国家公安委員会、総務省および経済産業省は、アクセス行為の禁止等に関する法律に基づいて、「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」という報告書を毎年公表しています。2024年(令和6年)も3月14日に最新版が公表されており、2023年(令和5年)１月１日から12月31日までの不正アクセス行為の発生状況が詳細に報告されています。

不正アクセス行為の発生状況

2023年に都道府県警から警察庁に報告がなされた不正アクセス行為の認知件数は6,312件で、前年と比較すると4,112件（約186.9％）増加しています。

この数字を見て、少ないと感じる人もいるかもしれません。しかし、この報告書で「不正アクセス行為の認知件数」としてカウントされるのは、不正アクセス被害の届出を受理して確認した事実以外にも、余罪として新たに確認した不正アクセス行為、報道を踏まえて事業者等から確認した不正アクセス行為、その他関係資料により確認した不正アクセス行為のうち、犯罪構成要件を満たしている事実と明記しています。つまり、犯罪構成要件を満たしていない事実、警察庁に報告されていない事実は含まれておらず、実際の不正アクセス行為は膨大な数になるでしょう。

不正アクセスした後の犯罪行為についての内訳は、「インターネットバンキングでの不正送金等」が5,598件と最も多く、次いで「メールの盗み見等の情報の不正入手」が204件、「インターネットショッピングでの不正購入」が93件となっています。

2019年(令和元年)の認知件数と比較すると、インターネットバンキングでの不正送金等の件数が急増していることがわかります。その他の不正アクセス後の行為件数はほぼ横ばいであることを考えると、サイバー犯罪者は明確にインターネットバンキングの口座を狙っていると言えるでしょう。

検挙にいたる不正アクセス行為は少ない

2023年に認知件数が急増しているにもかかわらず、2023年の検挙件数は521件、検挙人数は259人に留まっています。前年と比較すると1件の減少と2人の増加とほぼ同数です。不正アクセス行為などのサイバー犯罪には国境がありません。悪質なサイバー犯罪集団が海外から日本人や日本企業を狙うケースが多いため、なかなか国内で検挙することの難しい犯罪だということがわかります。

違反行為別に内訳を見ると、「不正アクセス行為」が487件・248人といずれも全体の90％以上を占めています。その他にはIDやパスワードなどを不正に窃取する「識別符号取得行為」が11件・８人、他人のIDやパスワードなどを正当な理由なく第三者に渡す「識別符号提供（助長）行為」が13件・10人、不正利用を目的に他人のIDやパスワードなどを保管する「別符号保管行為」が７件・６人、フィッシングサイトなどで不正に他人のIDやパスワードなどを要求する「識別符号不正要求行為」が３件・２人となっています。

また、不正アクセス行為の手口は、不正に入手した他人のIDやパスワードを利用する「識別符号窃用型」が90%以上を占めています。

IDやパスワードなどの管理の甘さが狙われている

注目すべきポイントは、475件の識別符号窃用型の不正アクセス行為における、手口別の内訳です。「利用権者のパスワードの設定・管理の甘さにつけ込んで入手」が203件と最も多く、次いで「識別符号を知り得る立場にあった元従業員や知人等による犯行」が68件となっています。前年と比べると、前者は約0.88倍、後者は約1.66倍となっています。

不正アクセス禁止法違反で検挙された被疑者は、14歳から19歳が73人と全体の28.2%と未成年者が目立っています。20代が103人と全体の39.8%、30代が53人で20.5%となっており、圧倒的に被疑者が若い世代に偏っています。なお、検挙件数や検挙人数にはカウントされていませんが、14歳未満の少年9人もが触法少年として補導されています。驚くことに、最年少はなんと11歳だったそうです。

識別符号窃用型の不正アクセス行為475件のうち、他人の識別符号を用いて不正に利用されたサービス別に内訳を見ると「オンラインゲーム・コミュニティサイト」が234件と最も多く、次いで「社員・会員用等の専用サイト」が82件でした。これは、前年と比べて、前者は約1.00倍、後者は約0.79倍という数字です。

不正アクセスの被害に遭わないために留意すること

この報告書では、不正アクセスの被害に遭わないよう、ユーザーが講ずべき措置についても触れられています。

1. パスワードの適切な設定・管理

推測されにくい安全なパスワードを使う。
同じパスワードを複数のサービスで使いまわさない。
メモアプリなどオンラインサービスから情報が漏洩するケースも報告されているため、信頼できるサービスを利用しない。

2. フィッシングへの対策

配送業者を装ったSMSや実際の企業を騙るメールなどに記載されたURLを安易にクリックしない。

3. 不正プログラムへの対策

SMSやメールからの誘導により、不正なアプリをインストールさせて情報を窃取するケースも報告されていることから、安易にURLをクリックせず、IDやパスワードも入力しない。
ウィルス対策ソフトウェアを導入する。
OSやアプリのセキュリティアップデートを適切に行う。
ワンタイムパスワードなどの二要素認証や二経路認証を利用する

これだけ見ると、とても当たり前の内容だと思われるかもしれません。しかし、ユーザーの管理の甘さによる被害が後を絶たないことからもわかるように、なかなか徹底されていないというのが現実です。

オンラインゲームやSNSのユーザーを狙った犯罪が多いのも、これらのサービスが幅広い年齢層に利用されており、その中に含まれているITリテラシーの低いユーザーが狙われているということではないでしょうか。

一方、サービスを提供する側にも講ずべき対策についても、次のように触れています。

1. 運用体制の構築

セキュリティの確保に必要なログの取得等の仕組みの導入
管理するシステムに係るぜい弱性の管理
不審なログインや行為等の監視
不正アクセスされた場合の対処に必要な体制の構築と、適切な運用

2. パスワードの適切な設定

使用しなければならない文字の数や種類を可能な限り増やして推測されやすいパスワードを設定できないようにする
複数のサービスで同じパスワードを使い回さないようユーザーに周知する

3. IDやパスワードの適切な管理

ユーザーの退会や退職によってアクセスする権利がなくなった際には、割り当てていたIDの削除やパスワードの変更を速やかに実行する

4. セキュリティホールへの対策

発見された脆弱性を解消するため、セキュリティパッチの適用などを速やかに実施する

5. フィッシングなどへの対策

二要素認証や二経路認証の仕組みを提供して認証を強化する
ユーザーに対してフィッシングについての注意喚起を行う

なお、この報告書には、実際の検挙事例や不正アクセス関連行為の届出状況なども記載されています。アクセス制御機能に関する技術の研究開発の状況報告として、国で実施している研究開発のテーマを公開しているほか、大学や民間企業での研究開発についても紹介しています。

より深い内容を知りたい方は、実際に報告書および、関連資料に目を通すことをお勧めします。

※不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況 (警視庁)

https://www.npa.go.jp/news/release/2024/20240314001.html

まとめ

・不正アクセスに関連する国内状況を、国家公安委員会、総務省、経済産業省が毎年公表している

・管理のあまいIDとパスワードを不正に利用するケースが目立つ

・パスワードの適切な管理など講ずべきセキュリティ対策についても言及している