「自分には関係ない」と思っていませんか？
「不正アクセス」という言葉、ニュースなどで聞いたことはありますよね。
でも、「実はどういう意味かよくわかってない」
「なんだか難しそうだし、自分には関係なさそう」
なんて思っている方も多いのではないでしょうか。
ところが、2025年の統計を見ると、ちょっとゾッとする数字が並んでいます。
警察庁が2026年3月に発表したデータによると、2025年の不正アクセスの認知件数は7,190件。
前年より約34％も増えています。
しかも、2025年は証券口座が乗っ取られて
勝手に株を売買されるという被害が大きな社会問題になり、
その被害額はなんと年間で約7,400億円にのぼりました。
ターゲットになるのは大企業だけではありません。
私たちが毎日使っているSNSのアカウント、ネット銀行、ショッピングサイト……
どれも狙われる可能性があるんです。
まじすか、やべえ・・・
だからこそ、
「不正アクセスって何？」
「どうやって攻撃されるの？」
という基本を知っておくことがとても大切です。
正しい知識を身につけることで、怪しいメールに引っかかったり、
知らない間にアカウントを乗っ取られたりするトラブルから、自分自身を守ることができます。
この記事では、IT初心者の方にも分かるように、できるだけ専門用語をかみ砕いて、
身近なたとえを使いながら解説していきますね。
そもそも「不正アクセス」って何？
お家にたとえると一発で分かります。
ひと言でいうと「ネット上の不法侵入」
不正アクセスとは、ざっくり言うと
「アクセスする権限がない人が、他人のシステムやアカウントに勝手に入り込む行為」
のことです。
……と言われても、ちょっとピンとこないですよね。
そこで、「お家」にたとえて考えてみましょう。
みなさんが使っているサービスのアカウントは、鍵のかかった自分の家のようなものです。
IDが「住所」、パスワードが「玄関の鍵」だと思ってください。
不正アクセスとは、この家に対して、
- 合鍵を勝手にコピーして入ってくる
- 窓の鍵が壊れているのを見つけて、そこから忍び込む
- 「管理会社の者ですが」と嘘をついて、鍵を開けさせる
……こんなことをするようなイメージです。
ここで大事なポイントがひとつ。
「中に入っただけで、何も盗んでいなくても犯罪になる」ということです。
現実の世界でも、空き巣に入って何も盗まなかったとしても住居侵入罪になりますよね。
不正アクセスもそれと同じで、システムに無断で入っただけで法律違反なんです。
知っておきたい「不正アクセス禁止法」
不正アクセス、もしやったらどうなるの？
気になりますよね。
日本にはちゃんと法律があります
日本では2000年から「不正アクセス行為の禁止等に関する法律」、
いわゆる不正アクセス禁止法という法律が施行されています。
「法律の話」と聞くと身構えてしまうかもしれませんが、ポイントはシンプルです。
この法律で禁止されているのは、大きく分けると次の3つです。
1つ目は、不正アクセス行為そのもの。
他人のID・パスワードを使って勝手にログインしたり、システムのバグを突いて侵入したりする行為です。
2つ目は、パスワードの不正な取得・保管・提供。
他人のパスワードを不正に手に入れたり、それをため込んだり、誰かに教えたりする行為も罰せられます。
3つ目は、フィッシング行為。
本物そっくりの偽サイトを作って、「パスワードを入力してください」と誘導する行為です。
罰則はというと、不正アクセス行為そのものは3年以下の懲役または100万円以下の罰金。
パスワードの不正取得やフィッシング行為は1年以下の懲役または50万円以下の罰金です。
けっこう重いですよね。
若い世代の検挙が増えています
ちょっと驚くデータもあります。
2025年の検挙者の年齢を見ると、最も多いのは20代（91人）ですが、次に多いのが14〜19歳の未成年（81人）。
この2つの年齢層だけで全体の約7割を占めていて、最年少はなんと10歳でした。
「興味本位でやってみた」
「友達のアカウントにログインしただけ」
そんな軽い気持ちでも、れっきとした犯罪になります。
お子さんやお孫さんがいる方は、ぜひこの話を共有してあげてくださいね。
不正アクセスの具体的な手口6つ──攻撃者はこうやって忍び込む
ここからは、「じゃあ実際にどうやって不正アクセスされるの？」という部分を具体的に見ていきましょう。
代表的な手口は以下のようなものがあります。
それぞれ、身近なたとえと一緒に紹介しますね。
手口① フィッシング──「ニセの窓口」で鍵を聞き出すトリック
フィッシングは、今もっとも被害が多い手口のひとつです。やり方はこんな感じです。
まず、攻撃者が実在する企業（銀行、ECサイト、宅配業者など）になりすまして、メールやSMS（ショートメッセージ）を送ってきます。
「お客様のアカウントに不正なログインがありました。至急ご確認ください」
なんて書かれていたら、焦ってリンクをクリックしてしまいそうですよね。
でも、そのリンクの先にあるのは本物そっくりの偽サイト。
ここでIDやパスワード、クレジットカード番号などを入力してしまうと、その情報がそのまま攻撃者の手に渡ってしまうんです。
お家のたとえでいうと、
「管理会社の者ですが、防犯チェックのため合鍵を見せてください」と嘘をついて鍵をコピーされるようなものです。
2025年の統計でもフィッシングによる被害は前年から大幅に増えています。
しかも最近では、生成AIを使って自然な日本語のフィッシングメールを作るケースも報告されていて、以前のように「日本語がおかしいからニセモノだ」と見抜くのが難しくなっています。
昔の「不自然な日本語だから詐欺」みたいな判断基準はすでに無意味だよ！
手口② ブルートフォース攻撃（総当たり攻撃）──あらゆる鍵を片っ端から試す力ずくの方法
名前は難しそうですが、やっていることはとてもシンプルです。
パスワードとして考えられる文字の組み合わせを、機械的に全パターン試していくという手口です。
たとえば、4桁の数字だけのパスワードなら、0000から9999までたったの1万通り。コンピューターを使えば、ほんの数秒で全パターンを試せてしまいます。お家のたとえで言えば、「ドアの前に立って、あらゆる形の鍵を次々に差し込んで試していく」ようなものですね。
2025年の検挙統計でも、「パスワードの設定・管理の甘さにつけ込んで入手」が84件で手口別の最多でした。「1234」「password」「自分の誕生日」……こういったパスワードを使っている方は、今すぐ変更することをおすすめします。
手口③ パスワードリスト攻撃──「使い回しの鍵」を別のドアで試す
これは、パスワードの使い回しを狙った攻撃です。
どこかのサービスから漏えいしたID・パスワードの組み合わせリストを手に入れた攻撃者が、「同じID・パスワードの組み合わせで、他のサービスにもログインできるんじゃない？」と片っ端から試していくんです。
お家のたとえで言うと、Aマンションの合鍵を手に入れた泥棒が、
「この鍵、Bマンションでも使えるかも？」と試して回るようなもの。怖いですよね。
心当たり、ありませんか？ メールもSNSもネットバンキングも全部同じパスワード……という方は要注意です。
1つのサービスで情報が漏れただけで、すべてのアカウントが芋づる式に乗っ取られてしまう可能性があります。
2025年に社会問題になった証券口座の乗っ取り被害でも、フィッシングと並んでパスワードの使い回しが被害を広げた一因と指摘されています。
たくさん覚えられないから全部同じパスワード、って人は結構多いよ！
手口④ SQLインジェクション──建物の設計ミスから裏口を見つける
こちらは少し技術的な話になりますが、知っておいて損はありません。
Webサイトにはよく検索窓やログイン画面がありますよね。
SQLインジェクションとは、こうした入力欄に「特殊な命令文」をこっそり紛れ込ませて、その裏にあるデータベース（情報の保管庫）を勝手に操作してしまう手口です。
お家のたとえで言えば、建物の設計図に欠陥があって、本来は通れないはずの壁の裏側に回り込めてしまう……というイメージが近いです。
この攻撃はWebサイトを運営する企業側のプログラムの問題なので、私たち個人ユーザーが直接防ぐのは難しいところがあります。
ただ、自分が使っているサービスがこの攻撃を受けると、登録していた個人情報やカード情報が大量に流出することがあるので、「自分には関係ない」とは言い切れません。
手口⑤ 脆弱性（ぜいじゃくせい）攻撃──壊れた窓の鍵を放置していたら……
ソフトウェアやOS、ネットワーク機器には、
作った時には気づかなかったセキュリティ上の弱点（＝脆弱性）が後から見つかることがあります。
攻撃者はこの弱点を突いて侵入してくるんです。
特に怖いのが、「ゼロデイ攻撃」と呼ばれるもの。
これは、弱点が見つかってから修正プログラム（パッチ）が配布される前に攻撃されてしまうパターンです。
お家のたとえで言うと、窓の鍵が壊れていることに気づいて修理業者を呼んだけど、業者が来る前に泥棒に入られてしまった……という感じですね。
IPAの「情報セキュリティ10大脅威 2026」でも「システムの脆弱性を悪用した攻撃」は組織向け脅威の4位にランクインしています。
個人レベルでも、スマホやパソコンのアップデート通知を「あとでいいや」と無視し続けるのは、壊れた窓の鍵をそのまま放置しているのと同じなので、気をつけてくださいね。
手口⑥ ソーシャルエンジニアリング──技術ではなく「人の心」を狙う
最後に紹介するのは、ちょっと毛色が違う手口です。
ソーシャルエンジニアリングとは、コンピューターの技術ではなく、
人間の心理的なスキを突いて情報を盗む方法の総称です。
たとえばこんなパターンがあります。
電話で「システム管理部門の者ですが、メンテナンスのためパスワードを教えてください」と聞き出す。
オフィスの机に貼ってあるパスワードのメモをこっそり盗み見る（ショルダーハッキング）。
ゴミ箱に捨てられた書類から情報を拾う（トラッシング）。
「え、そんなアナログな方法で？」と思うかもしれませんが、2025年の統計では「聞き出し・のぞき見」が35件、「元従業員や知人等による犯行」が61件も検挙されています。
手口全体のおよそ4分の1が、こうした「人間系」の攻撃なんです。
ワイも会社で上司から「キミのGoogleのパスワード教えて」って言われたけど、あれはリテラシーがないだけか。
どんなに強固なパスワードを設定しても、自分で人に教えてしまったら意味がない。
技術的な対策と同じくらい、「安易に情報を教えない」という意識が大切です。
2025年に実際に起きたこと──証券口座の乗っ取りが社会問題に
ここまで手口を紹介してきましたが、「で、実際にどんな被害が出ているの？」と気になりますよね。
2025年、最も大きな話題になったのが証券口座の乗っ取りです。
フィッシングなどの手口でネット証券のID・パスワードを盗まれた被害者の口座に勝手にログインされ、持っていた株が勝手に売却されたり、攻撃者が利益を得るために特定の銘柄を大量に買い付けられたりする被害が全国で相次ぎました。
金融庁のまとめによると、2025年の1年間で不正アクセスされた口座は18,000件超、不正取引の金額は約7,393億円。「ネットで株をやっているだけなのに、ある日突然口座の残高が激減していた」そんな被害者の声が数多く報じられました。
この事件からも分かるように、不正アクセスの被害は「情報が漏れる」だけにとどまりません。
お金を直接奪われるという深刻な被害につながるケースが増えています。
今日からできる不正アクセス対策──まず「この5つ」から始めよう
「怖い話ばかり聞いて不安になってきた……」という方もいるかもしれません。
でも大丈夫。基本的な対策をしっかり行うだけで、被害に遭うリスクは大きく下げられます。
まず最初にやってほしいのは、パスワードを「長く」「複雑に」「使い回さない」ことです。
最低でも12文字以上で、英大文字・小文字・数字・記号を組み合わせるのが理想です。
サービスごとに異なるパスワードを使うのが鉄則ですが、全部覚えるのは大変なので、パスワード管理アプリ（1Password、Bitwardenなど）を使うのがおすすめです。
次に、二要素認証（2FA）を設定すること。
これは、パスワードに加えて、スマホに届く確認コードや認証アプリの入力を求める仕組みです。
たとえパスワードが漏れても、もう一段階の認証が突破できなければログインされません。
お家の鍵でいうと、玄関のドアに鍵をもう一個追加するイメージです。対応しているサービスでは必ず有効にしておきましょう。
そして、OS・アプリのアップデートをこまめに行うこと。
アップデート通知が来たら、できるだけ早く適用してください。
「今は忙しいから後で」と放置するのは、壊れた鍵を直さないまま過ごすのと同じです。
また、メールやSMSのリンクを安易にクリックしないことも重要です。
「アカウントに異常があります」「本人確認が必要です」──こんなメッセージが来ても、リンクを踏む前にいったん立ち止まってください。
不安な場合は、メールのリンクからではなく、自分でブラウザにURLを打ち込むか、公式アプリからアクセスする習慣をつけましょう。
最後に、フリーWi-Fiの使い方に気をつけること。
カフェや駅のフリーWi-Fiは便利ですが、通信が暗号化されていない場合、入力した情報を第三者に盗み見られるリスクがあります。フリーWi-Fi接続中は、ネットバンキングやクレジットカード情報の入力は避けるのが無難です。
どれも特別な知識がなくてもできることばかりです。
「全部いっぺんにやらなきゃ」と気負わず、今日できることからひとつずつ始めてみてくださいね。
まとめ──「知っている」だけで、守れるものがある
不正アクセスと聞くと、「ハッカーがパソコンに向かってカタカタ……」という映画のワンシーンを思い浮かべる方もいるかもしれません。
でも実際には、偽メールのリンクをクリックしてしまったり、パスワードを使い回していたり、アップデートを放置していたり……日常のちょっとした油断が、被害の入り口になっています。
裏を返せば、基本的な知識を持って、基本的な対策をするだけで、多くの被害は防ぐことができるということです。
この記事が、「不正アクセスって何？」というモヤモヤを解消するきっかけになればうれしいです。
大切なアカウントやお金を守るために、ぜひ今日からできることを始めてみてくださいね。
自分の身は自分で守る時代。みんなも気を付けようね！
【参考資料】
- 警察庁・総務省・経済産業省「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（2026年3月12日公表）
- IPA「情報セキュリティ10大脅威 2026」
- 金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」
- 総務省「国民のためのサイバーセキュリティサイト」
