ハッキングは違法？日本の法律と罰則、被害時の証拠保全までわかりやすく解説

インターネット上のトラブルで「これってハッキングでは」と感じたとき、実際にどの法律に触れる可能性があるのかは分かりにくいものです。特に、無断ログインやパスワードの不正取得、マルウェアの作成・配布などは、本人の意図にかかわらず違法評価につながることがあります。

一方で、被害対応では復旧を急ぐほど、証拠となるデータ喪失のリスクが高まり、警察相談・訴訟・保険請求・対外説明に必要な根拠を残しにくくなることもあります。

そこで本記事では、日本の「ハッキング」に関わる主要な法律と罰則、違法になりやすい典型例、そして被害時に後悔しない初動の進め方を解説します。

ハッキングとは何か？法律上は「行為の中身」で判断されます

一般に「ハッキング」と呼ばれる行為は幅が広く、法律上も「ハッキングという罪名」があるわけではありません。実際には、無断でアクセス制御を突破してログインしたのか、認証情報を盗んだのか、マルウェアを作成・提供したのかなど、行為の中身に応じて適用される法律が変わります。

たとえば、他人のID・パスワードでログインする行為は、不正アクセス禁止法の中心領域です。マルウェアの作成・提供・取得・保管などは、刑法の不正指令電磁的記録に関する罪（ウイルス罪）として問題になります。

判断が難しいときは「何をしたか」を先に整理します

「どのアカウントに」「どんな方法で」「どの範囲まで」触れたのかで評価が変わります。安易に自己解釈せず、事実関係を時系列で整理してから相談先を選ぶことが大切です。

当社では、不正アクセス調査を通じて、「どのアカウントに」「どの手法で」「どこまで影響が及んだか」を時系列で整理し、行為の実態と影響範囲を客観的に明らかにします。証拠を保全したうえで報告書として整理できるため、社内外への説明や対応判断にも活用できます。累計47,431件以上（期間：2016年9月以降）の相談実績に基づき、初期診断から24時間365日体制で対応していますので、判断に迷う段階でも早めの確認が重要です。

ハッキングに関係する主な法律

日本で「ハッキング」と言われる行為の多くは、次の法律・規定に触れる可能性があります。特に実務上は、不正アクセス禁止法と刑法（ウイルス罪）を軸に整理すると全体像を把握しやすくなります。

不正アクセス禁止法

ネットワーク経由の不正アクセス行為そのものに加え、準備・助長行為（認証情報の不正取得、入力要求、識別符号の不正保管、ツール頒布など）も含めて罰則が定められています。「善意のつもり」でも、権限なくアクセス制御を突破すれば問題になり得ます。

刑法：不正指令電磁的記録に関する罪（ウイルス罪）

コンピュータに「不正な指令」を与えるプログラムなどを、正当な理由なく作成・提供したり、取得・保管したりする行為が対象になります。マルウェアの配布だけでなく、目的や正当性が争点になる点が特徴です。

その他の刑法犯が成立し得るケース

状況によっては、電子計算機使用詐欺罪、威力業務妨害罪、恐喝罪、窃盗罪など、一般刑法犯として評価されることがあります。攻撃の結果として金銭移動や業務停止、データの持ち出しが生じた場合は、論点が広がりやすくなります。

法律の適用は「結果」より「手段・権限」が重視されます

「実害がないから大丈夫」とは限りません。アクセス権限の有無や、認証情報の取り扱い、プログラムの性質など、手段面で違法評価が生じることがあります。

不正アクセス禁止法で禁止される行為と罰則

不正アクセス禁止法は、典型的な「無断ログイン」だけでなく、周辺行為（認証情報の収集や入力要求、助長行為など）も広く対象になります。ここでは、一般に問題になりやすい類型を要点で整理します。

不正アクセス行為（アクセス制御の突破）

アクセス制御を突破して、他人のID・パスワード等でログインする行為などが典型です。代表的な法定刑として、3年以下の懲役または100万円以下の罰金が挙げられます。

識別符号の不正取得・不正保管・入力要求

フィッシング等でID・パスワードを不正に取得する、他人の識別符号を不正に保管する、フィッシングページなどで入力を不正に要求する行為は、別類型として処罰対象になり得ます。代表的には、1年以下の懲役または50万円以下の罰金などの枠組みが説明されることがあります。

助長行為（ツール公開、認証情報リストの頒布など）

不正アクセスを助長する行為として、クラックツールの公開や認証情報リストの頒布などが問題視されます。類型により、罰金刑（例：30万円以下の罰金とされる説明）に触れられることがあります。

被害側も「ログの扱い」を誤ると立証が難しくなります

侵入の有無や手口の立証には、認証ログ、アクセスログ、端末の痕跡などが重要です。復旧を優先してログを消したり上書きすると、立証困難の恐れが高まります。

ウイルス罪（不正指令電磁的記録に関する罪）の対象行為と罰則

ウイルス罪は「不正な指令」を与えるプログラムなどを対象に、作成・提供だけでなく、取得・保管も問題になり得ます。セキュリティ研究や検証を含む場合は「正当な理由」の評価が論点になることがあります。

作成・提供（供用）

人のコンピュータで実行させる目的で不正な指令を与えるプログラム等を、正当な理由なく作成・提供する行為が対象になり得ます。代表的な法定刑として、3年以下の懲役または50万円以下の罰金が挙げられることがあります。

取得・保管

不正な指令を与えるプログラム等を、正当な理由なく取得・保管する行為も対象になり得ます。代表的な法定刑として、2年以下の懲役または30万円以下の罰金が挙げられることがあります。

検証目的でも「保管方法・範囲」が問われることがあります

研究・教育・業務上の必要性があるとしても、運用や管理がずさんだと説明が難しくなることがあります。目的、権限、管理体制をセットで整えることが重要です。

ホワイトハッキングはどこまで許される？「同意・契約」が基本です

脆弱性診断やペネトレーションテストのように、本人の明確な同意や契約に基づいて実施するセキュリティテストは、通常は不正アクセスに当たらないと整理されます。重要なのは、権限と範囲が明確であることです。

一方で、「善意で知らせたい」「危ないと思って試した」という理由で、無断で他人のシステムを試す行為は、違法と評価される可能性があります。連絡のつもりでも、アクセス制御の突破や不正な入力要求に至れば、リスクが高まります。

実施前に確認したいポイント

• 対象システムの所有者（管理者）から明確な許諾があるか
• スコープ（対象範囲・期間・手法・中断条件）が契約で定義されているか
• 検証で取得し得るデータの取り扱い（守秘・破棄）が定められているか

当社では、フォレンジック調査を通じて、実施されたアクセスや操作の正当性、影響範囲、証跡の有無を客観的に整理し、適切な判断材料としてご提供しています。

官公庁・上場企業・法律事務所を含め、47,431件以上（期間：2016年9月以降）の相談実績に基づき、契約や権限範囲の整理から証拠保全、報告書作成まで一貫して対応します。初期診断は無料で、24時間365日ご相談を受け付けていますので、判断に迷う段階でも早めにご相談いただくことが重要です。

ハッキング被害に遭ったときの初動は「証拠となり得るデータの保全」が最優先です

被害対応では、復旧や遮断を急ぎたくなりますが、後から原因究明や法的対応を進めるには、まず「何が起きたか」を示す記録を残す必要があります。ログは保存期間が短く、時間経過で上書きされるため、初動の順序が重要です。

安全確認と隔離

被害拡大を防ぐために、対象端末やアカウントの利用範囲を最小化します。ただし、電源断や強制初期化は、状況把握を難しくすることがあります。業務影響とリスクを踏まえ、変更内容を記録しながら進めることが大切です。

証拠となり得るデータの保全

原因究明と説明責任の前提になるのは、ログやイメージ、通知の原本などです。自己判断で削除や修復を進めると、痕跡喪失の恐れが高まります。保全では「改ざんしていない」と説明できる管理が重要です。

影響範囲の一次整理

復旧や対外説明の前に、どの資産が影響を受けた可能性があるかを棚卸しします。確定できない段階でも、時系列と対象を整理しておくと、後の調査と意思決定が進めやすくなります。

サイバーセキュリティの専門業者に相談する

不審な兆候がある段階では、社内だけでの判断が難しいことも多いです。特にログや端末の痕跡は時間とともに変化しやすく、証拠となるデータ喪失につながる操作を避ける必要があります。

専門業者であれば、侵入経路、攻撃者の活動範囲、外部送信の有無、マルウェアの痕跡などを、手順を踏んで客観的に整理できます。結果として、警察相談や訴訟、保険請求、監督官庁・取引先への説明に必要な材料を整えやすくなります。

私たちデジタルデータフォレンジックは、官公庁、上場企業、捜査機関等を含む幅広いインシデントに対応してきた知見をもとに、状況のヒアリングから初動方針、調査計画までご案内できます。

詳しく調べる際はフォレンジック調査会社に相談を