アカウント乗っ取りの二次被害｜責任の範囲と初動72時間アカウント乗っ取りの二次被害｜責任の範囲と初動72時間
サイトオーナー乗っ取りで奪われたのは権利で、
残されたのは責任だった。
アカウントを乗っ取られた人が最初に直面するのは、「返してもらえるのか」という問いです。しかし相談を受けていて重いのは、その次に来る問いのほうでした。自分のアカウントから送られたメッセージで、知人が実際に金を払ってしまった。自分は責任を負うのか。この記事は、その二つを地続きのものとして扱います。
二つの問いは、地続きである
まず、相談の場でよく起きることを設例の形で置きます。
ある朝、いつも使っているSNSにログインできない。パスワードを変えた覚えはない。登録していたメールアドレスには、「メールアドレスが変更されました」という通知だけが届いている。
数時間後、友人から連絡が来る。「さっき送金をお願いするメッセージが来たけど、あれ本当？」——もう遅い。何人かは、すでに払っている。
事業者の問い合わせフォームから申告した。自動返信は届いた。それから三日、何も起きない。アカウントは動き続け、メッセージは送られ続けている。
これは特定の事案ではなく、複数の相談に共通する経過を組み替えた設例です。この時点で当事者の頭にあるのは、二つの問いです。
返してもらえるのか。そして、自分は責任を負うのか。
前者は権利の問題、後者は責任の問題です。別々のテーマとして語られてきましたが、実際には地続きで、しかも同じ根から出ています。アカウントという仕組みが、名義と外観を本人に貼りつけたまま、アクセスできる地位だけを奪われうる形をしているからです。
そしてもう一つ、設例の後半にある問いがあります。通知したのに動かない事業者に、責任を問えるのか。ここも、相談の場では必ず出ます。
① アカウントは、法的に何なのか。取り返す対象は所有物なのか、それとも別の何かなのか。
② 二次被害の責任は、名義人に及ぶのか。自分のアカウントから送られたメッセージで、第三者が損をした場合。
③ 事業者は、どこまでの義務を負うのか。通知を受けた後の不作為に、責任を問えるのか。無償サービスなら、義務は軽くなるのか。
先に結論を言えば、①はほとんど争われておらず、②と③は争えるが先例がない。そして、この空白のなかで名義人が動かせるものは、思っていたよりも多くあります。
先に、要点
この記事の主張は一つです。権利は薄く、責任は残る。
- 01 ── アカウントは、法的には「持ち物」ではない
- 利用規約上の位置づけは所有ではなく利用許諾で、譲渡も相続も明示的に否定されているのが通例です。「返せ」という請求が成り立ちにくいのは、取り返す対象が所有物ではないからです。
- 02 ── それでも守られている利益はある
- 不正アクセス禁止法が守っているのはアクセス制御機能であって、名義人の所有権ではありません。ただし人格権、営業上の利益、業務の平穏という別のルートは生きています。守られているのは「物」ではなく「地位と利益」です。
- 03 ── 責任の側は、権利の側より輪郭が濃い
- 経済産業省の準則は、ID・パスワードを冒用されて契約が締結された場合に本人へ効果が帰属するかを、表見代理法理を基礎として整理しています。権利の議論に比べ、責任の議論のほうが先に枠組みを持っている。これが非対称の正体です。
- 04 ── 名義人の責任を分けるのは、三つの分岐
- 防御措置の水準、発覚後の対応速度、そして告知の有無。とりわけ告知は、道義的な行為ではなく責任を切る法的な作業です。「乗っ取られました」と出すことには、外観への信頼を打ち消す意味があります。
- 05 ── 通知しても動かない事業者に、責任を問えるか
- 「速やかに復旧させよ」と命じる法律上の義務規定は見当たりません。不正アクセス禁止法8条の防御措置は努力義務です。それでも、セッションを遮断できるのは事業者だけであるという排他的支配が、対応義務を基礎づける最も強い事情になります。無償サービスであることは、義務の程度に影響しても、有無を決めるものではありません。
- 06 ── 法人では、犯人が外部とは限らない
- 退職者の権限残存、委託先、共有パスワード。管理主体が誰なのかを決めていないアカウントは、事故が起きた瞬間に責任の所在も決まっていません。上場審査で問われるのは、まずここです。
アカウントは「持ち物」ではない
「アカウントを取り返す」という言い方を、私たちは日常的にします。しかし法的に見ると、取り返す対象が何なのかが判然としません。
多くのサービスの利用規約は、アカウントを利用者に許諾された利用権として構成し、第三者への譲渡・貸与・相続を明示的に禁じています。所有権の対象となる「物」ではなく、契約に基づいて与えられた地位である、という建て付けです。
「財産である」と言えそうな事情
- フォロワーや投稿の蓄積が、現実に集客と売上を生んでいる
- 広告収益、収益分配プログラム、決済手段が紐づいている
- 事業譲渡の場面で、実際に価値を織り込んで取引されている
「財産ではない」とされる事情
- 規約上、譲渡・貸与・相続が禁止されている
- 利用者に与えられているのは利用権であって所有権ではない
- サービスが終了すれば、その地位自体が消滅する
当事務所が調べた限り、SNSアカウントそのものの財産性や相続の可否を正面から判断した日本の公表裁判例は確認できませんでした。相続については、規約が一身専属性と相続の否定を明記している例が多く、実務上は事業者の運用（追悼アカウント化、削除申請、データの取得手続）に委ねられているのが現状です。差押えの対象となるかについても、公表された判断は見当たりませんでした。
それでも守られている利益はある
所有権が観念しにくいからといって、法が何も守っていないわけではありません。ただし、守られているものの中身は、多くの人が想像するのと少し違います。
不正アクセス禁止法が保護しているのは、アクセス制御機能に対する信頼と、電気通信に関する秩序です。名義人の「所有権」を守るために作られた法律ではありません。だからこそ、犯人が処罰されても、それだけではアカウントが戻ってくるわけではない。刑事と民事は別々に動きます。
国家公安委員会・総務大臣・経済産業大臣が令和8年3月12日に公表した資料によれば、令和7年における不正アクセス行為の認知件数は7,190件で、前年から約34.2%増加しました。検挙件数431件のうち、他人のID・パスワードを用いる「識別符号窃用型」が399件と9割を超えています。識別符号の入手方法としては、パスワードの設定・管理の甘さにつけ込んで入手したもの84件、フィッシングサイトから入手したもの77件が上位でした。
不正アクセス後の行為としては、インターネットバンキングでの不正送金等が4,747件で最多、次いで証券会社での不正取引等が1,484件となっています。SNSアカウントの乗っ取り単体を切り出した統計ではありませんが、入口の大半が「パスワードの管理」と「フィッシング」であることは、後述する責任論に直結します。
非対称が発生する
前半の結論と、これから述べる後半の結論を、並べて置きます。
LOST ── 奪われた側（権利）
REMAINING ── 残された側（責任）
二次被害の六類型
「誰が損をしたか」と「請求が誰に向くか」は、一致しません。ここを分けて考えることが出発点になります。
名義人は、責任を負うのか
四つの筋に分けて整理します。左が請求する側、右が名義人側の言い分です。
名義人は投稿していません。したがって問題になるのは作為ではなく、管理を怠ったことが過失にあたるかです。
請求する側
- パスワードを使い回し、二要素認証も設定していなかった
- 不正ログインの通知を受けながら放置していた
- その懈怠がなければ、被害は生じなかった
名義人側
- 自らも不正アクセス禁止法上の被害者である
- 損害を直接生じさせたのは犯人の詐欺行為であり、因果関係が遠い
- 一般の利用者に求められる管理水準を超える義務はない
乗っ取られた名義人の管理懈怠を理由に、第三者に対する損害賠償責任を認めた日本の公表裁判例は、確認できませんでした。この空白は、名義人にとって有利にも不利にも読めます。責任を認めた先例がないという意味では有利ですが、否定した先例もないため、請求される可能性を打ち消すこともできません。予測可能性がない、というのが正確な状態です。
ここが、この記事でもっとも枠組みがはっきりしている部分です。
経済産業省の準則は、ID・パスワードの冒用やクレジットカード情報の不正使用によって契約が締結された場合に、冒用された本人に責任が生じるかという問題を、表見代理法理を基礎として整理しています（I-3-1）。また、既に成立した預金契約に基づく弁済の有効性については、取引上の社会通念に照らして受領権者としての外観を有する者に対する弁済（民法478条）を基礎に、別途の規律として整理しています（I-3-2）。
請求する側
- 本人の名義とプロフィールを備えたアカウントからの連絡であり、本人からのものと信じた
- 信じたことに過失はない
- そのような外観を作り出したのは、名義人自身の管理である
名義人側
- 表見代理は代理権の外観を前提とする法理であり、私的なやりとりに直接及ぶものではない
- 本人が代理権授与を示す行為をしておらず、帰責性の前提を欠く
- 不自然な文面や不自然な送金方法について、相手方に確認義務があった
準則が扱っているのは電子商取引における意思表示であり、友人へのDMによる送金依頼のような場面をそのまま射程に収めるものではありません。取引行為性という壁があります。
もっとも、「本人の帰責性の程度と、相手方が信じたことの正当性を衡量する」という判断の枠組みそのものは、共通して参照されうると考えられます。準則が繰り返し帰責性に言及していることは、名義人の管理体制が評価対象になりうることを示しています。
ほぼすべての利用規約に、「ID・パスワードの管理責任は利用者が負い、それらを用いて行われた行為は利用者本人の行為とみなす」という趣旨の条項があります。
この条項が定めているのは、あくまで事業者と利用者の間の関係です。事業者が「あなたのIDで行われた以上、当社は責任を負わない」と言うための条項であって、被害を受けた第三者が名義人に請求する根拠になるものではありません。両者を混同すると、責任範囲を実際より広く見積もることになります。
なお、本人の帰責性の有無を問わず一律に本人へ効果を帰属させる条項については、消費者契約との関係で問題が指摘されてきた領域でもあります。
法人の公式アカウントや、従業員が業務で用いるアカウントが乗っ取られた場合、構図が変わります。第三者から見れば、それは企業の発信だからです。
請求する側
- 公式アカウントである以上、企業の発信として信頼した
- 権限管理の不備は、企業自身の組織的な過失である
- 顧客情報が流出しているのであれば、安全管理措置の不備が問われる
企業側
- 投稿は第三者の犯罪行為によるもので、事業の執行についてなされたものではない
- 相当の注意を払って権限を管理していた
- 発覚後、直ちに告知と遮断を行っている
犯人の特定について
「犯人を特定して請求したい」という相談は多く受けます。ただし発信者情報の開示請求は、裁判手続を伴う独立した論点であり、その代理は弁護士の業務です。当事務所は行いません。本稿でも、名義人自身の権利と責任の整理に範囲を限っています。犯人が特定できるかどうかにかかわらず、名義人の側で先に固めておくべきことがある——本稿が扱うのはそちらです。
責任を分ける三つの分岐
公表裁判例がない以上、確実な線引きは示せません。ここで示すのは、責任を論じるときに必ず問われる三つの分岐点です。いずれも、名義人自身が動かせるものです。
防御措置は、どの水準にあったか
気づいてから、どれだけの速さで動いたか
乗っ取られた事実を、告知したか
そして告知には、もう一つの効果があります。いつ、どこで、何を告知したかという記録が残る。これは、発覚後に迅速に動いたことの証拠にもなります。分岐02と分岐03は、一つの行為でまとめて満たせるということです。
通知したのに動かない事業者に、責任を問えるか
分岐02で「直ちに事業者へ申告する」と書きました。しかし、申告しても動かないことがあります。その間にも被害は広がる。この不作為に、責任を問えるのか。
まず、法律は事業者に何を義務づけているか
出発点として押さえておくべきことがあります。「乗っ取られたアカウントを速やかに復旧させよ」と事業者に命じる法律上の義務規定は、現行法に見当たりません。関連する規定は、いずれも別の目的で作られています。
不正アクセス禁止法8条。アクセス管理者は、識別符号の適正な管理に努めるとともに、アクセス制御機能の有効性を常に検証し、必要があると認めるときは速やかに防御のため必要な措置を「講ずるよう努めるものとする」と定められています。文言のとおり努力義務であり、罰則も、個々の利用者に対する具体的な履行請求権も予定されていません。
同法9条。不正アクセス行為が行われた場合、都道府県公安委員会に援助を申し出て、資料の提供・助言・指導を受けることができます。ただし申出ができるのは「アクセス管理者」、すなわち事業者の側です。乗っ取られた利用者本人が、この経路で援助を受けられるわけではありません。
情報流通プラットフォーム対処法。削除申出に対する判断・通知の期間は定められていますが、これは権利侵害情報の削除に関する枠組みです。乗っ取られたアカウントの復旧申立てに期限を課すものではありません。
透明化法5条。取引条件の変更や提供拒絶について理由の開示等を求めていますが、対象は特定デジタルプラットフォームとその商品等提供利用者（事業者）であり、個人の利用者一般に及ぶものではありません。
契約構成 ── 申告を受けた後の対応義務
法律上の直接の義務規定がない以上、実務では利用契約の債務不履行として構成することになります。
利用者側
- 継続的な役務提供契約である以上、付随義務として、不正利用の申告を受けたら合理的な期間内に調査し、必要な遮断措置を講ずる義務がある
- 事業者は自ら申告窓口を設け、対応すると告知している。自ら引き受けた義務である
- 遮断できるのは事業者だけであり、利用者には代替手段がない
事業者側
- 規約上、個別の申告に一定期間内に対応する義務は定めていない
- 本人性が確認できない段階で遮断すれば、正当な利用者から利用を奪うことになる
- 「本人」を名乗る者が真の名義人とは限らず、慎重な確認が必要である
最後の反論には、無視できない核があります。乗っ取りの加害者が「本人」を名乗って復旧を求める事例が現実に存在する以上、事業者にとって最大のリスクは、誤って第三者にアカウントを引き渡すことです。正当な利用者を待たせた場合の損失は限定的で、誤って犯人側に渡した場合の損失は大きい。この非対称が、判断を保守側へ倒すインセンティブを生みます。
つまり、事業者の遅さは怠慢だけが理由とは限らない。ここを理解しないまま「なぜ動かないのか」と書いても、書面は噛み合いません。有効なのは、本人性の疎明を先回りして揃えたうえで、いつまでに何を判断するのかを問う形です。
不作為の不法行為 ── 作為義務はどこから生じるか
契約構成とは別に、不作為を不法行為として構成する筋もあります。ただし、何もしなかったことが違法となるためには、その前提として作為義務が必要です。
作為義務の発生根拠として一般に挙げられるのは、契約、先行行為、危険源の支配、条理といったものです。乗っ取りの場面でもっとも説得力を持ちうるのは危険源の支配です。アクセス制御機能を設計し運用しているのは事業者であり、セッションを遮断してこれ以上の被害を止められるのは、この世で事業者だけです。利用者には物理的に手段がありません。この排他性が、作為義務を基礎づける最も強い事情になります。
そして、ここで通知が決定的な役割を果たします。事業者は、申告を受けるまで当該アカウントが乗っ取られていることを認識していません。認識がなければ、対応しなかったことを責められません。
逆に言えば、通知の到達時点が、作為義務の発生時点を画します。この時点が記録として残っているかどうかで、その後の議論の土台が変わります。受付番号、自動返信メール、送信日時。復旧のために申告するのだと思われがちですが、同時に、時計の針を動かす行為でもあるということです。
利用者からの通知後に事業者が対応しなかったことを理由に、損害賠償責任を認めた日本の公表裁判例は、確認できませんでした。名義人の責任と同じく、ここも予測可能性のない領域です。認めた先例がない一方で、否定した先例もありません。
無償サービスなら、事業者の義務はどこまで軽くなるか
この論点は、必ず相手方から提起されます。先に構造を押さえておきます。
民法には、無償で引き受けた者の注意義務を軽くする発想があります。無償で寄託を受けた者は自己の財産に対するのと同一の注意をもって保管すれば足りるとされ（民法659条）、贈与者の引渡義務についても特則が置かれています（同法551条）。「無償で提供しているのだから、有償のサービスと同じ水準の義務は負わない」という主張は、この発想を背景に持ち出されます。
事業者側の主張
- 対価を受け取っていない以上、負う注意義務の水準は低い
- 無償で提供する便宜であって、特定の利用者に対する個別対応義務までは負わない
- 規約上も、可用性を保証していない
利用者側の反論
- 利用契約は寄託でも贈与でもない無名契約であり、軽減規定が当然に及ぶわけではない
- 広告の閲覧と行動データの提供という形で、利用者は現に対価を負担している
- 無償かどうかは義務の「程度」に影響しうるが、義務の「有無」を左右するものではない
無償性が効くとしても、それは「どの程度まで求められるか」の問題であって、「何も求められない」ということではありません。とりわけ、遮断できるのは事業者だけであるという排他的支配は、有償か無償かによって変わりません。技術的に自分だけができることを、対価を得ていないという理由で一切しなくてよい、とまでは言いにくい。
実務的には、有償性を立証できるかが分岐になります。有料プランの課金履歴、収益分配プログラムの入金記録、広告出稿の請求書。これらがあれば、そもそも無償契約の議論に入りません。無料アカウントであっても、商取引機能や決済機能を規約上の枠内で使っていた実績は、対価性を補強する材料になります。
免責条項があるから無理、ではない
規約には必ず「本サービスの利用により生じた損害について一切責任を負わない」という趣旨の条項があります。これを見て断念する必要はありません。
事業者の損害賠償責任の全部を免除する条項は、消費者契約法8条1項1号・3号に該当し無効であるとして、差止めを命じた判決が確定しています（さいたま地判令和2年2月5日／東京高判令和2年11月5日）。「一切責任を負わない」という前提は、消費者契約である限り、すでに崩れています。
ただし、混同してはいけないこと
免責条項が無効とされることと、事業者に責任が発生することは、別の話です。免責条項が無効になっても、それは責任を遮断する壁が一枚外れたというだけで、賠償が認められるわけではありません。義務の内容、その違反、因果関係、損害額は、いずれも別途立証しなければなりません。
また、責任の一部を制限する条項（上限額の設定など）は、全部免責とは扱いが異なります。「無効の確定判決がある」という事実だけを持ち出すと、射程を誤ります。
争えるのは、どの範囲の損害か
仮に対応義務の違反が認められたとして、事業者に請求できるのは被害の全部ではありません。通知が届く前に生じた被害は、事業者の不作為とは因果関係を持ちません。争いうるのは、通知後、合理的な対応期間を過ぎてもなお放置された期間に拡大した部分です。
したがって、事業者への通知時刻は、二重の意味で起点になります。作為義務が発生する時点であり、同時に、請求しうる損害の始期でもある。
ここから導かれる実務の結論は単純です。事業者への申告は、早く、記録の残る形で、内容を特定して行う。「乗っ取られました」だけでなく、いつ気づいたか、どの機能が悪用されているか、何を求めるのか（セッションの遮断、機能の停止、復旧）を明示する。後で争う可能性を考えるなら、一通目の申告からそれは始まっています。
法人アカウントの場合
ここからは、企業として公式アカウントを運用している場合の話です。個人の乗っ取りとは、問題の形が変わります。
犯人が外部とは限らない
個人の乗っ取りは、原則として外部からの不正アクセスです。ところが法人アカウントでは、権限を持っていた者、あるいは持っていたことがある者による喪失が現実の類型として存在します。
外部からの侵入
- 担当者個人のメールアドレスがフィッシングで奪われた
- 使い回されたパスワードが他サービスの流出リストから照合された
- 広告アカウントや決済手段が紐づいており、被害が金銭に直結する
内部からの喪失
- 退職者の権限が残ったままになっていた
- 運用を委託していた事業者が、パスワードを保持したまま契約が終了した
- 担当者の個人アカウントで作成され、その個人しかログインできない
不正アクセス禁止法が禁じているのは、アクセス制御機能により制限されている利用を、他人の識別符号を用いて可能にする行為です。したがって、正当に権限を与えられていた者がその権限のままログインした場合、同法違反の構成は一様ではありません。権限を落としていなかった側の問題として現れる余地があります。
「乗っ取られました」と言えるかどうかが、権限管理の記録の有無によって変わる。これが、個人の事案との最大の違いです。
上場審査で問われるのは、事故ではなく設計
内部管理体制の観点から確認されるのは、事故が起きたかどうかよりも、起きたときに誰が何をするかが決まっているかです。具体的には次の三点に集約されます。
① 管理主体の特定。そのアカウントは誰のものか。法人の資産として台帳に載っているか。担当者の個人メールアドレスで作られたまま、退職とともに失われる状態になっていないか。
② 権限の棚卸しと剥奪手順。誰がログインできるのかを一覧で把握し、退職・異動・委託終了のたびに落とす手順が文書化されているか。
③ 事故時の発動手順。誰が遮断を判断し、誰が告知し、どこへ報告するのか。個人データの漏えいが疑われる場合は、個人情報保護法上の報告・通知の検討も同時に走ります。
発覚後に残すべき記録
前稿までで繰り返してきた主題を、ここでも回収します。この分野で勝敗を分けているのは、法律論ではなく記録です。
時刻の入った画面。不正ログインの通知メール、パスワード変更やメールアドレス変更の通知、事業者からの自動返信。ヘッダー情報を含めて保存します。
自分の対応の記録。いつパスワード変更を試み、いつ事業者へ申告し、いつ警察へ相談したか。受付番号があれば必ず控えます。
告知の記録。いつ、どこに、どういう文面で注意喚起を出したか。スクリーンショットと投稿日時。
被害の申告。知人から「こういうDMが来た」と連絡を受けたら、その連絡自体を保存します。第三者の側からの記録は、後に事実経過を裏づける材料になります。
事故前の状態。二要素認証を設定していたことが分かる画面、パスワード管理の運用。これは事故後には作れません。
結局、どうすればいいのか
ここまでの整理を、時間軸に並べ直します。法律論としてではなく、順番として読んでください。先にやるほど効くものから並べています。
- メールを先に守る。SNSより先に、登録メールアカウントのパスワードを変え、二要素認証を入れる。ここを取られていると、何をしても巻き戻される
- 同じパスワードを使っている他サービスを変える。金融、決済、クラウド、業務システムの順に
- ログイン中の端末・セッションの一覧を確認する。まだ操作できるなら、すべてのセッションからのログアウトを実行する
- 画面を保存する。変更通知メール、エラー画面、時刻の分かる形で。この後の全部の土台になる
- 事業者へ申告する。記録の残る経路で、内容を特定して。いつ気づいたか／どの機能が悪用されているか／何を求めるのか（セッションの遮断・機能の停止・復旧）。受付番号と自動返信は必ず保存する
- 告知する。別アカウント、公式サイト、メール、取引先への個別連絡。事実・判明している期間・本人の意思でないこと・送金等に応じないこと・問い合わせ先。犯人の非難や原因の断定は書かない
- 受け皿を作る。「本物はこちら」と示せる場所を用意し、確認したい人が確認できる状態にする
- 警察に相談する。警察相談専用電話（#9110）または都道府県警察のサイバー犯罪相談窓口。相談記録が残ること自体に意味がある
- 被害の連絡を集約する。知人から「こういう連絡が来た」と言われたら、その連絡自体を保存する。第三者側からの記録は、後に経過を裏づける
- 事業者へ再度、期限を切って申告する。一通目の受付番号を引用し、何日経過したか、その間に何が起きたかを記載する。ここが作為義務と損害の起点を固定する作業になる
- 法人であれば、報告の要否を検討する。個人データの漏えいが疑われる場合、個人情報保護法上の報告・通知の判断が同時に走る
- 有償性を確認する。過去の課金、収益分配の入金、広告出稿の記録。自分が有償利用者だと気づいていない人は多い
- 被害の全体像を時系列にする。いつ何が起き、いつ誰に何を告知し、いつ事業者が何と答えたか
- 責任を問われうる相手を整理する。六類型のどれが現実化したか、請求が誰に向きうるか
- 法人であれば、管理主体の台帳化と権限の棚卸しを行う。再発の防止ではなく、次に問われたときの説明のために
- 二要素認証を入れる。分岐01の評価を、事故の前にしか動かせない
- 記録をアカウントの外に置く。フォロワー数、経由売上、予約件数、取引の証跡。アカウントの中にあるものは、乗っ取られた瞬間に取り出せなくなる
- 連絡手段を分散させる。そのSNSでしか繋がっていない相手がいる状態は、告知の経路がないということでもある
- 法人は、管理主体と剥奪手順を文書にする。これは事故が起きる前にしか作れない
誰に、いつ相談するか
「落ち着いてから相談します」と言われることがあります。気持ちは分かりますが、順序としては逆です。
相談が遅れると、取り返しがつかなくなるもの
相談が早いほうがよいのは、専門家が何かを取り戻せるからではありません。その時点でしか作れない記録があり、その時点でしか間に合わない告知があるからです。
落ち着いてから相談したとき、こちらから最初に尋ねるのは「凍結前後の画面は残っていますか」「事業者への申告はいつ、どの経路で行いましたか」「告知は出しましたか」です。ここで揃っていなければ、後からは作れません。逆に言えば、最初の数日のうちに一度話せていれば、何を残しておくべきかを指示できます。専門家の役割は、この局面ではまず記録の設計です。
最初の72時間のうちに、一度でも相談しておく。方針が固まっていなくてもかまいません。この段階で決めるのは「争うかどうか」ではなく、「後で争える状態にしておくかどうか」だからです。争わない選択をした場合でも、記録が残っていて損をすることはありません。
行政書士と弁護士の線引き
本稿で扱った内容のうち、担える範囲は分かれています。
行政書士が行えること
- 事業者への申告書面・通知書面の作成
- 事実関係と証拠の整理、時系列の作成
- 告知文の作成（書きすぎ・書き足りないを避ける）
- 保有個人データの開示請求書面の作成
- 法人の権限管理・事故対応に関する規程の整備
弁護士の業務
- 相手方・事業者との交渉の代理
- 発信者情報開示請求の手続
- 仮処分の申立てと訴訟の提起・代理
- 第三者から請求を受けた場合の対応
- 法律事件に関する鑑定
相談のときに用意しておくもの
- 変更通知メール、エラー画面、事業者からの自動返信。ヘッダー情報を含めて
- いつ気づいたか、いつ何をしたかのメモ。正確な時刻が分からなくても、順序だけでも
- 有料プランの課金履歴、収益分配の入金記録、広告出稿の請求書
- アカウントの登録情報（メールアドレス、電話番号、登録時期）
- 知人から届いた「こういう連絡が来た」という報告そのもの
- 実際に金銭被害が出ているか、出ているなら誰にいくらか
- そのアカウントの管理主体、ログインできる人の一覧
- 退職者・委託先の権限が残っていないか
- 顧客情報が含まれるやりとりの有無
まとめ
本稿で述べたことを、五点に畳みます。
この記事の結論
- アカウントは、法的には「持ち物」ではない。利用許諾であって所有権ではなく、譲渡も相続も規約上否定されているのが通例です。財産性や相続を正面から判断した公表裁判例は確認できませんでした。「返せ」ではなく「契約上の地位に基づいて使わせろ」と組み立てざるをえない理由が、ここにあります。
- 権利は薄いのに、責任は残る。アクセスできる地位は奪われる一方、名義と外観は本人に貼りついたまま剥がれません。そして責任の側には、経済産業省の準則という枠組みがすでに存在している。取り戻す側の議論より、責任を問う側の議論のほうが先に進んでいます。
- 名義人の責任は、三つの分岐で評価が変わる。事故前の防御水準、発覚後の対応速度、そして告知の有無。とりわけ告知は、外観への信頼を打ち消す法的な作業であり、同時に迅速に動いたことの証拠にもなります。道義ではなく戦術として行ってください。
- 事業者にも義務はありうるが、法律の後ろ盾は薄い。不正アクセス禁止法8条の防御措置は努力義務で、公安委員会の援助を申し出られるのも事業者の側です。それでも、遮断できるのは事業者だけであるという排他的支配は、対応義務を基礎づける最も強い事情になります。無償であることは義務の程度に影響しても、有無を決めません。
- すべての起点は、記録と通知の時刻である。公表裁判例がない領域で、それでも動かせるのはここだけです。アカウントの中にある記録は、乗っ取られた瞬間に取り出せなくなる。だから記録は外に置き、通知は早く、内容を特定して行う。
当事務所が行うのは、事実関係と証拠の整理、事業者への申告書面・通知書面・開示請求書面の作成です。相手方との交渉代理、発信者情報開示請求、および仮処分・訴訟の手続は行いません。それらの段階が相当と判断した案件は、その旨をお伝えします。
筆者の見解 ── 権利が薄いまま、責任だけが残る
ここから先は、事実の整理ではなく、実務にあたる者としての見解です。
調べる前に想定していたことと、違ったこと
この記事を書く前、私は「権利の側にも責任の側にも判例がないのだろう」と考えていました。実際に調べると、両者の状況は同じではありませんでした。
権利の側——アカウントが財産か、相続できるか——には、確認できた範囲で公表裁判例がありません。規約が一方的に否定し、事業者の運用に委ねられている。争われてすらいない領域です。
一方、責任の側には、すでに枠組みがあります。経済産業省の準則は、ID・パスワードを冒用された本人に効果が帰属するかを、表見代理法理を基礎として整理している。取引の場面に限られてはいますが、「本人の帰責性を評価する」という考え方が、公的な文書として先に存在している。
つまり、取り戻す側の議論より、責任を問う側の議論のほうが先に進んでいる。これは偶然ではなく、電子商取引の円滑化という目的から出発した整理だからです。取引の安全のためには、誰が損失を負うかを先に決める必要があった。乗っ取られた個人の救済は、その設計の主目的ではありませんでした。
被害者が説明する側に回るという構造
乗っ取り被害の相談で、いちばん多く聞くのは金額の話ではありません。「友人に説明しなければならないのが、いちばんつらい」という言葉です。
不正アクセス禁止法の上では、名義人は明確に被害者です。しかし現実の場面では、被害者が説明の主体になります。友人に、取引先に、フォロワーに。犯人は姿を見せないまま、名義だけが残っているからです。
この構造は、法律が作ったものではありません。名義と外観が本人に貼りついたまま剥がれないという、アカウントという仕組みそのものの性質から出てきています。だから、法改正を待っても解決しない部分がある。
本当の正解は、起きる前にある
ここまで、責任の分岐や事業者への請求の筋を整理してきました。そのうえで、実務にあたる者として率直に書いておきたいことがあります。
この問題の正解は、平時の運用にあります。二要素認証を設定する十五分は、事故が起きた後の何十時間よりも確実に効きます。パスワードを固有のものにしておくこと、記録をアカウントの外に置いておくこと、法人なら管理主体と権限剥奪の手順を文書にしておくこと。いずれも地味で、面倒で、やらなくても当面は何も起きません。だから後回しにされる。
身も蓋もない結論ですが、私が扱ってきた案件を振り返ると、結果を分けていたのはほとんどが事故前の状態でした。事故後の対応で差がつく部分は、思っているより小さい。
では、なぜ起きた後は難しいのか
「起きたら専門家に相談すれば何とかなる」とは、正直なところ言えません。理由は六つあります。
① 犯人に届かない。匿名で、国外からの通信であることも多く、特定に至らない。仮に特定できても、資力があるとは限りません。刑事の手続と、失ったものを取り戻すことは別に動きます。
② 事業者は構造的に慎重である。五章で書いたとおり、事業者にとって最大のリスクは誤って第三者にアカウントを引き渡すことです。正当な利用者を待たせる損失より、犯人側に渡す損失のほうが大きい。この非対称がある限り、対応は保守側に倒れます。怠慢を責めても動きません。
③ 先例がない。名義人の責任についても、事業者の不作為についても、公表裁判例を確認できませんでした。認めた例がないのは有利に見えますが、否定した例もない。結果として「勝てますか」という問いに答えられません。費用をかけるかどうかの判断材料が、そもそも存在しない状態です。
④ 時間が合わない。事業が持ちこたえられるのは数か月です。予約が止まり、告知の手段を失う。一方、手続は年単位で動きます。判断が出るころには、守るべきものが残っていない。
⑤ 立証に必要なものが、相手の手の中にある。DMの履歴も、取引の証跡も、アナリティクスも、アカウントの中にあります。乗っ取られた瞬間に取り出せなくなる。損害を証明する材料が、損害の原因と同じ場所に閉じ込められている。
⑥ 被害が少額多数になりやすい。友人一人あたりの金額は大きくないことが多い。しかし請求や防御にかかる手間は、金額に比例しません。費用が回収額を上回る構造が、最初から用意されています。
これらを重ねると、一つの事実が残ります。起きた後にできるのは「止める」ことと「責任を切る」ことであって、「戻す」ことではありません。戻すかどうかを決めるのは、常に相手側です。この記事で告知と記録を繰り返し書いてきたのは、それが数少ない、自分の側で完結する行為だからです。
それでも、動かせるものはある
公表裁判例がないということは、責任を負わされる保証もなければ、負わされない保証もないということです。予測可能性がない状態に置かれている。
ただ、争点を分解して見えてきたのは、評価を分ける三つの分岐が、どれも名義人自身の手の中にあるということでした。事故前の防御水準、発覚後の速度、そして告知。いずれも、誰かの許可を待たずに動かせます。
とくに告知は、恥ずかしさが理由で遅れがちです。しかし法的には、外観への信頼を打ち消す行為であり、迅速に動いたことの証拠でもある。言いにくいことを言うのが、いちばん効く。この分野で私が繰り返し伝えているのは、結局そこに尽きます。
2026年8月時点の見解です。本稿は一般的な整理と筆者の見解であり、個別の事案に対する法的判断ではありません。
出典
官公庁その他公的機関の公表資料および法令に限っています。
- 国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」（令和8年3月12日公表）
https://www.npsc.go.jp/policy/list/260313.pdf
https://www.soumu.go.jp/main_content/001059979.pdf - 経済産業省「電子商取引及び情報財取引等に関する準則」（令和7年2月／I-3-1「なりすましによる意思表示のなりすまされた本人への効果帰属」、I-3-2「なりすましによるインターネット・バンキングの利用」）
https://www.meti.go.jp/policy/it_policy/ec/20250212003-1.pdf - 経済産業省「「電子商取引及び情報財取引等に関する準則」を改訂しました」（令和7年2月12日）
https://www.meti.go.jp/press/2024/02/20250212003/20250212003.html - 消費者庁「埼玉消費者被害をなくす会と株式会社ディー・エヌ・エーとの間の訴訟に関する控訴審判決の確定について」（令和3年1月6日、第一審判決の概要を別添）
https://www.caa.go.jp/notice/assets/consumer_system_cms203_210106_06.pdf - 警察庁「不正アクセス行為の禁止等に関する法律の解説」（アクセス管理者の防御措置、公安委員会による援助）
https://www.npa.go.jp/bureau/cyber/pdf/1_kaisetsu.pdf - 個人情報保護委員会（個人データの漏えい等が発生した場合の報告・本人への通知）
https://www.ppc.go.jp/ - 裁判所ウェブサイト 裁判例検索
https://www.courts.go.jp/hanrei/search1/index.html - e-Gov法令検索（不正アクセス行為の禁止等に関する法律3条・8条・9条・11条、民法109条・110条・112条・478条・548条の2・551条・659条・709条・710条・715条・719条・896条、刑法234条の2、消費者契約法8条・10条、個人情報の保護に関する法律26条、民事執行法143条）
https://laws.e-gov.go.jp/
本稿の調査は、官公庁その他公的機関の公表資料および法令に限って行いました。「公表例を確認できなかった」という記述は当事務所の調査範囲におけるものであり、未公表の判決・決定の存在を否定するものではありません。経済産業省の準則は法令ではなく、現行法の解釈について一つの考え方を示したものであり、裁判所の判断を拘束するものではありません。個別案件の検討にあたっては、判例データベースで判決文を直接確認します。
