認証された利用者などに応じて、利用できる範囲を制限する。
↓
不正アクセス
他人の認証情報を無断で使うなどして、本来の利用制限を越える。
また、
偽サイトなどでID・パスワードをだまし取る → フィッシング
だまし取ったID・パスワードでログインする → 不正アクセス
という違いも押さえておくとよいでしょう。
なお、不正アクセス禁止法の対象となる不正アクセスは、インターネットだけに限定されません。企業や学校などのLANを含め、ネットワークを通じて行われるものが対象となります。一方、法律上の「不正アクセス行為」はネットワークを通じた行為を前提としており、ネットワークを介さずコンピュータを直接操作する行為とは区別されます。
EXAMPLE
架空の商品を売ると言って代金を受け取る。
他人のユーザIDとパスワードを無断で使い、他人の電子メールを読む。
不正に複製した音楽CDを販売する。
公開されている掲示板に、自分の意見を書き込む。
正解1．他人のユーザIDとパスワードを無断で使い、他人の電子メールを読む
不正アクセスは、アクセス制御を越えて、本来許されていない利用をする行為です。他人のユーザIDとパスワードを無断で使って電子メールを読む行為が該当します。
PRACTICE