一、这套法律管的是【那一下点击】

日本禁止不正当访问法制定于 1999 年、2000 年施行，背景是那几年政府网站和企业系统接连被入侵。它定义的【不正当访问】有一个很具体的限定：

通过通信线路，用他人的识别符号（ID 与口令的组合）去访问——也就是【用别人的钥匙开门】，而不是【翻墙进去】。

这个定义带来一个反直觉的结论：法律保护的是【访问管理】这套机制，不是你家的东西。 所以下面五条要连起来读：

两条要分开看：

• 【登录】本身是最重的（3 年），因为它是整个链条的终点——前面的取得、保管、提供，都是为这一步做准备。
• 但【提供】【保管】这些【没登录】的动作也入罪——法律把前端也堵了。这也是这套法律的名字里带【等】字的原因：它不只管那一下点击。

这套结构的现实意义是：破解口令的人和用口令登录的人，在法律上都有份。一个常见的场景是：有人拿到一份口令清单，自己没用、只是转手发到群里——他落在第 5 条，1 年以下。 另一个场景是：有人真的登进去看了一眼什么都没动——他落在第 3 条，最重的那一条。

二、动手 Demo：六个行为落在哪一条

这五条区别不大、都带【识别符号】，所以判断的关键不是动作轻重，而是【落在链条的哪一环】。 下面用六个日常行为跑一遍。

# 节选自本节 Demo 脚本 d6()：六个行为的条文归属
rows = [
    ("用离职同事留下的口令登录公司系统", "第 3 条", "不正访问行为本身"),
    ("翻同事抽屉抄下写着口令的便签", "第 4 条", "以不正访问为目的取得"),
    ("把捡到的口令本拍照发给朋友", "第 5 条", "向第三者提供（助长）"),
    ("收到 1,000 条口令列表存在自己 U 盘里", "第 6 条", "以不正访问为目的保管"),
    ("做假登录页骗到同事的口令", "第 7 条", "冒充管理者骗取识别符号"),
    ("只在笔记本上记了同事的 ID，没别的动作", "不构成", "缺少【以不正访问为目的】"),
]
for a, b, c in rows:
    print(pad(a, 50) + pad(b, 14) + c)

实跑输出：

==================================================================================================
二、六个行为落在哪一条
==================================================================================================
  行为                                              罪名          说明
  用离职同事留下的口令登录公司系统                  第 3 条       不正访问行为本身
  翻同事抽屉抄下写着口令的便签                      第 4 条       以不正访问为目的取得
  把捡到的口令本拍照发给朋友                        第 5 条       向第三者提供（助长）
  收到 1,000 条口令列表存在自己 U 盘里              第 6 条       以不正访问为目的保管
  做假登录页骗到同事的口令                          第 7 条       冒充管理者骗取识别符号
  只在笔记本上记了同事的 ID，没别的动作             不构成        缺少【以不正访问为目的】

  最后一行是这套法律的边界：【目的】是构成要件。
  同样是记下别人的 ID，为了帮人找回账号和为了登录进去，法律后果完全不同。
  反过来说：一旦有了【拿去用】的目的，哪怕还没登录，也已经踩线了。

读这个输出：

• 前五行按链条排列，从【取得】一路走到【登录】：抄便签是准备，拍照转发是助长，存起来备用是保管，做假页面是骗取，真正登进去才算既遂的重罪。记住这个顺序比记住刑期有用——它告诉你一件坏事是怎么被拆成五段的。
• 最后一行是这套法律的边界，也是最容易被误解的地方。【目的】是构成要件：同样的动作，动机不同，法律后果完全不同。 这一点在实务中非常关键——运维人员手里必然有一大堆别人的口令，法律不会因此抓他，因为他的目的正当、且有制度与记录支撑。
• 反过来说，这条边界也是极容易被越过的：一旦有了【拿去用】的念头，哪怕还没登录，第 4 条、第 6 条就已经成立了。法律把犯罪的起点前移到了【你打算用它】的那一刻。

三、三个容易被忽略的细节

第 2 行那一条最容易被当成【没关系】：很多公司出事的起点不是黑客，而是【离职半年的人账号还能登录】。 这正是访问管理失职的典型形态——法律上，管理者把权限发出去却不收回，可能被认定为管理过失。

第 3 行同样反直觉：很多人以为这套法律是防外人的，但【员工借用同事账号】同样落在第 3 条。判断标准不是【是不是自己公司的人】，而是【有没有用别人的识别符号】。换言之：内部人和外部人在这一条上没有区别。

第一行给的是安全出口：正当业务需要不是免责的理由，【有制度、有记录】才是。 这句话可以推广到所有合规领域：合法与违法的分界线，往往就是【你能不能拿出当时为什么这么做的证据】。

四、⚠️ 2026 现状

• 【条文里的【惩役】已经改叫【拘禁刑】】。 日本刑法 2025-06-01 起把【惩役·禁锢】统一成【拘禁刑】——所以 2026 年引用条文时写【拘禁刑】，刑期长短没有变。 这件事对学习者的意义在于：如果你的参考资料是旧版，看到的用词会和现行条文对不上，但条文号（第 3 条到第 7 条）没有变。
• 【攻击手法变了，法律要抓的环节也在变】。 这套法律制定于 1999 年，当时的典型手法是【撞密码】；现在的常见入口是【钓鱼取得口令】和【凭据填充（用别的站泄露的账号密码去试）】——正好分别落在第 7 条和第 3 条。这也是为什么这套 1999 年的法律经过多次改正后，仍然能覆盖今天的主流攻击：它管的是【钥匙的合法性】，而钥匙这个抽象层二十年没变。
• 【企业侧的重点从【追责】转向了【留证】】。 要让第 3 条成立，需要证明【这个账号是别人的】和【这次登录没有授权】——而这两件事都要靠日志。这就是 6-10 讲的日志价值在刑事层面的体现：没有日志的攻击事件，法律上常常只能算【事故】，算不了【案件】。
• 【个人层面的变化更实际：身份验证的责任在往用户这边移】。 法律禁止他人使用你的识别符号，但现实中【账号被盗用】时，第一道追问往往是【你有没有把口令告诉别人】。所以 1-11 讲的【不要共用账号、不要写下来】不是道德要求，是自保：把口令交出去，等于把自己放进了这一条法律的模糊地带。 下一篇接着讲：如果这把钥匙不是偷来的，而是自己【造了一把病毒】呢。

30 秒实验

今天做两个动作，各 15 秒：

1. 想一下你们公司有没有【离职后账号还在】的情况，有没有人负责定期回收。 这件事在法律上叫【访问管理】，在事故报告里叫【内部人员作案】——同一件事的两种叫法，对应两种后果。
2. 再看一眼你手机里存密码的方式：是不是截图存在相册、或者写在备忘录里。 这类做法本身不违法，但它让你成为【识别符号保管】的高风险方——一旦手机丢了，你面对的问题不是【密码泄露】，而是【你有没有尽到保管义务】。

这一节要带走的一句是：这套法律的重心在【钥匙】而不是【门】——所以它既管用别人钥匙的人，也管把钥匙交出去的人。

常见误区

1. 错误：只是登进去看看，没拿走任何东西，不算犯罪。——纠正：第 3 条是【行为犯】，不需要造成结果。登进去一分钟和登进去一整天，在【成立不成立】上是一样的，只在量刑上不同。 这条规则有一个很实际的推论：事故调查的第一件事不是【丢了什么】，而是【有没有非授权的登录记录】——前者决定损失大小，后者决定要不要报警。
2. 错误：账号是我同事的，他同意过借我用，所以没问题。——纠正：判断标准是【有没有访问管理者的授权】，不是【账号本人同不同意】。访问管理是公司层面的制度，员工个人无权把它交出去——这正是第 3 条保护的对象。反过来说，公司也需要明确【谁能批准共用】【临时权限怎么给】，否则员工在业务压力下共用账号，出了事责任会落在管理规定不清的一方。
3. 错误：法律管的是黑客，跟我们普通员工没关系。——纠正：这套法律的对象里，内部人员占了相当比例，而且多起案件的起点是【权限没回收】而不是【技术攻击】。具体到个人，有三种常见动作会踩线：借用同事账号处理急事、把口令写在便签上放在工位、帮人【远程看一眼他的屏幕】时顺手操作他的账号。这三种都不是恶意，但都落在条文里。
4. 错误：公司系统没做访问管理，所以这套法律管不着。——纠正：恰恰相反，【没有访问管理】时，很多行为反而更容易被认定为违法——因为缺少【正当业务需要】这个抗辩的基础。访问管理做得好，员工按权限操作就是合法的；管理缺失时，同样的操作就没法解释。 这条逻辑与 1-8 完全一致：制度的存在不是为了限制人，是为了保护人在做正常工作时不被怀疑。

• ☐ 下一节（7-7 针对制作、持有病毒软件的处罚）

相关笔记

• 法律对非法访问的定义 —— 什么行为算非法访问
• 杜绝非法登录 —— 从技术侧防非法登录
• 针对制作、持有病毒软件的处罚 —— 下一篇：把【准备行为】入罪的另一条路
• 日志是调查事故原因的重要线索 —— 没有日志，案件常常只能算事故
• 🛡️ 网络与信息安全 · 索引 —— 全课路线图