「不正アクセス」と「アカウント乗っ取り」は、しばしば同じ意味で使われます。しかし正確には、同じ出来事を別の側から見た言葉です。

筆者による整理（2026年8月20日）。不正アクセス禁止法そのものの解説は「不正アクセスとは？検挙された3人に1人は、10代だった」にあります。

この違いが効いてくるのが復旧のときです。侵入はふつう一瞬で終わりますが、乗っ取りは状態なので続きます。そして攻撃側は、その状態を長持ちさせるために本人を締め出します。

段階2が「乗っ取り」という言葉の中心です。本人確認の連絡先を奪われるため、正規の復旧手順が使えなくなります。だから第7章では、順番がとても重要になります。

第1章 おわり — 次は第2章

不正アクセス禁止法にもとづき、国家公安委員会・総務大臣・経済産業大臣は毎年、不正アクセス行為の発生状況を公表しています。2026年3月12日に出た最新版の数字から見ます。

出典：『不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況』（2026年3月12日）。認知件数は、被害の届出や関係資料により確認された、犯罪構成要件に該当する行為の数です。

中身は「お金」に寄っています

出典：同上。上位3つと合計のみ掲載しています。証券会社の取引サービスでの不正取引は、2023年まで0件、2024年が2件でした。

2件から1,484件です。これは統計の見せ方の問題ではなく、狙う先が実際に変わったということです。銀行と証券を合わせると6,231件で、認知件数全体の約87%を占めます。「乗っ取り＝SNSが荒らされること」という古いイメージは、2025年の数字とはかなりずれています。

証券口座で起きたこと

警察庁のサイバー情勢の報告は、この証券口座の被害を独立したコラムで扱っています。

出典：警察庁『令和7年におけるサイバー空間をめぐる脅威の情勢等について』（2026年3月）。同報告は金融庁およびフィッシング対策協議会の数字として紹介しています。前掲の認知件数（1,484件）とは集計主体と対象が異なります。

そして、この事件の使われ方が特殊でした。2025年11月に逮捕された事案では、他人の証券口座に不正アクセスして保有していた株を売却して資金をつくり、その資金で狙った株を大量に買って値を吊り上げ、自分が持っていた同じ株を高値で売るという手口が使われています。乗っ取られた口座は、資産を抜かれただけでなく、相場を動かす道具として使われました。被害が本人の残高で終わらない、という点で、これまでとは質が違います。

個人からの相談は「入れなくなった」が増えている

出典：IPA『情報セキュリティ安心相談窓口の相談状況［2026年第2四半期］』（2026年7月22日公開）。同レポートは相談の内容について「Facebook、Instagramなどに不正ログインされて、自分ではログインできなくなったという相談が多く寄せられており、増加傾向にあります」と記しています。

第2章 おわり — 次は第3章

2025年に検挙された不正アクセス（他人のIDとパスワードを使う「識別符号窃用型」399件）について、どうやってIDとパスワードを手に入れたのかが公表されています。ここに、この記事でいちばん伝えたい事実があります。

出典：『不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況』（2026年3月12日）。2025年に検挙した識別符号窃用型399件の内訳です。検挙された事件の内訳であり、起きた乗っ取り全体の内訳ではありません。捕まりやすい手口ほど数字に出やすい点に注意してください。

色を付けた2行を足すと96件、全体の約24.1%になります。元従業員や知人による犯行と、本人から聞き出したり、のぞき見たりして入手したもの。検挙された乗っ取りの、およそ4件に1件は「顔を知っている相手」です。

この事実は、対策の優先順位を変えます。フィッシング対策や複雑なパスワードは、遠くの攻撃者には効きます。しかし肩越しに画面を見られること、退職者のアカウントが残っていること、家族や恋人に教えたパスワードをそのままにしていることには効きません。同じ資料では、不正に利用されたサービスの1位が「社員・会員用等の専用サイト」（122件）、2位が「コミュニティサイト」（92件）でした。1位が社内向けのサイトである点も、この文脈で読むと納得がいきます。

どこで止まれるか

段階2と3の通知は、多くのサービスで初期設定のまま有効になっています。問題は、その通知が普段のお知らせメールに埋もれていることです。「登録情報の変更」だけは別扱いにして目に付くようにしておくと、段階3で止まれる確率が上がります。

第3章 おわり — 次は第4章

第4章 おわり — 次は第5章

対策の順番を、ふつうとは逆にします。パスワードを強くするより先に、本人確認の連絡先を守る。ここが取られなければ、入られても取り返せるからです。

第5章 おわり — 次は第6章

2025年に検挙された識別符号窃用型399件のうち、不正に利用されたサービスの1位は「社員・会員用等の専用サイト」（122件）でした。個人のSNSではなく、業務用のサイトです。そして手口の側では、元従業員や知人など識別符号を知り得る立場にあった者による犯行が61件ありました。この2つを並べると、組織がまずやるべきことが見えてきます。

「導入の重さ」は筆者の目安です。上2行は費用がほぼかからず、統計上いちばん効く場所に当たります。

第6章 おわり — 次は第7章

最初に決めることは1つだけです。いま、自分でログインできますか。できるなら、まだ主導権はこちらにあります。できないなら、事業者の力を借りる作業になります。

まだログインできる場合

もうログインできない場合

「まだログインできる」と「もうできない」の分かれ目は、多くの場合数分です。だから第3章の段階3の通知が重要になります。取り返せなかったとしても、あなたの落ち度とは限りません。

第7章 おわり — 次は第8章

この用語とセットで覚えると理解が早くなる語です。

第8章 おわり — 最後にFAQ