不正アクセスとは何か。総務省の定義から読む

• 定義は「アクセス権限を持たない者が内部へ侵入する行為」
• 手口は大きく3種類
• 報道の言葉は使い分けられていないことがある

不正アクセスという言葉が報道で続いている。読むときの前提になる定義と手口を整理する。

総務省の定義

国民のためのサイバーセキュリティサイトは、こう書いている。

• 「本来はアクセス権限を持たない者が、サーバや情報システムの内部へ侵入する行為」

短い定義だが、要点が2つある。権限が無いことと、内部へ入ることだ。

権限が無いとはどういうことか

技術的に破ったかどうかとは別の話だ。

• 他人のIDとパスワードを使った
• 正規の入口から入ったが、見てよい範囲を超えた
• 管理者の権限を本来持たない者が得た

2つ目と3つ目が今回の事案に当てはまる。入口を破らなくても不正アクセスになる。

手口1 — パスワードを狙う

総務省は「ツールを用いてアカウント情報を窃取するためのパスワード総当たり攻撃」を挙げている。

• 順に試す総当たり
• よく使われる語を試す
• 他のサービスから漏れた組み合わせを試す

3つ目が現実には多い。パスワードの使い回しが成立の条件になる。

手口2 — 脆弱性と設定の不備

「OSやソフトウェアの脆弱性、設定の不備などを調べて攻撃」と書かれている。

• 更新されていないソフトウェア
• 公開するつもりのない画面が公開されている
• 権限の確認が抜けている処理

3つ目は作りの問題だ。正しいIDで入った相手に、見せてはいけないものを見せてしまう。

手口3 — 参照先の書き換え

「ホームページ内のリンクやファイルの参照先を不正に書き換え、利用者をウイルスに感染させたり情報を盗み取る行為」も挙げられている。

• サイトを改ざんして、別の場所へ誘導する
• 読み込むファイルを差し替える
• 利用者の側で被害が出る

侵入された組織ではなく、その利用者が被害を受ける形だ。

2026年秋の事案はどれに当たるか

公表された説明から見る。

• Communeは、招待リンクを不正に取得して一般会員として登録し、複数の不備を突いて管理者になりすましたと説明している
• これは手口2の「権限の確認が抜けている処理」に近い
• 第一興商は委託先のPCのマルウェア感染が発端と報じられている

IPAは10月9日の注意喚起で「外部公開しているアプリケーションやサービスの侵害、アカウントの侵害が起点となっていることがうかがえます」と書いている。

混ざりやすい言葉

報道では区別されないことがある。

不正アクセスは行為、情報漏えいは結果だ。両方が起きることも、片方だけのこともある。

侵入されても漏れない場合

実際に公表されている。

• ピーチ・アビエーションは、サーバーに約189万件が保存されていたが流出は現時点で確認されていないとしている
• 第一興商も、外部に漏えいした事実や不正利用は現時点で確認されていないとしている

「漏えいしたおそれ」という表現は、確認できていないという意味だ。否定ではない。

漏れていなくても被害は出る

ランサムウェアの事例がそれだ。

• 京王電鉄は9月26日未明、グループのサーバーにランサムウェア攻撃を受け、一部グループ会社の営業システムに障害が発生した
• 大阪公立大学は10月2日からの大規模システム障害をランサムウェアと判断し、10月9日から対面授業を再開した

この2件の被害は止まった日数だ。件数では表せない。

法律上の位置づけ

不正アクセス禁止法がある。

• 他人の識別符号を使ってアクセスする行為を禁じている
• 識別符号を不正に取得・保管する行為も対象
• フィッシングのような要求行為も対象

攻撃された側ではなく、行った側を処罰する法律だ。

公表の義務

個人情報保護法の話になる。

• 個人データの漏えい等で一定の要件に当たる場合、個人情報保護委員会への報告が必要
• 本人への通知も求められる
• 要配慮個人情報が含まれる場合などが要件に挙がる

キッセイ薬品の事例では、顧客情報や病歴などの要配慮個人情報が流出した可能性があると報じられている。

報道を読むときに見る4点

1. 起点はどこか — 自社か、委託先か、クラウドか
2. 何が出たか — 変えられる情報か、変えられない情報か
3. 確認済みか、おそれか
4. 業務が止まったか

2つ目が影響の大きさを決める。件数より中身だ。

件数の読み方

大小だけでは測れない。

• メールアドレス400万件と、履歴書449件
• 前者は迷惑メールの材料
• 後者は職歴と住所と連絡先がそろう

ココナラの公表は履歴書449件、職務経歴書1845件だ。件数は小さいが中身は濃い。

まとめ

1. 定義は「権限を持たない者が内部へ侵入する行為」
2. 手口はパスワード、脆弱性と設定の不備、参照先の書き換え
3. 不正アクセスは行為、情報漏えいは結果
4. 「おそれ」は確認できていないという意味
5. 件数より、出た情報の中身を見る

言葉の範囲が分かると、報道の差が読めるようになる。

出典

• 総務省「国民のためのサイバーセキュリティサイト」不正アクセスとは？
• 情報処理推進機構「不正アクセスによる漏えい等の事案を踏まえ、速やかに実施すべき対策等について」（2026年10月9日）
• 個別の事案の内容は、各社の発表および日経xTECH、CNET Japan、FNNプライムオンライン、テレビ信州、abn長野朝日放送の各報道による

法令の適用は個別の事情で変わる。この記事は法的な助言ではない。