証券口座 2025年 盗まれたIDとパスワードによる乗っ取りと不正な売買

証券会社を装った偽サイトとマルウェアで盗まれたIDとパスワードで、他人の証券口座に入り、口座の株を売り、その代金で国内外の小型株を買う不正な売買が、2025年3月から急増した。お金を口座の外へ出さないので、出金先を絞る従来の守りは効かなかった。業界の対策は、ログインと重要な操作でのフィッシングに耐える多要素認証の必須化に移った。

金融庁の注意喚起と月ごとの被害の集計、2025年10月15日の監督指針の改正、2026年1月20日の日本証券業協会との意見交換での論点、2026年7月のレポート、日本証券業協会の2025年5月2日の申し合わせと10月15日のガイドラインに沿って書いています。集計は2026年10月9日の更新で2026年9月までを含み、2026年9月にも2社で37件の不正アクセスと2件の不正取引があり、被害は小さくなりながら続いています。フィッシングに耐える多要素認証の必須化は2026年6月末までの対応が求められ、金融庁が監督指針に基づきモニタリングするとしています。各社が必須化を終えたかを示す一覧は、公表されていない。2026年11月時点の公開資料で書いています。

要点

  • 金融庁の集計で、2025年1月から2026年9月までの不正アクセスは1万9,252件、そのうち不正取引まで進んだのは1万642件。不正な売却は約4,372億円、不正な買付は約3,837億円。金額は損失の額とは一致しない。
  • 山は2025年4月で、不正アクセス5,490件、不正取引3,033件。被害が出た証券会社は5月に16社まで増えた。
  • 2020年の不正アクセスは別名義の口座への出金だったが、今回はお金を出さず、口座の中で株を売って小型株を買う形で、不公正な取引に悪用された。
  • 2025年10月15日に監督指針と日本証券業協会のガイドラインが改められ、ログイン、出金、出金先の変更でのフィッシングに耐える多要素認証の実装と既定での必須化が求められた。期限は2026年6月末とされた。
  • 大手とネット証券の10社は、2025年5月2日に、約款に関わらず一定の被害補償を個別の事情に応じて行うと申し合わせた。

何が起きたか

月ごとの不正アクセスと不正取引の件数。2025年3月に急増し4月が山で、2025年後半から減り、2026年9月まで少数が続く 5,500 0 1 2 3 4 5 6 7 8 9 10 11 12 1 2 3 4 5 6 7 8 9 2025年4月 5,490件、不正取引3,033件 10月15日 監督指針と ガイドラインの改正 2026年6月末 必須化の期限 2025年 2026年 不正アクセスの件数 そのうち不正取引まで進んだ件数
図1 金融庁の集計による月ごとの件数。発生日の月で数えた暫定の値。2026年10月9日の更新
期間不正アクセス不正取引不正な売却不正な買付被害の出た社数
2025年3月2,321件935件約175億円約147億円5社
2025年4月5,490件3,033件約1,625億円約1,423億円10社
2025年5月3,404件2,440件約1,151億円約1,032億円16社
2025年12月382件116件約23億円約19億円7社
2026年9月37件2件約2億円02社
2025年1月から2026年9月の合計19,252件10,642件約4,372億円約3,837億円月ごとに数える

表の数は金融庁の集計による[2]。証券会社から報告を受けた発生日ごとの暫定の値で、まだ分かっていないものがありうる。売却と買付の金額は被害口座の中の不正な取引の総額で、同じ口座で繰り返せば積み上がり、顧客の損失の額とは一致しない[1]。

日付内容
2025年1月から金融庁の集計の始まり。10社の補償の申し合わせも、2025年1月以降に起きたものを対象にした[2][6]
2025年3月不正アクセスが前月の97件から2,321件へ増える[2]。金融庁は2025年春ごろに被害が急増したとまとめた[5]
2025年4月3日金融庁が注意喚起を出す。以後、被害の集計を更新し続けた[1]
2025年5月2日日本証券業協会と10社が、約款等の定めに関わらず一定の被害補償を行う方針を申し合わせる[6]
2025年7月金融庁が所管の金融機関に、フィッシングに耐える多要素認証の導入などの対策の強化を要請。7月15日から8月18日に監督指針の改正案の意見を募る[3][5]
2025年10月15日改正した監督指針を同日から適用。日本証券業協会もガイドラインを改める[3][7]
2026年1月20日金融庁が日本証券業協会との意見交換で、被害がなお続いているとし、必須化は2026年6月末までの対応を求めていると述べ、遵守の状況のモニタリングを依頼[4]
2026年上期預金を扱う金融機関や暗号資産の交換業者など、他の業態の監督指針と事務ガイドラインも改められた[5]
2026年10月9日金融庁が2026年9月までの集計に更新[1][2]

通った道筋

偽サイトかマルウェアでIDとパスワードが盗まれ、攻撃者が本物の取引サイトへログインし、口座の株を売って小型株を買う。お金は口座の外へ出ない 利用者の側 攻撃者 本物の証券会社 メールやSMS 証券会社を装う 偽サイトに入力 または端末のマルウェア IDとパスワード 盗まれた ログイン 取引サイト 本人として通る 保有の株を売り 代金で国内外の小型株を買う 口座に小型株が残る 出金は起きないので 出金先の守りに掛からない
図2 金融庁と日本証券業協会の資料にある、盗んでから売買するまでの道筋

金融庁は、実在の証券会社を装った偽サイトで盗まれたログインIDやパスワードによる不正アクセスと不正取引に注意を促した[1]。日本証券業協会は、フィッシングとマルウェアで顧客の ID とパスワードが盗まれたと書く[7]。

不正取引の形は、多くの場合、不正に入った者が被害口座を勝手に操作して口座の株式などを売り、その売却代金で国内外の小型株などを買い付けるもので、被害口座には小型株が残る[1]。日本証券業協会は、これを従来の不正出金でなく、不公正な取引に悪用された事案とした[7]。

出金の守りが効かなかった

2020年の不正アクセスは、顧客の口座の株を売り、登録された銀行口座とは別の口座へ出金させるものだった[7]。改正の前の監督指針は、出金先を顧客と同じ名義の口座に限り、変更の書面を転送不要の郵便で送るなどの措置をとっていれば、取引のリスクに見合った対応とみなすとしていた[3]。この守りは、お金が口座の外へ出る所に置かれている。今回の形では、お金は被害口座の中にとどまり、売りと買いだけが行われた[1]。止める場所は、出金の前でなく、ログインと売買の前に移る。

多要素認証があれば防げた、とは限らない

日本証券業協会は2025年5月2日に、多要素認証が提供されていれば必ず設定するよう利用者に呼びかけた[6]。その後の監督指針とガイドラインが求めたのは、多要素認証一般ではなく、フィッシングに耐える多要素認証である[3][7]。この件の不正アクセスのうち、何件がワンタイムパスワードなどを通り抜けたものかは、読んだ公開資料に無い。

入力する認証と、宛先に結び付く認証

手で入力するワンタイムパスワードは偽サイトに入力されれば攻撃者が本物へ中継できる。パスキーは本物のサイトの名前に結び付いた署名を返すので、偽サイトでは使える出力が出ない 手で入力する認証 パスワード、ワンタイムパスワード、SMSのコード 利用者 コードを読んで打つ 偽サイト trade.example.net 本物のサイト trade.example.com 有効な間に中継 宛先に結び付く認証 パスキー、PKIの電子証明書 端末の認証器 開いた先の名前で署名 偽サイト 本物向けの署名が出ない 本物のサイト 名前が違えば拒む 中継しても通らない
図3 一般の仕組み。架空のドメインで示す。この件で中継が使われたかは資料に無い

NIST SP 800-63B-4 は、フィッシングへの耐性を、検証者になりすました相手に認証の秘密や有効な出力を渡さない性質と定める[8]。認証器の出力を手で打ち込む方式、たとえばワンタイムパスワードや別の経路で届くコードは、出力が認証しているセッションに結び付かないため、耐性があるとはみなされない[8]。耐性を持つには、出力を通信路か検証者の名前に暗号で結び付ける必要がある[8]。監督指針とガイドラインの例は、パスキーと、PKI をベースにした認証である[3][7]。

悪い例。架空の取引サイトのログイン。コードがどこで入力されたかを知らない

// 架空の例。trade.example.com
if (await passwordOk(user, req.body.password) &&
    totpOk(user.totpSecret, req.body.code)) {
  // 偽サイトに打たれたコードを中継されても、ここでは区別できない
  return startSession(user);
}

直した例。パスキーの応答に入った開いた先の名前と、発行した挑戦を確かめる

// 署名の検証は確立したライブラリに任せ、期待する値を明示して渡す
const result = await verifyAuthentication({
  response: req.body.credential,
  expectedOrigin: "https://trade.example.com",
  expectedRpId: "trade.example.com",
  expectedChallenge: session.challenge,
  publicKey: await loadPublicKey(user, req.body.credential.id),
  requireUserVerification: true,
});
if (!result.verified) return reject();

パスキーでは、ブラウザが応答に開いている先の名前を入れ、認証器は登録した先の名前に対してだけ署名する。偽サイトの名前では、本物のサイトが受け付ける署名は出てこない。NIST の言う検証者の名前への結び付けである[8]。サーバーの側では、期待する名前と、そのセッションで発行した挑戦の値を必ず照らす。

どこで止められたか

盗む、入る、売買する、気付く、広がるの5段それぞれの下に、止める仕組みを置く 1 盗む 偽サイトと端末 2 入る IDとパスワード 3 売買する 売って小型株を買う 4 気付かない 本人が知らない 5 広がる 5月に16社 誘いを減らす リンクを送らない 送信ドメイン認証 耐える認証 パスキーなどを 既定で必須に 取引の前 取引時の認証 上限と買える範囲 検知と通知 振る舞いの検知 ログインの通知 共有と遮断 手口を業界で共有 接続元を止める 2が根本。盗まれても入れなければ、3から5は起きない
図4 乗っ取りが進む5段と、それぞれで止める仕組み
段この件で資料にあること止める仕組み
1 盗む偽サイトとマルウェアで ID とパスワードが盗まれた[1][7]メールや SMS にログインのリンクを載せない。正規のサイトのブックマークか正規のアプリから入るよう促す。送信ドメイン認証を計画的に入れ、偽サイトの閉鎖を依頼する[3]
2 入る盗まれた ID とパスワードで入られた[1]ログイン、出金、出金先の変更でフィッシングに耐える多要素認証を実装し、既定で必須にする。必須化までは代わりの多要素認証と、振る舞いの検知とログインの通知を強める[3][7]
3 売買する保有の株を売り、国内外の小型株を買った[1]取引の時にもフィッシングに耐える認証を出す。取引の金額の上限と、買える商品の範囲を顧客が決められるようにする[3]
4 気付かない金融庁は、こまめに口座を確かめ、不審なら窓口へ連絡するよう利用者に求めた[1]身に覚えのないログイン、取引、出金、出金先の変更をメールなどで知らせる。ログインの振る舞いを分析し、疑わしい接続を遮断する。ログインと取引の情報を残す[3][7]
5 広がる被害の出た社数は2025年5月に16社[2]金融ISAC や JPCERT/CC などで手口と対応策を共有する。不正なアクセス元からの接続を止める[3]

2 入る。根本の段

盗む段は、利用者の注意と端末に頼る部分が残り、証券会社の側だけでは閉じられない。入る段は、証券会社が認証の方式を決められる。偽サイトに何を打ち込まれても、本物のサイトで使える出力が出ない方式にすれば、盗む段の成功が入る段の成功につながらない[8]。監督指針とガイドラインが、ログインに加えて出金と出金先の変更にも求めるのはこのためである[3][7]。ウェブとアプリなど取引の道具が複数あれば、どの道具でも同じ水準にする必要がある[7]。弱い道が1つ残れば、そこから入られる。

必須化の後も、端末を持たないなどの理由で解除する顧客には代わりの多要素認証を出し、解除する割合を追って下げる工夫を続けるとされた[3]。パスワードの規則と、認証の失敗の型は A07 認証の不備、他で漏れた ID とパスワードで入られた件は 7pay 2019年、盗まれた認証情報で社内に入られた件は KADOKAWA 2024年 にある。

3 売買する。重要な操作を分ける

ログインを通った後の操作を全部同じ重さで扱うと、ログイン1回の破れで全部が通る。保有の株を全部売る、普段買わない銘柄を買う、のような操作は、出金と同じく重要な操作として、改めて認証を求める対象にできる。監督指針は、取引の時のフィッシングに耐える認証の提供と、取引の金額の上限や購入できる商品の範囲を顧客が決める機能を、さらに講じる策として挙げた[3]。手順を飛ばせる作りと、回数や量の上限が無い作りの型は A06 安全性を欠いた設計 にある。

4 気付かない。通知と検知

お金が出ないので、利用者が出金の通知で気付くことも無い。身に覚えのないログインや約定を本人へ知らせれば、2件目の取引の前に止められる。顧客からの届け出を速やかに受け付ける体制も求められた[3]。ログインの振る舞いの検知と、後から確かめられる記録の置き方は A09 セキュリティログとアラートの不備 にある。

守り方

根本の直し
  • ログイン、出金、出金先の変更に、パスキーなどフィッシングに耐える多要素認証を実装し、既定で必須にする[3][7][8]。
  • サーバーでは、応答に入った開いた先の名前と、発行した挑戦の値を必ず照らす。手で打つコードだけで本人とみなさない[8]。
  • ウェブ、アプリ、ほかの取引の道具のすべてを同じ水準にする。弱い道を残さない[7]。
緩和の策
  • 保有の大半を売る、普段と違う銘柄を買うなどの取引にも、フィッシングに耐える認証を求める。金額の上限と買える範囲を顧客が決められるようにする[3]。A06 安全性を欠いた設計
  • ログイン、約定、出金、出金先の変更を本人に知らせる。ログインの振る舞いを分析し、疑わしい接続に追加の認証を求めるか遮断する[3][7]。A09 セキュリティログとアラートの不備
  • 認証に続けて失敗したらアカウントを自動で止める[3]。
  • メールと SMS にログインのリンクを載せない。送信ドメイン認証を入れ、偽サイトの閉鎖を依頼する[3]。
  • 必須化の前の期間は、代わりの多要素認証を出し、必須化の予定を顧客に知らせる[3]。
  • 被害が出たら、記録を保存し、状況を精査して補償を含む対応をする[3][6]。

参照

  1. インターネット取引サービスへの不正アクセス・不正取引にご注意ください 金融庁、2025年4月3日、2026年10月9日の更新
  2. インターネット取引サービスへの不正アクセス・不正取引の発生状況 金融庁、2026年10月9日の更新。2025年1月から2026年9月までの月ごとの集計
  3. 金融商品取引業者等向けの総合的な監督指針 新旧対照表 金融庁、2025年10月15日。Ⅲ-2-8-2 インターネット取引。改正の経緯と適用の日は パブリックコメントの結果の公表
  4. 業界団体との意見交換会において金融庁が提起した主な論点 日本証券業協会 金融庁、2026年1月20日の開催分
  5. マネー・ローンダリング等及び金融犯罪対策の取組と課題 金融庁、2026年7月。第2章のフィッシング等による不正アクセス・不正取引に関する取組
  6. インターネット取引サービスにおけるフィッシング詐欺等による証券口座への不正アクセス等による対応について 10社申し合わせ 日本証券業協会、2025年5月2日
  7. インターネット取引における不正アクセス等防止に向けたガイドライン 日本証券業協会、2025年10月15日。制定と改正の経緯、ログインと取引と出金の時のスタンダード
  8. SP 800-63B-4 Authentication and Authenticator Management NIST、2025年7月。3.2.5 Phishing Resistance