証券口座の乗っ取り対策、今日10分でやるべき設定チェックリスト
#PR
最終更新日: 2026年7月22日
・金融庁の集計では2025年1月〜2026年6月の累計で不正アクセス19,116件・売却金額約4,364億円。ネット証券は「一部の人だけの話」ではなくなっている
・手口の主流はフィッシング(偽サイトでID・パスワード・ワンタイムパスワードを盗む)。二段階認証をしていても偽サイト経由なら突破される
・今日やるべきは①多要素認証をアプリ認証・パスキーに切り替え②ログイン通知・取引通知をON③公式サイトをブックマーク登録、の3つだけ
「うちの証券口座、大丈夫かな」。2025年の春ごろから、そう聞かれる回数が増えた。
同僚パパの一人は楽天証券を使っていて、ニュースで不正アクセスの話を見て「二段階認証、設定してたっけ」と青くなって確認したと話していた。
結論を先に言うと、ネット証券そのものが危ないわけではない。狙われているのはログインIDとパスワード、それを盗む手口がフィッシングという昔からある詐欺の延長線にあるだけだ。
ただ、被害の規模は僕が想像していたよりずっと大きい。金融庁が公表した資料を見て、正直「これは他人事じゃないな」と思い直した。
この記事では、実際に起きている被害の実態、狙われる手口、そして今日のうちに終わらせられる設定を順番に見ていく。
実際に起きた証券口座乗っ取り問題の概要
2025年3月ごろ、楽天証券の一部利用者の保有株が無断で売却され、その代金で別の株式(中国株など)が買い付けられるという不正取引が相次いで発覚した。
その後、SBI証券をはじめ複数のネット証券・大手証券でも同様の被害が確認され、業界全体の問題として扱われるようになった。
金融庁が公表している「インターネット取引サービスへの不正アクセス・不正取引の発生状況」によると、被害はこの規模まで積み上がっている(出典：金融庁公式・不正アクセス注意喚起ページ)。
- 集計期間: 2025年1月〜2026年6月の累計
- 不正アクセス件数: 19,116件
- 不正取引件数: 10,598件
- 売却金額: 約4,364億円/買付金額: 約3,835億円
もっとも被害が集中したのは2025年4月で、この1カ月だけで不正アクセス5,484件・不正取引3,027件・売却金額約1,625億円と、単月としては突出した数字になっている。
売却金額約4,364億円を、日本の投資信託・株式取引を行う世帯数のうちごく一部の被害と考えても、1件あたりの売却額は単純計算で約4,100万円(4,364億円÷10,598件)。
うちの家計でNISA口座に入れている金額を思い出すと、1回のログイン被害で数年分の積立が一瞬で消える規模だとわかる。
被害が確認された証券会社は大手・ネット証券を含め18社に及ぶ(前掲・金融庁資料および各社公表情報より)。
「うちはメジャーな証券会社だから狙われない」という前提は、もう成り立たない規模の話になっている。
NISA口座で積立をしている人も対象外ではない。売却された株式がNISA枠内のものだった場合、その年の非課税枠を再利用できないまま失うことになる点も見落とされやすい。
どの証券会社を使うか自体を見直したい人は、ネット証券はどこがいいかを整理した記事もあわせて読んでおくと判断しやすい。
手口はフィッシング・マルウェアが中心
被害の起点は、ほとんどのケースでフィッシングだ。
日本証券業協会の注意喚起では、フィッシングやマルウェアで窃取した個人情報(ログインID、パスワード等)を悪用した不正アクセス・不正取引が報告されているとしている(出典：日本証券業協会公式・重要なお知らせ)。
厄介なのは「リアルタイムフィッシング」という手法が広がっている点だ。
- 証券会社を装ったメールやSMSから偽サイトに誘導する
- 偽サイトでID・パスワードに加え、その場で発行されるワンタイムパスワードまで入力させる
- 入力された情報をリアルタイムで本物のログイン処理に流し込み、突破する
つまり、二段階認証を設定していても、SMSやメールのワンタイムパスワード方式だと、この手口では突破されてしまう可能性がある。
正直、僕もここまでは知らなかった。「二段階認証さえ設定しておけば安心」だと思い込んでいたので、この仕組みを知ったときは自分の設定を見直した。
SMS認証だけに頼っている場合は要注意ということになる。
「ネット証券は危ないのか」への回答
ここが一番聞かれる質問だと思う。結論としては、ネット証券という仕組み自体が危ないわけではなく、フィッシング詐欺という「人を騙す手口」への対策が不十分だと被害に遭うリスクが上がる、という話だ。
証券会社側のシステムが直接破られたわけではなく、利用者が偽サイトに情報を渡してしまうことが起点になっているケースが中心とされている。
とはいえ「自分は大丈夫」と思っている人ほど油断しがちなのも事実だ。
金融庁・日本証券業協会は、フィッシングに耐性のある多要素認証(パスキー等)への切り替えを呼びかけており、証券各社でも認証方式の強化が進められている(前掲・金融庁公式ページ)。
つまり業界全体が「利用者まかせ」から「仕組みで守る」方向に動いている最中で、利用者側もそれに合わせて設定を更新する必要がある段階だと理解しておくといい。
| 認証方式 | リアルタイムフィッシングへの強さ |
|---|---|
| SMS・メールのワンタイムパスワード | 偽サイト経由で抜かれる恐れがある |
| 認証アプリ(ワンタイムコード生成型) | SMSより安全だが偽サイト誘導自体には注意が必要 |
| パスキー(生体認証・端末紐づけ) | 偽サイトに渡す情報自体が存在せず耐性が高い |
今日やるべき設定1:多要素認証(二段階認証)
まず確認してほしいのは、証券会社のログイン設定画面を開いて、多要素認証がそもそもオンになっているかどうかだ。
次に、その方式がSMSだけになっていないかを見る。証券会社によっては認証アプリやパスキーへの切り替えができるので、対応している場合は乗り換えておきたい。
- 証券会社のサイト・アプリにログインし、「セキュリティ設定」または「認証設定」のメニューを開く
- 多要素認証(二段階認証)がオンになっているか確認する。オフなら今すぐオンにする
- 認証方式がSMSのみの場合、認証アプリやパスキーに対応していれば切り替える
- ログインパスワードを、他のサービスと同じものを使っていないか確認する。使い回している場合は変更する
- 証券会社の公式サイトをブックマークに登録し、メール・SMSのリンクからログインしない習慣にする
ここまでの作業は、慣れていればアプリを開いて10分もかからない。わが家でも、iDeCo・NISA口座から順番に設定を確認していった。
家族の口座を後回しにしている人は多いと思うが、被害額の規模を知ると優先順位は変わってくる。
今日やるべき設定2:メール通知・ログイン履歴確認
多要素認証と並んで見落とされがちなのが、ログイン通知・取引通知の設定だ。
ログインがあった、注文が出た、株式が売却された、というタイミングで即座に通知が届くようにしておけば、不正アクセスがあった場合に早い段階で気づける。
実際に被害が拡大したケースの多くは、通知に気づくのが遅れて、その間に売却・買い付けが進んでしまったパターンだとされている。
設定手順は次の3点を確認するだけでいい。
- ログイン通知のオン・オフ
- 注文・約定通知のオン・オフ
- ログイン履歴の確認方法(見覚えのないIPアドレスや時間帯のログインがないか)
証券口座に連携している銀行口座があれば、そちらの入出金通知も一緒に見直しておくと安心度が上がる。
ネット銀行の金利や使い勝手を含めて見直したい人はネット銀行の金利比較記事も参考にしてほしい。
被害にあった場合の補償・相談先
設定を済ませても、被害に遭う可能性が完全にゼロになるわけではない。
実際に不正アクセスに気づいたら、まず証券会社のコールセンターに連絡し、パスワードの変更・口座の一時停止を依頼するのが最初の一手になる。
補償については、日本証券業協会が「各社の約款等の定めに関わらず一定の被害補償を行う方針」を業界内で申し合わせていると公表している(出典：日本証券業協会公式・重要なお知らせ)。
ただし補償の対象・範囲は状況によって異なる。被害者側に重大な過失(パスワードの安易な使い回しなど)があった場合は、補償が減額・対象外になる可能性もある。
「補償されるはずだから大丈夫」と思い込まず、証券会社への連絡と、警察のサイバー犯罪相談窓口・国民生活センターへの相談を並行して進めておくのが現実的だ。
よくある質問
Q1. 証券口座の乗っ取りって実際どのくらい起きているの?
金融庁の集計では2025年1月〜2026年6月の累計で不正アクセス19,116件・不正取引10,598件、売却金額は約4,364億円に達している(出典：金融庁公式ページ)。ピークは2025年4月の単月で、売却金額だけで約1,625億円と突出していた。
Q2. 多要素認証を設定すれば絶対安全?
それだけで絶対安全とは言えない。SMSやメールで届くワンタイムパスワードは、偽サイトに誘導する「リアルタイムフィッシング」で抜かれる恐れがある。金融庁・日本証券業協会はパスキーなどフィッシング耐性のある認証方式への切り替えを呼びかけている。
Q3. 被害にあったらお金は戻ってくる?
日本証券業協会は、各社の約款の定めにかかわらず一定の被害補償を行う方針を申し合わせている。ただし補償の範囲は状況によって異なるため、「戻ってくるはず」と決めつけず、まずは証券会社と相談窓口に連絡することが先決になる。
Q4. NISA口座やiDeCoも被害の対象になる?
対象になる。NISA枠内の株式が無断で売却された場合、その年の非課税枠を再利用できないまま失うなど、通常口座以上に取り返しのつかない実害が出るケースがあるため、優先して設定を見直したほうがいい。
まとめ:設定は今日10分、後回しにするほど損が大きくなる
証券口座の不正アクセスは、2025年以降、金融庁が公表する数字だけでも累計19,116件・売却金額約4,364億円という規模まで広がっている。
手口の中心はフィッシングで、証券会社のシステムそのものが破られているわけではなく、利用者が偽サイトに情報を渡してしまうことが起点になっている。
裏を返せば、利用者側の設定と習慣で防げる部分が大きいということだ。
この記事の対策をやるべきなのは、次に当てはまる人だ。
- 証券口座で多要素認証をSMS認証のままにしている人
- ログイン通知・取引通知を設定していない人
- 家族の口座もまとめて把握していない人
すでにパスキーや認証アプリに切り替え済みで、通知もオンにしている人は、この記事の設定はやらなくていい。あとは半年に一度くらいログイン履歴を見返す習慣だけ続けておけば十分だ。
関連して読んでおきたい記事はこちら。
- 証券会社選びから見直したい人はネット証券の比較記事
- NISAとiDeCoの使い分けで迷っている人はiDeCoとNISAどちらを選ぶかの記事
- 銀行側の手数料や金利を見直したい人は銀行の手数料をゼロにする記事
家計全体の防御が一段上がるはずだ。
40代・2児のパパ。クレジットカード20枚保有、ANAダイヤモンド会員。家計と制度のお金の話を、自分の家庭で計算しながら発信している。運営者情報はこちら。
全体像とおすすめの読む順番はこちら → ネット銀行×証券まとめ｜金利・手数料からNISAの整え方まで
