皆さん、こんにちは！
東京コンサルティンググループ マレーシア拠点の長山毅大です！
いつもブログをお読みいただきありがとうございます。
さて、今回は「【マレーシア】「Cybercrimes Bill 2026」が国会通過！約30年ぶりのサイバー犯罪法全面刷新が日系企業に与える影響と対策」についてお話していこうと思います。
マレーシアでCybercrimes Bill 2026制定が推進される背景とは？
マレーシアでは現在、サイバー犯罪を取り締まる法律として「Computer Crimes Act 1997」が適用されています。しかし、この法律はスマートフォンやデジタルバンキング、生成AIが普及する以前に制定されたものであり、近年の犯罪の実態に十分対応できていないという課題が指摘されていました。
特にオンライン詐欺は急増しており、2026年1月から5月までの5か月間だけで起訴件数が8,014件に達し、2025年通年の件数（6,140件）を既に上回っています。また、2025年のオンライン詐欺による被害額は前年比86％増のRM29億にのぼったと報告されています。
加えて、生成AIを悪用したなりすまし詐欺や、本人の同意のない性的画像の作成・拡散、ランサムウェア攻撃、国民デジタルID（National Digital Identity）の不正利用など、旧法が想定していなかった新たな脅威も顕在化しています。
こうした状況を受け、マレーシア政府はComputer Crimes Act 1997を廃止し、新たに「Cybercrimes Bill 2026」を制定する方針を示しました。本法案は、ブダペスト条約や国連サイバー犯罪条約といった国際的な枠組みへの整合も企図しています。
Cybercrimes Bill 2026の主な制度内容と罰則
Cybercrimes Bill 2026は全61条からなり、Computer Crimes Act 1997を全面的に置き換える新法です。2026年6月22日に下院（Dewan Rakyat）へ提出され、7月1日に下院で可決、7月20日には上院（Dewan Negara）でも可決されました。
本稿執筆時点では国王の裁可（Royal Assent）と官報掲載（Gazettement）を待っている段階であり、正式な施行日は今後発表される見通しです。
本法で新設・強化される主な犯罪類型と罰則は次のとおりです。
| 犯罪類型 | 罰則 |
|---|
| 不正アクセス | 罰金上限RM10万・禁錮3年以下 |
|---|
| 有価証券等の電子データの改ざん | 罰金上限RM50万・禁錮7年以下 |
|---|
| 通信の不正傍受 | 罰金上限RM50万・禁錮7年以下 |
|---|
| なりすまし目的の改ざんコンテンツ送信 | 罰金上限RM50万・禁錮7年以下 |
|---|
| AI生成やディープフェイクを含む性的画像の同意なき頒布 | 罰金上限RM300万・禁錮5年以下 |
|---|
| National Digital IDのパスワード等の不正開示 | 罰金上限RM10万・禁錮3年以下 |
|---|
禁錮3年以上に相当する犯罪は国際的な犯罪人引渡しの対象となり、インターポール等を通じた国境を越えた捜査協力も可能になります。
あわせて捜査機関の権限も拡大され、データ保存命令や通信データのリアルタイム収集、暗号化データの復号鍵提出命令などが認められます。
一方で、正当な報道・学術活動・表現の自由は対象外とされ、AI生成コンテンツについても使用の事実のみでは違法とならず、検察側が犯罪の意図と実害を立証する必要があるとされています。
サイバー犯罪法刷新がマレーシア進出日系企業に与える影響と対策
本法は個人だけでなく法人による不正アクセスやデータ改ざん等も対象とするため、マレーシアの現地法人においても社内システムのアクセス権限管理やログ管理体制の見直しが求められます。
特に、退職者アカウントの削除や権限管理の不備は、意図せず不正アクセスに関与するリスクにつながりかねません。
また、生成AIを用いたなりすまし詐欺（経営者や取引先を装った偽の送金指示、音声・映像ディープフェイクによるビジネスメール詐欺など）が法律上も重罰化される一方、日系企業自身がこうした手口の被害に遭うリスクも高まっています。
経理・財務部門では、送金指示に対する複数人承認の徹底など、社内体制の強化が望まれます。
東京コンサルティングファーム マレーシア拠点
長山毅大
