ネット証券では、株式や投資信託などの資産をスマートフォンやパソコンから手軽に管理できる一方、第三者による不正アクセスや証券口座の乗っ取りへの対策が重要になっています。実際に金融庁や日本証券業協会は、偽サイト・偽アプリによるフィッシングやマルウェアなどを通じて取得された認証情報が悪用され、不正アクセスや不正取引が発生しているとして注意を呼びかけています。
多要素認証、フィッシング対策、セキュリティソフトなどを組み合わせればリスクを大きく下げることはできますが、特定の対策をしているから絶対に安全という状態にはできません。さらに近年は従来型のワンタイムパスワードを突破するリアルタイムフィッシングも問題になっており、対策方法も変化しています。この記事では、ネット証券を利用するときに知っておきたい口座乗っ取り対策を整理します。
ネット証券の口座乗っ取りはどのように起こる？
証券口座への不正アクセスというと、証券会社そのものがハッキングされてパスワードが盗まれる場面を想像するかもしれません。しかし、利用者を証券会社そっくりの偽サイトへ誘導し、ログインIDやパスワードなどを入力させるフィッシングも代表的な手口です。
日本証券業協会は、証券会社などを装った偽メールやSMSから偽サイト・偽アプリへ誘導して認証情報を盗み取る手口に加え、入力されたワンタイムパスワードを直ちに悪用する「リアルタイムフィッシング」による被害についても注意喚起しています。[参照：日本証券業協会]
そのため、「二段階認証を設定したから大丈夫」「パスワードを複雑にしたから大丈夫」と一つの対策だけに頼るのではなく、複数の防御策を重ねることが重要です。
QRコードなどを使った二段階認証・多要素認証は有効？
多要素認証を利用することは、証券口座の乗っ取り対策として非常に重要です。IDとパスワードだけでログインできる状態より、スマートフォンなど別の要素による認証を追加したほうが、不正ログインのハードルを高くできます。
ただし、ここで重要なのは「二段階になっているか」だけではなく、「どの認証方式を使っているか」です。認証コードを入力する方式の場合、偽サイトに認証コードまで入力してしまうリアルタイムフィッシングによって突破される可能性があります。
金融庁は、証券会社でログイン時・取引時・出金時・出金先銀行口座変更時などの多要素認証や通知サービスを有効にすることに加え、提供が始まった場合にはパスキー認証などフィッシング耐性のある強固な多要素認証を利用するよう案内しています。[参照：金融庁]
利用中の証券会社がパスキーを提供しているなら、従来型の認証方式のままにせず、公式サイトや公式アプリで最新の推奨設定を確認する価値があります。
「フィッシングには引っかからない」だけではなく入口を作らない
フィッシング対策では、メールの文章を見て偽物か本物かを判断するより、そもそもメールやSMSに記載されたリンクから証券口座へログインしないというルールを決めるほうが安全性を高めやすくなります。
例えば、「保有銘柄に重要なお知らせがあります」「本人確認が必要です」「口座を一時停止します」といったメールが届いても、そのメール内のリンクを押してログインするのではなく、普段使っている公式アプリを直接起動するか、あらかじめ登録しておいた公式サイトのブックマークからアクセスします。
金融庁と日本証券業協会も、証券会社へのアクセスについて正しいURLをあらかじめブックマークし、メールやSMSのリンクからログインしないよう注意喚起しています。検索広告などを経由するのではなく、公式アプリ・登録済みブックマークからアクセスする習慣を作っておくとよいでしょう。
大手証券会社を利用すれば乗っ取りを防げる？
証券会社を選ぶ際にセキュリティ対策の内容を確認することは重要ですが、「大手だから乗っ取られない」と考えるのは適切ではありません。不正アクセスでは利用者側の認証情報を盗み、その本人になりすまして正規のサービスへアクセスする手口もあるためです。
実際、日本証券業協会は2025年に、フィッシング詐欺などによる証券口座への不正アクセス被害への対応について、大手証券・ネット証券10社と一定の被害補償を行う方針を申し合わせたと公表しています。つまり、大手を含めて証券業界全体で対策が必要になった問題です。[参照：日本証券業協会]
会社の規模だけを見るのではなく、パスキーなどのフィッシング耐性のある認証、ログイン通知、取引通知、出金時認証、出金先変更時認証など、現在提供されているセキュリティ機能を確認し、有効にしておくことが大切です。
セキュリティソフトを入れれば安全とは限らない
パソコンやスマートフォンのセキュリティ対策も有効です。金融庁は、マルウェアによる情報窃取への対策として、OSなどのソフトウェアを最新状態にするとともに、セキュリティソフトを導入して最新状態に更新することを対策として案内しています。
ただし、セキュリティソフトだけですべての攻撃を防げるわけではありません。例えば、本物そっくりのフィッシングサイトを利用者自身が開き、そこへ認証情報を入力してしまうケースでは、セキュリティソフトだけに頼ることはできません。
したがって、OS・ブラウザ・証券アプリ・セキュリティソフトを最新状態に保つことと、公式アプリや公式サイト以外には認証情報を入力しないという運用をセットで行うことが重要です。
さらに設定しておきたい証券口座のセキュリティ対策
ネット証券の安全性を高めるには、一つの強力な対策よりも複数の対策を重ねる「多層防御」が効果的です。特に確認しておきたい項目を整理すると次のようになります。
- パスキーなどフィッシング耐性のある認証が利用できれば設定する
- ログイン・取引・出金などに利用できる多要素認証を有効にする
- ログイン通知、約定通知、出金通知などを有効にする
- 証券口座のパスワードを他サービスと使い回さない
- 証券会社へは公式アプリまたは登録済みブックマークからアクセスする
- メールやSMSに記載されたリンクからログインしない
- OS、ブラウザ、アプリ、セキュリティソフトを最新状態にする
- 口座残高・保有銘柄・注文履歴・出金履歴を定期的に確認する
特に通知機能は、侵入そのものを防ぐ機能ではありませんが、異常を早期発見するうえで役立ちます。例えば、自分が操作していない時間にログイン通知や注文・約定通知が届けば、すぐに口座を確認できます。
また、証券口座だけを強化しても、登録しているメールアカウントが乗っ取られると危険が増します。メールや、パスキーを同期・バックアップするAppleアカウントやGoogleアカウントについても、強固な認証と使い回しのないパスワードで保護しておくことが重要です。
不審なログインや取引を見つけた場合はどうする？
身に覚えのないログイン、注文、株式売買、出金、登録情報変更などを発見した場合は、「しばらく様子を見る」のではなく、利用している証券会社の公式窓口へ速やかに連絡することが重要です。
また、不審なサイトへ認証情報を入力した可能性がある場合も同様です。証券会社の公式サイトまたは公式アプリから案内を確認し、必要に応じてパスワード変更や口座の利用停止などについて証券会社の指示を受けます。日本証券業協会は、不審なログイン・取引・出金などがあった場合には証券会社の問い合わせ窓口への確認や警察への相談を案内しています。
被害発生後の補償については一律とは限りません。日本証券業協会が公表している申し合わせでも、被害状況やID・パスワードの管理状況などを踏まえて個別に対応するとされています。そのため、「被害が出ても補償されるから大丈夫」と考えず、予防と早期発見を優先する必要があります。
まとめ：ネット証券は「絶対安全」ではなくリスクを重ねて減らす
ネット証券の乗っ取り対策として、多要素認証、フィッシング対策、セキュリティソフト、大手証券会社の利用はいずれも安全性を高める要素になり得ます。しかし、これらを実施すれば100％安全になるという保証はありません。
現在は、認証コードまでリアルタイムで盗み取るフィッシングもあるため、利用中の証券会社が対応している場合にはパスキーなどフィッシング耐性のある認証を優先し、公式アプリ・ブックマークからのアクセス、パスワードの使い回し禁止、各種通知、OSやアプリの更新などを組み合わせることが重要です。
セキュリティ対策は一度設定して終わりではありません。証券会社や金融庁、日本証券業協会から新しい対策が案内されたときに設定を見直し、日頃から口座の取引履歴や通知を確認することが、大切な金融資産を守る現実的な方法です。
コメント