不正アクセス禁止法における不正アクセス行為とは、権限を特別に付与された者しか利用することができないパソコン等の情報を、不正な手段によって利用する行為等をいいます。不正アクセスをした者は､3年以下の懲役又は100万円以下の罰金が科されます（不正アクセス行為の禁止等に関する法律11条）。
不正アクセス行為は、これを手段として銀行のインターネットバンキングを操作して不正に資金を送金させる等を行う前段階の行為としてなされるものですが、インターネット上の安全や信用を脅かすものであることから独自に処罰され、他罪とは併合罪として取り扱われています。
不正な手段でパスワードが入手され（フィッシングと呼ばれています）、アカウントへの不正アクセス行為が行われます。パスワードの入手方法として主に以下の４つがあります。
一つ目は、総当たり攻撃（ブルートフォースアタック）といい、パスワードを全ての組み合わせで試していく方法です。具体的には、あるアカウントに対して、「a」「aa」「ab」…と、考えられる組み合わせを全て試していきます。実際にパスワードが数字のみの場合、8桁ならばその組み合わせは10の8乗で1億通りしかありません。2009年にLockdown.co.ukが調査した結果によると、1億通りは3時間ほどで突破されました。
二つ目は、標的型攻撃といい、有益な情報を持っている人間を標的として行われるような、標的を絞って行う攻撃方法です。標的のパソコン、スマートフォン、ブラウザ、メールサービスなどに侵入し、必要となる情報を抜き取ります。
三つ目は、ある企業のWebサービスのアカウント名とパスワードを何らかの手段で入手し、自分が攻撃したい別のWebサービスに対して、入手したアカウント名とパスワードをそのまま試していく方法です。他のアカウント名・パスワードと全く同じアカウントを使用しているユーザーが少なからずいるのが現状なので、そのような同じアカウント名・パスワードを使い回ししている者のみがこの攻撃の被害に遭うことになります。
四つ目は、ソーシャルエンジニアリング（ソーシャルハッキング）といい、お店に入ったときにレジの内側をのぞき込んで、パソコンに貼ってある付箋からパスワードを盗み見たり、システム管理者を名乗って電話をかけて、堂々とパスワードを聞いたりするようなシンプルかつアナログな方法です。人間の心理的な隙を突く方法で、以前から存在しかつ現在でも使用されています。
警察庁の発表によれば、平成24年の不正アクセス件数は1,251件だったのに対し、平成25年は2,951件と2.3倍に増加しています。被害の内訳も、平成24年には95件だったインターネットバンキングにおける不正送金が平成25年には1,325件になり、約14倍に増加しています。それ以外にも、インターネットショッピングにおける不正購入が4倍になっており、経済犯罪目的の不正アクセスが急増し社会問題化しています。
パスワードが不正に利用されることを防止し、かつ不正に解読されることを避けるためには以下の事柄を守る必要があります。
トレンドマイクロ社が2012年11月に行った調査によれば、全てのサイトで異なるパスワードを使用しているのは約12人に1人（7.9％）にすぎないのが現状です。不正アクセス被害が増加している現状の対策として、利用者側の意識改革が必要でしょう。
アカウント・パスワードがサービスを利用している相手先企業等から流出されてしまう場合は、自分自身の対処方法では防げませんので、企業からアカウント名とパスワードがそのまま流出させないために「ハッシュ化」してから保存することが推奨されています。ハッシュ化とはパスワードが「password」だとしたらそのまま保存せず、「5e884898da28047151d0e56f8dc6292773603d0d6aabbdd62a11ef721d1542d8」など、ある規則に基づいた数字等に変換して保存することをいいます。この他にも「ソルト」や「ストレッチング」といわれる手法があり、これらを平行して用いることが可能です。
インターネットバンキングなどで身に覚えの無い送金や出金があった場合や、Webサービスで知らないログイン履歴があった場合、すぐにパスワードを複雑なものに変更し、銀行や運営元の会社に通報又は相談するべきです。さらに、経済的損害が発生した場合は、これ以上被害を拡大させないために、速やかに警察に通報しましょう。その上で、パスワードを教えたことがある人物や、パソコンやスマートフォンに触ることができた人物がいたらリストアップする等の対策をすることが考えられます。
