不正アクセス禁止法違反の時効は3年｜起算点・民事の時効・罰則を弁護士が解説

不正アクセス禁止法違反の公訴時効は3年です。公訴時効とは検察官が犯人を起訴できる期限のことで、3年が過ぎると起訴できなくなります。被害者が損害賠償を請求できる期間は、これとは別に進みます。不正アクセスのあとに送金や情報の持ち出しがあり、詐欺などの別の罪が成立すれば、その罪には5年や7年の時効があります。

時効の数え方と止まり方を条文に沿って整理しました。被害を受けた企業の方は、時効より先に切れる期限と対応の章もお読みください。

不正アクセス禁止法違反の時効は何年か

不正アクセス禁止法違反の時効は、刑事では公訴時効の3年です。民事の損害賠償請求は、損害と加害者を被害者が知った時から3年、または不正アクセスの時から20年のどちらか早いほうが過ぎると、時効にかかります。

刑罰の期限と、お金を請求する期限は別物です。問題になる時効は次のとおりです。

1. 刑事の公訴時効は3年（刑事訴訟法250条2項6号）
2. 不法行為による損害賠償請求権は、損害と加害者を知った時から3年、行為の時から20年（民法724条）
3. 契約違反による損害賠償請求権は、権利を行使できることを知った時から5年、行使できる時から10年（民法166条1項）

3番目は、元従業員や業務委託先のように、会社と契約関係にある者が不正アクセスをした場合に使える根拠です。加害者が社内の人間や取引先なら、不法行為の短期消滅時効である3年が過ぎても契約違反による損害賠償責任を問うことができる5年が残っていることがあります。2020年3月31日以前に結んだ契約が原因の請求は、改正前の民法が適用され、期間が異なる場合があります（民法附則10条4項）。

公訴時効が3年になる理由

公訴時効の長さは、罪ごとの法定刑の重さで決まります。法律が定める刑の上限を長期といい、刑事訴訟法250条2項6号は、長期5年未満の拘禁刑又は罰金に当たる罪の時効を3年と定めています。

不正アクセス禁止法で最も重い不正アクセス行為の罪でも、刑は3年以下の拘禁刑又は100万円以下の罰金です（11条）。識別符号とは、IDやパスワードなど本人を確認するための符号です。識別符号の不正取得やフィッシング行為などは1年以下の拘禁刑又は50万円以下の罰金です（12条）。不正アクセスに使われると知らずに識別符号を提供した場合は30万円以下の罰金（13条）で、不正アクセス禁止法の罪はどれも公訴時効3年に当たります。

2025年6月1日の刑法等の改正で懲役と禁錮は拘禁刑に一本化され、刑事訴訟法250条の文言も拘禁刑に改められました。時効の年数は変わっていません。

参考：e-Gov法令検索 刑事訴訟法

刑事の時効と民事の時効の違い

刑事の時効と民事の時効は、互いに影響せず別々に進みます。

▼ 刑事の時効と民事の時効の違い

不正アクセス禁止法で禁止される行為と罰則

不正アクセス禁止法は、無断ログインや弱点を突く侵入と、その準備行為を処罰する法律です。禁止される行為と罰則、公訴時効の対応は次のとおりです。

▼ 不正アクセス禁止法で禁止される行為と罰則・公訴時効

不正アクセスの罪は、他人のIDとパスワードでログインした時点で成立します。ログインのあとに情報を盗んだり悪用したりしていなくても処罰の対象になり、その時点から公訴時効が進み始めます。

11条の罪と12条1号から3号までの罪は、日本国外で行われた場合にも処罰されます（14条、刑法4条の2）。

参考：e-Gov法令検索 不正アクセス行為の禁止等に関する法律

罪になる行為の線引きは、次の記事にまとめています。

不正アクセス禁止法違反の公訴時効はいつから数えるか

公訴時効は、犯罪行為が終わった時から進行します（刑事訴訟法253条1項）。被害に気づいた日や犯人が分かった日から数えるのではありません。

犯罪行為が終わった時

不正アクセス行為は、他人の識別符号を入力して、本来は使えない機能を使える状態にした時点で終わります。1回のログインであれば、そのログインの日から3年です。

たとえば2年半前の不正ログインが今日になって分かった場合、起訴までに残された期間は半年ほどしかありません。不正ログインを1件ずつ洗い出し、日時、接続元、使われたアカウント、操作の内容を一覧にすると、最初に時効が来る日が分かります。

民事の損害賠償で3年を数え始めるのは、被害者が損害と加害者を知った時です（民法724条1号）。

不正ログインを繰り返していた場合

何か月にもわたって不正ログインが続いていた場合は、公訴時効の数え方が問題になります。連続したログインを1回ごとの罪（併合罪）とみるか、全体で一つの罪（包括一罪）とみるかで変わります。1回ごとの罪とされれば古いログインから順に時効が完成し、包括一罪とされれば最後のログインから全体の3年を数えます。

20回の不正アクセスを1回ずつ別の罪として扱った判決もあります（佐賀地裁令和7年2月12日判決）。どちらとみるかは行為の態様や間隔で判断が分かれるため、古いログインの時効が完成したと決めつけないでください。

共犯がいる場合

共犯者がいる場合、公訴時効は最終の行為が終わった時から、すべての共犯者について進行します（刑事訴訟法253条2項）。ログインを実行した者と、それを手伝った者が共犯とされる事案では、最後の実行行為を基準に全員の時効を数えることになります。共犯者の一人が起訴されると、その事件の裁判が確定するまで、ほかの共犯者の時効も進行を停止し、確定した時から再び進みます（同法254条2項）。

参考：e-Gov法令検索 刑事訴訟法

不正アクセス禁止法違反の公訴時効が止まる場合

公訴時効が止まるのは、検察官が起訴した場合と、犯人が国外にいる場合や逃げ隠れている場合です。被害届を出しても、刑事告訴をしても、公訴時効は止まりません。

1. 公訴の提起によって、時効の進行が止まります（刑事訴訟法254条1項）
2. 犯人が国外にいる間は、時効が進みません（同法255条1項）
3. 犯人が逃げ隠れていて、起訴を知らせる書類（起訴状の謄本）を届けられなかった間なども、時効が進みません（同項）

海外のサーバーを経由した攻撃でも、犯人自身が国内にいれば時効は通常どおり進みます。一方で、犯人が出張や旅行で一時的に海外へ出ていた期間も、時効は止まります（最高裁平成21年10月20日第一小法廷決定・刑集63巻8号1052頁）。

参考：裁判所 裁判例検索 最高裁平成21年10月20日第一小法廷決定

被害者の行動で公訴時効を止められない以上、告訴状は早めに出し、捜査と起訴に使える時間を残しておく必要があります。

参考：e-Gov法令検索 刑事訴訟法

不正アクセスでほかの罪も成立したときの時効

乗っ取ったアカウントから送金したり情報を持ち出したりすると、不正アクセス禁止法とは別の罪が成立することがあり、その罪の時効は3年より長くなります。公訴時効は罪ごとに決まるため、不正アクセスの罪の3年が過ぎても、ほかの罪で起訴される可能性は残ります。

▼ 不正アクセスと一緒に成立しやすい罪と公訴時効

7年と5年は、刑事訴訟法250条2項4号・5号の区分によります。ただし営業秘密侵害罪になるのは、秘密として管理され、事業に有用で、公然と知られていない情報（不正競争防止法2条6項）の場合です。さらに、不正の利益を得る目的か損害を加える目的が要ります。これに当たらなければ、不正アクセスの罪の3年だけが残ることがあります。

不正アクセスの罪とこれらの罪が一緒に成立したときは、2つの罪の関係をどうみるかで時効の扱いが変わることがあります。ある罪が別の罪の手段や結果になっている関係である牽連犯に当たる場合は2つの罪をまとめて重いほうの1つの刑で処罰します（科刑上一罪）。

最高裁は、不正アクセス行為を手段として私電磁的記録不正作出が行われた場合でも、両者は牽連犯の関係にはなく、それぞれの行為を別々の罪として扱う併合罪であると判断しました。この判断は、この組み合わせについてのもので、ほかの罪との関係は事案ごとに判断されます。別々の罪とされれば不正アクセスの罪の3年が先に完成し、科刑上一罪とされれば、最も重い罪の期間で一体として計算すると解されています。

最高裁平成19年8月8日第二小法廷決定（平成19年(あ)第720号・刑集61巻5号576頁）。判断の対象は当時の不正アクセス禁止法8条1号の罪で、現在の11条の罪に当たります。

参考：裁判所 裁判例検索 最高裁平成19年8月8日第二小法廷決定

システムの停止を伴う攻撃と、元従業員による情報の持ち出しは、それぞれ次の記事で解説しています。

不正アクセスによる損害賠償請求の時効

不正アクセスで受けた損害の賠償は、加害者との関係に応じて、不法行為と契約違反のどちらか、または両方を根拠に請求します。

不法行為の損害賠償は知った時から3年・行為の時から20年

不法行為による損害賠償請求権の時効は、民法724条が定めています。損害と加害者を被害者が知った時から3年、または不法行為の時から20年のどちらか早いほうが過ぎると、時効によって消滅します。

加害者を知った時とは、請求の相手が誰か分かる程度に知った時と解されています。最高裁も、加害者の姓と職業しか分からず、氏名と住所を知ることが難しかった事案で、氏名と住所が分かった時点を加害者を知った時と判断しました。

参考：裁判所 裁判例検索 最高裁昭和48年11月16日第二小法廷判決（民集27巻10号1374頁）

不正アクセスの犯人は、IPアドレスやアカウント名しか分からないことが珍しくありません。その段階ではまだ3年は進まず、捜査の結果や社内調査などで氏名と住所が判明した時から数えるのが基本です。ただし20年の期限は、犯人が分からなくても不正アクセスの時から進みます。

会社の場合は、代表者や請求の権限をもつ担当者が知った時が基準になると解されています。社内のログで元従業員のアカウントと分かった時点から3年が進むこともあるため、疑いが具体的になった日から数えておくのが安全です。

参考：e-Gov法令検索 民法

元従業員や委託先に対する契約違反の責任

元従業員や業務委託先による不正アクセスは、就業規則や秘密保持誓約書、業務委託契約の違反にもなります。その場合は、契約で約束した義務を果たさない債務不履行として損害賠償（民法415条）を請求できる場合があります。この請求権は、権利を行使できることを知った時から5年、行使できる時から10年で時効にかかります（民法166条1項）。2020年3月31日以前の契約（入社時の誓約書を含む）が原因の請求には、改正前の民法が適用されます。その場合は行使できる時から10年（旧民法167条1項）、商行為なら5年（旧商法522条）となる場合があります（民法附則10条4項）。従業員に請求する場合は、故意の程度などによって賠償額が制限されることがあり、誓約書で賠償額をあらかじめ決めておく条項は労働基準法16条に反します。

不法行為の3年が過ぎていても、契約違反の5年が残っていることがあります。どちらで請求できるかは契約の定め方と行為の内容で変わるため、退職時の秘密保持誓約書やアカウント返却の条項があるかを最初に確かめてください。委託先の会社には委託契約上の義務違反として5年の時効で請求できる場合があります。委託先の従業員の行為について使用者責任（民法715条）を問うときは、不法行為として3年の時効になります。

時効の完成を止める方法

民事の時効は、被害者の側から完成を止めることができます。

▼ 損害賠償請求の時効の完成を止める主な方法

時効の完成が迫っているときは、まず催告で6か月の猶予を確保し、その間に訴訟の準備を進めるのが実務の流れです。催告は相手に届いて初めて効力が生じ、猶予は1回限りです。相手の住所が分からない場合や財産を隠すおそれがある場合は、仮差押え（民法149条）を含めて早めに弁護士に相談してください。

不正アクセスの時効より先に切れる企業の期限

公訴時効の3年が残っていても、証拠と報告の期限は時効よりずっと早く来ます。次の2つは、被害を受けた企業に共通する期限です。業種や取引先との契約によっては、これより早い報告や通知の期限がある場合もあります。

数か月で消えることもあるアクセスログ

不正アクセスを立証し、犯人を特定するには、認証ログ、アクセスログ、操作ログ、メールの送信履歴などが欠かせません。これらのログは、設定や契約で決まった期間が過ぎると上書きや削除の対象になります。プロバイダが保存している接続の記録も、数か月で消えることがあります。SaaSの監査ログ、VPNの接続記録、ソースコード管理の履歴も確認の対象です。

被害に気づいたら、まず各サービスのログの保存期間を確かめ、元のデータに手を加えずに複製して保全し、取得した日時と作業者を記録してください。不正アクセスそのものは発信者情報開示の対象にならないことが多く、プロバイダの記録は捜査機関の照会や差押えで確保されるのが通常です。乗っ取ったアカウントから投稿がされた場合などは、開示請求を使える余地があります。

個人情報の漏えいと個人情報保護委員会への報告

不正アクセスで個人データが漏えいした場合や、漏えいしたおそれがある場合、企業は個人情報保護委員会への報告と本人への通知をしなければなりません（個人情報保護法26条）。不正の目的をもって行われたおそれがある行為による漏えいは、人数にかかわらず報告の対象です（個人情報の保護に関する法律施行規則7条3号）。顧客から預かった個人データの場合は、委託元に通知することで自社からの報告に代えられる場合があります（同法26条1項ただし書）。

報告は2段階で行います。事態を知った後、速やかに速報を出します（同規則8条1項）。確報の期限は、不正アクセスのように不正の目的によるおそれがある場合は知った日から60日以内、それ以外は30日以内です（同条2項）。速報の目安について、個人情報保護委員会のガイドライン（通則編）は、事態を知った時点から概ね3〜5日以内としています。

参考：個人情報保護委員会 個人情報の保護に関する法律についてのガイドライン（通則編）（令和8年6月一部改正）

▼ 不正アクセスの被害で企業が意識すべき期限

不正アクセスの被害を受けた企業がとるべき対応

不正アクセスの被害に気づいた企業は、まず証拠の保全と被害範囲の調査を行い、その結果をもとに報告、刑事手続、民事請求を同時に進めます。

1. 不正に使われたアカウントを停止し、ログを保全する
2. 被害の範囲を調査する。自社で解析できないときはデジタルフォレンジックの専門業者に依頼する
3. 個人データの漏えいがあれば、個人情報保護委員会に報告し、本人に通知する
4. 警察に被害届を出し、刑事告訴を検討する
5. 犯人を特定し、損害賠償を請求する

不正アクセス禁止法違反は、被害者の告訴がなくても起訴できる罪（非親告罪）です。親告罪に適用される、犯人を知った日から6か月という告訴期間の制限（刑事訴訟法235条）もありません。ただし、乗っ取ったアカウントで名誉毀損などの親告罪に当たる投稿がされることもあります。その罪の告訴は、犯人を知った日から6か月以内に行う必要があります（刑法232条・刑事訴訟法235条）。

再発防止として、パスワードの変更と多要素認証の導入を進めます。退職者や契約が終わった委託先のアカウントは、まずログインできない状態に無効化し、ログとデータを保全してから、調査が終わった段階で削除します。端末の初期化や電源を切る操作は、調査業者の指示を受けてから行ってください。

被害届と刑事告訴の違い

被害届は被害の事実を警察に申告するものです。刑事告訴は、被害の事実を申告したうえで犯人の処罰を求める意思表示で、被害者に認められた手続です（刑事訴訟法230条）。告訴を受けた警察は、書類と証拠物を速やかに検察官へ送付する義務を負います（同法242条）。

どちらを出しても公訴時効は止まりません。処罰を求めるなら、ログの解析結果などの証拠を整理した告訴状を早い段階で出すことが、3年の時効を有効に使う方法です。サイバー犯罪は技術的な説明が欠かせないため、告訴状の作成や警察との協議を弁護士に任せる企業も少なくありません。

社内調査と並行して進める民事請求

刑事手続の結論を待っている間にも、民事の時効は進みます。社内調査で犯人と損害が分かった時点で、内容証明郵便による請求や交渉を始められます。

在職中の従業員が犯人であれば懲戒処分の検討が、すでに退職していれば退職金の扱いが問題になります。退職金の不支給や減額が認められるかは、就業規則の定めと行為の悪質さによって判断が分かれます。

不正アクセス禁止法違反で刑罰が科された事例

不正アクセスの事件は、不正送金や相場操縦などほかの犯罪と一緒に裁かれることがあります。裁判所が公表している近年の判決から2件を紹介します。

▼ 不正アクセス禁止法違反を含む近年の判決

どちらの判決も、前科がないことや反省していることなどを理由に執行猶予を付けましたが、手口の組織性や常習性を厳しく指摘しています。2件とも行為が2025年6月1日より前だったため、懲役が言い渡されています。組織性や被害額、前科の有無によっては実刑となる事案もあります。なお、被告会社の罰金は金融商品取引法違反の罪によるもので、不正アクセス禁止法には法人を罰する規定はありません。

参考：裁判所 裁判例検索 東京地裁令和8年3月23日判決

参考：裁判所 裁判例検索 佐賀地裁令和7年2月12日判決

ほかの摘発事例は、次の記事でまとめています。

不正アクセス禁止法の時効に関するよくある質問

時効が過ぎた不正アクセスでも従業員を懲戒処分できますか

公訴時効は刑事手続の期限なので、時効が過ぎても社内の懲戒処分ができなくなるわけではありません。ただし、行為から長い時間がたってからの懲戒は、処分の時期や重さが相当かどうかが問われ、無効と判断される可能性があります。すでに退職した元従業員には懲戒処分ができないため、損害賠償の請求で対応することになります。退職金を支払う前であれば不支給や減額の規定の有無を、支払った後であれば返還を求められるかを確認します。

家族や恋人のアカウントに無断でログインした場合も時効は3年ですか

3年です。家族や恋人のIDとパスワードを使って、SNSやクラウドなどネット上のサービスに無断でログインした場合は、家族の間でも同じ罪が成立し、公訴時効も3年になります。端末の画面ロックを解除して中を見ただけの場合は不正アクセス行為に当たらないこともありますが、プライバシーの侵害など別の責任が問題になります。

まとめ：不正アクセス禁止法違反の時効は3年でも早めの対応が必要

不正アクセス禁止法違反の公訴時効は3年で、犯罪行為が終わった時から進み、被害届や告訴では止まりません。送金や情報の持ち出しで別の罪が成立すれば、その罪の時効は5年や7年です。民事の損害賠償は損害と加害者を知った時から3年、行為の時から20年で、元従業員や委託先が相手なら契約違反の5年も使える場合があります。

もっとも、実務で先に切れるのはログの保存期間と個人情報保護委員会への報告期限です。被害に気づいたら、時効を数えるより先に証拠の保全と報告の準備に取りかかり、刑事告訴と損害賠償請求は弁護士と相談しながら進めてください。

当事務所による対策のご案内

モノリス法律事務所は、IT、特にインターネットと法律の両面に高い専門性を有する法律事務所です。当事務所では、弁護士と現役のITエンジニアを含むITコンサルタントのチームで、不正アクセスや情報の持ち出しといったサイバー犯罪の被害を受けた企業の刑事告訴・被害届のサポート、不正調査、損害の回復までを取り扱っています。下記ページにて詳細を記載しております。