不正アクセスの被害、届出と相談はどこへ──警察・IPA・JPCERT/CCの使い分け、不正アクセス禁止法の要点、制作会社の役割

この記事は、顧客サイトが不正アクセスの被害に遭ったとき、被害の届出と相談をどこにするかと、不正アクセス禁止法の要点を扱います。

「警察に言ったほうがいいんですか？」と聞かれて、答えられるか

管理画面に知らない人がログインしていた。
顧客にそう報告すると、多くの場合、こう聞き返されます。

「警察に届けたほうがいいんですか？　どこに連絡すればいいんですか？」

ここで「調べてご連絡します」としか言えないと、顧客の不安は大きくなります。
窓口ごとに、何をしてくれて、何をしてくれないのかを、事前に知っておく必要があります。

不正アクセスの届出・相談とは、捜査は警察、技術の助言はIPA、相手先への連絡調整はJPCERT/CC、個人情報の報告は個人情報保護委員会と、目的ごとに窓口を選ぶことである

黒字化の外科医です。被害のあとの「どこに、何を」を解剖します。

なお私は弁護士ではありません。実務の指針として読み、個別の判断は専門家や公的な窓口に確認してください。

窓口を使い分けるべき理由は、三つあります。

第一に、窓口ごとに役割がまったく違うから。
JPCERT/CCは、捜査や取り締まり、犯人の特定は行わないと明記しています。犯人を罰してほしいなら、警察です。

第二に、届け出るかどうかを決めるのは、顧客だから。
サイトの持ち主は顧客です。制作会社は、判断に必要な事実を早く正確に渡す立場です。

第三に、個人情報が絡むと、期限のある手続きが始まるから。
漏えいのおそれがあれば、顧客の側で個人情報保護委員会への報告と本人への通知の要否の判断が始まります。

▶ 個人情報の漏えい、報告は誰がいつまでに──報告対象の4類型、速報と確報の期限、制作会社が委託元へ「速やかに」知らせる流れ

不正アクセス禁止法の要点

不正アクセス禁止法（不正アクセス行為の禁止等に関する法律）は、次の行為を禁止しています。

• 第3条：不正アクセス行為（他人のIDやパスワードを無断で入力して使う、システムの弱点を突いて制限を免れる、など）
• 第4条：不正アクセスに使う目的で、他人の識別符号（IDやパスワードなど）を取得すること
• 第5条：業務その他正当な理由なく、他人の識別符号を第三者に提供すること
• 第6条：不正アクセスに使う目的で、不正に取得された他人の識別符号を保管すること
• 第7条：管理者になりすまして、識別符号の入力を求めること（フィッシングサイトの公開やメールの送信）

罰則は、第11条で、不正アクセス行為について「3年以下の拘禁刑又は100万円以下の罰金」と定められています（令和7年6月1日の刑法等の改正の施行で、それまでの「懲役」が「拘禁刑」に変わりました）。第4条・第6条・第7条の違反などは「1年以下の拘禁刑又は50万円以下の罰金」、第5条の提供で第12条に当たらないものは「30万円以下の罰金」です。

最新の条文は、e-Gov法令検索で確認してください。

制作会社にとって大切なのは、第8条と第9条です。

第8条は、アクセス管理者に、識別符号の適正な管理と防御の措置に努めることを求めています。
第9条は、被害を受けたアクセス管理者が、再発防止のために都道府県公安委員会に援助を申し出られることを定めています。

もう一つ、第5条には注意が必要です。業務で顧客のIDやパスワードを預かる制作会社は、正当な理由のない第三者への提供をしないよう、預かり方を決めておきます。

▶ パスワード管理、顧客から預かるIDで事故を起こさない制作会社のルール──FTP・管理画面・サーバー・ドメインの受け取り、保管、返却と依頼文

今すぐ試せる：届出・相談先を整理するプロンプト

私はWeb制作会社の経営者です。顧客サイトの不正アクセスについて、届出・相談先を整理してください。

【状況】
・気づいた日時と、起きたこと：〔　〕
・個人情報（会員情報・問い合わせ内容など）が見られた可能性：〔ある／ない／不明〕
・金銭の被害：〔ある／ない／不明〕
・サイトの持ち主（顧客）と、制作会社の契約の範囲：〔　〕

1. 警察・IPA・JPCERT/CC・個人情報保護委員会のそれぞれについて、連絡を検討すべきか、その理由を書く。
2. 誰が連絡するか（顧客／制作会社）を分ける。
3. 連絡の前に用意しておく資料を挙げる。
4. 顧客に説明する文を、5行で書く。

法的な判断を断定しないこと。

届出・相談工場：窓口の早見表

【警察（都道府県警察のサイバー犯罪相談窓口）】
・何のため：捜査・被害届
・方法：最寄りの警察署、またはオンライン受付窓口（全国統一。通報・相談・情報提供の3種類）
・誰が：原則、被害を受けた顧客。制作会社は同席や資料の用意で支える

【IPA 企業組織向けサイバーセキュリティ相談窓口】
・何のため：初動対応の助言、一般的なセキュリティの相談
・注意：事案の調査・分析、ログや端末の調査依頼、法律の解釈・契約の相談は対象外
・別に「ウイルス・不正アクセス届出」の受付もある（未遂でも届出に協力を求めている）

【JPCERT/CC インシデント報告】
・何のため：改ざんされたサイトや攻撃元の管理者への連絡、初動対応のサポート
・方法：Webフォームまたはメール（原則、電話は受け付けない）
・注意：捜査や犯人の特定はしない

【個人情報保護委員会】
・何のため：個人データの漏えい等の報告
・誰が：個人情報取扱事業者である顧客（委託先の制作会社は、委託元へ速やかに知らせる）

連絡の前に、気づいた日時、症状、残っているログ、取った対応を、時系列でまとめておきます。JPCERT/CCも、攻撃元への連絡にはタイムスタンプを含むログが必要だとしています。

構造的なリスク

逆説を指摘しておきます。

制作会社が親切心から、顧客に代わって警察やJPCERT/CCに連絡を進めると、顧客の社内の判断を飛ばしてしまうことがあります。
顧客には、取引先や株主への説明の順番があるからです。

だから、連絡の前に「誰が、どこに、いつ」を顧客と決め、記録に残してください。制作会社が自分の判断で動いてよいのは、被害を広げないための隔離までです。

▶ WordPress 改ざんに気づいた日、制作会社が最初の24時間でやること──隔離・保全・連絡・復旧・再発防止を、慌てて消さない順番で

よくあるQ&A

Q. 未遂（ログインを何度も試されただけ）でも届け出るべきか？

警察への被害届は、被害の事実が前提です。IPAは、未遂でも攻撃の状況を知るために届出への協力を求めています。顧客と相談して決めてください。

Q. 制作会社が、自社の判断で届け出てもよいか？

自社のサーバーや自社のアカウントが被害に遭ったなら、自社が当事者です。顧客のサイトなら、顧客の了解を取ってから動きます。

Q. 警察に相談すると、サイトを止めなければならないのか？

相談の内容によって変わります。止めるかどうかは、被害の広がりを見て顧客と決め、証拠となるログやファイルの写しは止める前に残しておきます。

最後に

窓口は、捜査・助言・連絡調整・個人情報の報告で分かれます。

窓口ごとの役割を事前に知り、顧客と「誰がどこに」を決めておいた会社だけが、被害の日に顧客の隣で落ち着いて動けるのです。

調査会社への依頼書と、顧客への報告書の型は、こちらにまとめました。

▶ 不正アクセス調査・報告キット──ログ保全の手順、調査会社への依頼書、時系列シート、顧客への報告書、再発防止策の型とAIプロンプト

これまでの記事は、メンバーシップ「黒字化オペ室」でまとめて読めます。月額1,980円、記事2本分の金額です。詳しくはプロフィールから。

#Web制作会社 #不正アクセス #不正アクセス禁止法 #サイバー犯罪 #IPA #JPCERT #制作会社経営 #中小企業 #インシデント対応 #個人情報保護