なりすまし・不正ログイン発生時の個人情報保護法対応、関連法令と刑罰

なりすましとは、一般に、他の利用者のふりをして不正行為を行うことをいいます。特にウェブサービスにおける「なりすまし」というと、第三者が特定のユーザーの認証に必要な要素（たとえば、IDやパスワード）を入手し、あたかも正規のユーザーであるかのようにウェブサービスを利用する行為を指すことが多く、たとえば、ECサイトの正規ユーザーになりすまして商品を購入したり、その他金銭を扱うオンラインサービス（インターネットバンキングなど）の正規ユーザーになりすまして別の口座に不正に送金したりするといった被害が出ています。

なりすましによる不正ログインの手法

なりすましの手法には、ID・パスワードを推測して不正ログインを行うケースもありますが、典型的には、フィッシングやリスト型攻撃によるものがあげられます。

フィッシング

フィッシングとは、攻撃者が正規のサイトとよく似た偽のサイトを用意し、それを正規のサイトと勘違いしたユーザーにIDやパスワードなどの情報を入力させて、これらの情報を入手する手法です。

典型的には、クレジットカード会社や銀行からの連絡を装ったメールを送り、メールに添付されたリンクをクリックさせるなどして、偽サイトに誘導し、ユーザーにIDやパスワード、口座番号やクレジットカード番号等を偽サイトに入力させて、これらの情報を窃取するケースがあります。攻撃者は、窃取したログイン情報等を正規のサイトに入力することで、本人になりすまし、商品を購入したり、自分の口座に不正に送金させたり、登録された情報を改ざんしたりします。

近年、フィッシングの被害やそれに起因すると思われる不正送金被害が急増しています。2023年12月25日に警察庁・金融庁から発せられた注意喚起 ¹ によると、2022年に1,136件だった被害件数は、2023年は12月8日時点で5,147件と過去最多に上っています。

リスト型攻撃

リスト型攻撃とは、ユーザーが同じID・パスワードなどの組合せを複数のサイトで使いまわしていることを利用して、あるサービスから漏えい等して流通してしまっているログイン情報の組み合わせのリストを用いて、他の様々なサービスでの不正ログインを試みる手法です。

なりすましに関連する法令

個人情報保護法

個人データ漏えい等への対応義務

個人情報取扱事業者は、不正の目的をもって行われたおそれがある個人データの漏えい、滅失、毀損（漏えい等）またはそのおそれが生じたときには、個人情報保護委員会への報告および本人に対する通知の義務を負います ²。典型的には、管理するサーバに保存されている個人データがサイバー攻撃により漏えいしたようなケースです。

一方、フィッシング等によって攻撃者が不正にログイン情報等 ³ を取得した場合は、サービス提供者のサーバに保存されている情報ではなく、ユーザーが入力した情報等が攻撃者に窃取されているため、問題状況が異なります。

フィッシングと個人データの漏えい等

フィッシングにより攻撃者がユーザーの個人情報を取得した場合、ユーザーは、サービス提供者が保有する個人データと同じ内容の情報を偽サイトで入力し、その情報が攻撃者に窃取されてしまっているものの、サービス提供者から個人データが漏えいしたわけではないとされています。

もっとも、その後、攻撃者が本人になりすまして正規サイトに不正ログインした場合は、一般的には、攻撃者が正規サイトでログイン後に個人データ（たとえば「マイページ」に登録している住所など）を閲覧することが可能となるため、不正ログインした時点でサービス提供者から個人データの漏えい等またはそのおそれが発生したとして、サービス提供者は報告等の義務を負います ⁴。

2024年4月施行・改正規則とウェブスキミング

ウェブスキミングとは、典型的には、脆弱性を利用したり管理画面に不正侵入することで正規サイトを改ざんし、ユーザーが正規サイトに入力した情報を直接攻撃者に送信させる手法です。2023年11月には、初の摘発事例があった旨が報道されています ⁵。ウェブスキミングにおいては、ユーザーの目線では、自分のログイン情報等を正規サイトに入力しているだけであるため、ログイン情報等が不正に送信されていることに気付くことが困難です。

ウェブスキミングにより攻撃者がユーザーの個人情報を窃取する場合、フィッシングと同様、ユーザーが入力した情報は、事業者が取得することなく攻撃者に送信されてしまいます。そのため、従来は、事業者から個人データが漏えいしたとは整理できませんでした。

しかし、このたび、ウェブスキミングを念頭に置いた個人情報保護法施行規則と「個人情報保護法ガイドライン（通則編）」の改正（2023年12月27日公表）（以下、「改正個人情報保護法ガイドライン（通則編）」）が2024年4月1日に施行され、同規則7条3号が以下のとおり改められました。

典型的には、ウェブスキミングによって攻撃者がユーザーの個人情報を窃取した場合に個人データの漏えい等として、また、ウェブページに入力された情報を窃取する改ざんがなされた痕跡が確認された場合に、漏えい等の「おそれ」がある（改正個人情報保護法ガイドライン（通則編）3-5-3-1）ものとして、報告義務・本人通知義務が生じることとなります⁶。

なりすましによる不正ログインと刑事罰

攻撃者が、フィッシング等によりユーザーのログイン情報を不正に取得し、そのユーザーになりすまして銀行のサイト等にログインして不正送金するケースでは、主に不正アクセス禁止法違反や電子計算機使用等詐欺罪などが成立すると考えられます。

不正にログイン情報を取得する行為等 – 不正アクセス禁止法違反

不正アクセス禁止法は、ユーザー認証機能を保護する法律であり、典型的には、IDとパスワードによるユーザー認証機能を有するシステムに、他人のIDとパスワードを入力して不正にログインする行為などが不正アクセス行為として禁止されています。

同法には、フィッシングに関する規定もあり、識別符号（IDやパスワードなどが典型例です）の入力を不正に要求する行為として、次の2つをそれぞれ禁止しています ⁷。

不正送金する行為 – 電子計算機使用詐欺罪

電子計算機使用等詐欺罪 ⁸ は、たとえば、攻撃者が、不正に取得したログイン情報等で、ネットバンキングの他人のアカウントに不正にアクセスし、攻撃者の口座を含む別の口座に送金させた場合に成立します。この罪は、詐欺罪 ⁹ を補完する位置づけのものであり、詐欺罪は、「人」を騙して財物や財産上の利益を得る場合（たとえば、銀行の窓口で、他人になりすまして銀行員をだまし、不正送金させるケース）に適用されますが、「機械」については「騙す」ことが観念できないため、人を介さずに機械的に行われる行為の処罰を可能とするために設けられた規定です。

その他成立しうる刑事罰

攻撃者は、フィッシングなどによって、他人のログイン情報等を不正に取得したうえで、取得した情報を正規サイトに入力して他人になりすましてログインし、不正送金や商品の購入、データの改ざんなどを行います。これらの行為については、上記で論じたものを含め、主として、以下のような刑事罰が成立する可能性があります。警察に相談する場合などに参考にしてください。