ゆめさくセキュリティ

はじめての人へ

ハッキングのやり方を学ぶには
合法に腕を上げる道筋

ハッキングを学んでみたい人、ホワイトハッカーに興味がある人に向けて、法律の線の引かれ方と、合法に練習できる場所、学ぶ順番、仕事にする道をまとめました。他人の機械やサービスを攻撃する手順は、この頁では扱いません。

  1. ハッキングとは
  2. やってはいけないこと
  3. 合法に練習できる場所
  4. 学ぶ順番
  5. 仕事にするには
  6. よくある疑問

ハッキングとは何か

ハッキングという言葉は、もともと機械の仕組みを深く知って思い通りに動かすことを指していました。いまは、他人の機械に入り込む攻撃の意味で使われることが多くなっています。同じ技術でも、持ち主の許しがあるかどうかで、犯罪にも守りの仕事にもなります。

攻撃

持ち主の許しなく他人の機械やサービスに入り込み、情報を盗んだり、動きを止めたりすることです。法律で罰せられます。

脆弱性診断

持ち主から頼まれて、システムに穴が無いかを調べ、見つけた穴と直し方を報告する仕事です。

ペネトレーションテスト

持ち主と範囲と期間を決めたうえで、攻撃する側の目で実際に入り込めるかを試し、守りの弱い所を示す仕事です。

やってはいけないこと

許しの無い相手に試すと、不正アクセス禁止法などの法律に触れます。線を引くのは「その機械の持ち主 (法律の言葉ではアクセス管理者) か、持ち主の承諾を得ているか」です。

不正アクセス禁止法の要点

  • 他人の ID やパスワードを入れて、本来は使えない機能を使える状態にすることを禁じています (第2条第4項第1号、第3条)。
  • パスワードを使わなくても、仕組みの穴を突いて制限をすり抜けることも同じく禁じています (第2条第4項第2号と第3号)。
  • どの型も、持ち主自身が行うものと、持ち主の承諾を得て行うものは除かれています (第2条第4項)。
  • 攻撃に使う目的で他人のパスワードを手に入れること、取っておくこと、持ち主のふりをして入力させること (いわゆるフィッシング) も禁じています (第4条、第6条、第7条)。

罰則

  • 不正アクセスそのものは、3 年以下の拘禁刑または 100 万円以下の罰金です (第11条)。
  • パスワードを不正に手に入れる、取っておく、入力させる行為は、1 年以下の拘禁刑または 50 万円以下の罰金です (第12条)。

このほか刑法には、正当な理由なくコンピュータウイルスを作ったり配ったりする罪 (第168条の2、3 年以下の拘禁刑または 50 万円以下の罰金) や、コンピュータを壊したり狂わせたりして仕事を妨げる罪 (第234条の2、5 年以下の拘禁刑または 100 万円以下の罰金) もあります。

違法になる例

  • 友人や恋人の SNS に、推測したパスワードで入る
  • 拾った、または買った他人の ID とパスワードで、通販やネット銀行に入る
  • 公開されている Web サイトの穴を「確かめるだけ」と言って突き、ログインが要る画面に入る
  • 銀行やサービスのふりをしたメールや頁で、パスワードを入れさせる

合法に練習できる例

  • 自分で用意し、自分が管理している PC や仮想マシンの中で試す
  • CTF の大会や練習の場で、主催者が用意した問題のサーバーを解く
  • バグバウンティで、会社が公開した範囲と決まりの中だけで調べる
  • 勤め先や依頼主から、範囲と期間を書面で決めて頼まれた診断をする

「勉強のため」「悪いことには使わない」という気持ちは、承諾の代わりになりません。迷ったら、試さないのが答えです。警察庁と総務省も、法律の中身と被害の例を公開しています。

合法に練習できる場所

自分の PC の中のラボ

自分の PC の中に、わざと穴のある仕組みを立てて試します。外のネットにつながない形にすれば、誰にも迷惑をかけません。このサイトのラボも、すべて自分の PC の中 (127.0.0.1) で閉じます。

CTF

CTF は、出された問題を解いて隠された答えの文字列 (フラグ) を探す競技です。主催者が用意したサーバーだけを相手にするので、合法に腕を試せます。SECCON は日本の大きな CTF の大会で、初心者向けの SECCON Beginners もあります。picoCTF は、カーネギーメロン大学が無料で開いている学びの場です。

練習用にわざと穴を開けたアプリ

OWASP Juice Shop は、研修や CTF のために、わざと安全でなく作られた Web アプリです。自分の PC の中で動かし、穴を見つけて直す練習に使えます。

バグバウンティ

脆弱性の報奨金の制度です。会社が自分のサービスの穴を探してもらうために、範囲と決まりを公開し、見つけて正しく報告した人に報奨金を払う制度です。試してよいのは、その会社が書いた範囲の中だけです。範囲の外や、決まりで禁じられた試し方をすると、許しのない攻撃と同じになります。

学ぶ順番

攻撃の手口から入ると、なぜ通るのかが分からないまま暗記になります。土台を先に固めると、新しい手口に出会っても自分で仕組みを追えます。

  1. 1

    ネットワーク

    データが機械から機械へどう届くのか、名前から住所がどう引かれるのかを知ります。攻撃の多くは、この通り道のどこかで起きます。

  2. 2

    Linux

    サーバーの多くは Linux で動いています。ファイル、権限、プロセスを、コマンドで扱えるようにします。自分の PC の仮想マシンに入れて触るのが近道です。

  3. 3

    Web の仕組み

    ブラウザとサーバーのやり取り、ログインの仕組み、誰に何を許すかの決め方を知ります。

  4. 4

    プログラミング

    Python などで、小さな道具を自分で書けるようにします。穴は書かれたコードの中にあるので、読めないと見つけられません。

  5. 5

    攻撃の種類

    ここまでの土台の上で、代表的な攻撃がなぜ通るのかを学び、自分の PC の中で壊して直します。

このサイトでは、トラックごとに順番を組んでいます。次の 3 つの順に進むと、上の道筋をたどれます。

仕事にするには

ハッキングの腕は、守る側の仕事で生かせます。代表的な仕事は次の通りです。

脆弱性診断士

依頼を受けて Web サイトやネットワークを調べ、穴と直し方を報告書にまとめます。

SOC のアナリスト

SOC は、記録や警報を見張って攻撃の兆しを見つける部署です。見つけたら調べて、対応する人へつなぎます。

CSIRT

CSIRT について、日本シーサート協議会は「コンピュータセキュリティにかかるインシデントに対処するための組織の総称」と説明しています。事故が起きたときに被害を止め、原因を調べ、元に戻します。

セキュリティエンジニア

設計と開発の段階から守りを組み込み、仕組みとして穴が生まれにくい形にします。

資格 情報処理安全確保支援士

IPA が行う情報処理安全確保支援士試験に受かり、登録の手続きをすると、国家資格の情報処理安全確保支援士 (登録セキスペ) になれます。2016 年 10 月の法律の改正で生まれた資格で、登録を続けるには決められた講習を受けて更新します。2026 年度は、前期と後期に CBT で試験が行われます。

資格や CTF の成績があれば仕事に就ける、収入が上がる、という約束はできません。どの仕事でも、仕組みを説明できる力と、許された範囲を守る姿勢が見られます。

よくある疑問

独学でできますか

できます。ネットワーク、Linux、Web、プログラミングは、本と自分の PC で学べます。腕を試す場も、CTF の練習の場や練習用のアプリのように、無料で使える物がそろっています。ただ、ひとりだと何を飛ばしたかに気づきにくいので、学ぶ順番を決めた教材に沿うと迷いにくくなります。

何から始めればよいですか

最初の一歩は、自分の PC に練習の場を作ることです。仮想マシンに Linux を入れ、コマンドに慣れながら、ネットワークと Web の仕組みを学びます。そのあと、初心者向けの CTF の問題を解いてみると、どこが分かっていないかが見えてきます。

年齢は関係ありますか

学び始めるのに年齢は関係ありません。若い人向けの場もあり、IPA が開くセキュリティ・キャンプの 2026 年の全国大会は、13 歳から 22 歳までの学生が対象で、交通費と宿泊費を含めて無料でした。

セキュリティ・キャンプ全国大会の募集要項

よく使うサービスで穴を見つけたらどうすればよいですか

それ以上試さずに手を止めます。バグバウンティの制度があればその決まりに沿って報告し、無ければ IPA の届出の窓口があります。届け出るためでも、許しの無い試しを重ねてはいけません。

IPA の脆弱性関連情報の届出

出典

2026年10月24日に開いて確かめました。