ネット証券の口座乗っ取りは誰の責任？証券会社のセキュリティと利用者のフィッシング対策・補償の考え方

ネット証券の口座が第三者に乗っ取られ、保有株を勝手に売却されたり、身に覚えのない銘柄を大量に購入されたりする被害が大きな問題になっています。このような被害を見ると、「証券会社のセキュリティが弱かったのか」「フィッシング詐欺などに引っかかった利用者にも責任があるのか」という疑問が生じます。

結論からいえば、ネット証券の口座乗っ取りを一律に「証券会社だけの責任」「利用者だけの落ち度」と分けることはできません。侵入の原因がフィッシングによるID・パスワード流出だったとしても、証券会社には本人確認、多要素認証、不審な取引の検知、緊急時の口座停止、問い合わせ対応などを適切に整備する責任があります。

一方、利用者側にも、偽サイトへ認証情報を入力しない、パスワードを使い回さない、証券会社が提供する強固な認証を利用するといった対策が求められます。実際の補償や法的責任は、被害がどのように発生し、双方がどの程度の対策を取っていたかによって個別に判断されます。

2025年以降、ネット証券の口座乗っ取り被害が社会問題化

金融庁は2025年4月以降、実在する証券会社を装ったフィッシングサイトなどで盗まれたログインIDやパスワードを使い、第三者が証券口座へ不正アクセスして取引を行う被害について繰り返し注意喚起しています。

典型的な手口では、犯罪者が被害者の証券口座へログインし、口座内にある株式などを本人に無断で売却します。その資金を使って別の国内外の小型株などを大量に購入するケースが確認されています。[参照] 金融庁 インターネット取引サービスへの不正アクセス・不正取引に関する注意喚起

この問題は特定の証券会社だけで起こるものではなく、金融庁も「どの証券会社等でも発生し得る」と説明しています。

2026年8月にはSBI・楽天・松井・マネックス証券を対象に集団調停

2026年8月27日には、証券口座の乗っ取り被害を訴える79人が、SBI証券、楽天証券、松井証券、マネックス証券の4社を相手取り、東京簡易裁判所へ民事調停を申し立てたことが報じられました。

申立人側は、不正アクセス後に行われた売買は本人の意思を反映したものではないとして、口座記録を不正取引前の状態へ戻す「原状回復」を求めています。また、被害に気付いて証券会社へ連絡したにもかかわらず、電話がつながらなかったり、速やかに口座停止されなかったりして被害が拡大したケースもあると主張しています。[参照] 2026年8月27日の集団調停に関する報道

ここで重要なのは、2026年8月27日時点では「裁判所が証券会社の責任を認定した判決」ではなく、被害者側がそのように主張して民事調停を申し立てた段階だという点です。

約3000万円の被害を訴えるケースでは1日約130回の取引

同じ集団調停に参加している70代男性については、SBI証券の口座が乗っ取られ、1日で約130回の身に覚えのない株式売買が行われ、約3000万円の被害を訴えていると報じられています。

こうした通常とは大きく異なる取引について、「なぜシステムが不審な取引として止めなかったのか」という問題提起が行われています。

ただし、取引回数が多ければ必ず証券会社の法的責任が認められるとは限りません。どのような監視システムが導入されていたか、当時の業界標準、本人の通常取引との乖離、証券会社が異常を認識できたかなどが個別に検討されることになります。

口座乗っ取りの「侵入口」は利用者側のフィッシング被害が多い

金融庁が注意喚起している代表例は、証券会社そっくりの偽サイトへ利用者を誘導し、ログインIDやパスワードを盗み取るフィッシングです。

例えば「口座が制限されました」「本人確認が必要です」「重要なお知らせがあります」などと書かれたメールやSMSから偽サイトへ誘導され、本物だと思ってログイン情報を入力すると、その情報が犯罪者へ渡ります。

その後、犯罪者が本物の証券会社へログインして不正取引を行うという流れです。このケースでは、証券会社のサーバーそのものが直接ハッキングされたわけではないこともあります。

ではフィッシングに遭った利用者だけが悪いのか

フィッシングサイトへ自分で認証情報を入力してしまったケースでは、利用者側にも一定の注意義務が問題になる可能性があります。

しかし金融サービスは、一般利用者が利用することを前提としたサービスです。高度なサイバーセキュリティ知識を全利用者へ求め、「パスワードが盗まれた時点ですべて利用者責任」とするだけでは十分な安全対策とはいえません。

そのため現在では、パスワードが漏れても簡単には口座を乗っ取れないよう、多要素認証やパスキーなどを導入することが重要視されています。

証券会社にも「パスワードが盗まれる前提」のセキュリティが求められている

近年のサイバーセキュリティでは、「IDとパスワードを秘密にしておけば安全」という考え方だけでは十分ではありません。

フィッシング、マルウェア、情報漏えいなどによって認証情報が流出する可能性を前提に、別の認証要素を組み合わせる多要素認証が重要になります。

金融庁も証券会社に対し、ログイン時・取引時・出金時・出金先銀行口座変更時などに多要素認証を利用することを推奨し、特にフィッシング耐性の高いパスキー認証などの必須化が進められていると説明しています。[参照] 金融庁

証券会社側で問題になり得るポイント

ネット証券の責任を考える場合、「不正ログインを完全に防げたか」だけを見るのでは十分ではありません。

ログイン後の異常取引を検知できたか、通常と大きく違う注文回数や銘柄への集中を監視していたか、急激な売却・買付に追加認証を要求したか、本人からの連絡後に速やかに取引を止められたかといった点も重要になります。

特に、本人が「乗っ取られている」と連絡しているのに長時間取引が継続した場合には、被害拡大防止体制の適切性が争点になる可能性があります。

異常取引検知は銀行やカード会社だけのものではない

クレジットカードでは、普段と違う国や高額決済が突然行われると、自動的に決済を保留したり本人確認を求めたりする仕組みがあります。

証券取引でも同様に、通常とは明らかに異なるアクセスや取引を検知する仕組みが重要です。例えば普段は月に数回しか取引しない顧客が突然数時間で100回以上売買した場合、それを異常行動として検知する考え方があります。

ただし証券市場では短期売買を日常的に行う利用者も存在するため、「取引回数が多いだけで自動停止」という単純なルールでは正常な取引まで止めてしまいます。そのため、複数の要素を組み合わせたリスク判定が必要です。

利用者側に求められるセキュリティ対策

証券会社側の責任とは別に、利用者自身が取れる対策も重要です。

金融庁は、メールやSMSに記載されたリンクから証券会社へアクセスせず、正しい公式サイトをあらかじめブックマークし、そこからアクセスすることを推奨しています。

また、パスワードを使い回さない、多要素認証やパスキーを有効にする、ログイン通知・取引通知を設定する、口座をこまめに確認することなども推奨されています。

SMS認証だけでも万能ではない

多要素認証を設定していれば絶対安全というわけでもありません。

高度なフィッシングでは、本物のサイトと偽サイトの通信をリアルタイムで中継し、利用者が入力したワンタイムパスワードまで盗む「中間者型」の手口が使われることがあります。

そのため、近年はSMSコードや単純なワンタイムパスワードよりも、偽サイトでは認証しにくいパスキーなど「フィッシング耐性のある認証方式」が重視されています。

パスキーはフィッシングへの耐性が比較的高い

パスキーは、端末に保存された暗号鍵を使って本人確認する仕組みで、通常のパスワードのように利用者が秘密文字列を入力する必要がありません。

偽サイトへ誘導されても、登録された正規ドメインと異なるサイトでは正常に認証されない仕組みを利用できるため、従来型フィッシングへの耐性があります。

証券会社がパスキーなどを提供している場合は、利用を検討する価値があります。

2025年には大手・ネット証券10社が一定の補償方針を表明

2025年5月、日本証券業協会と大手・ネット証券10社は、フィッシング詐欺などによる不正アクセス・不正取引で顧客に発生した被害について、各社の約款の定めにかかわらず一定の補償を行う方針を申し合わせました。[参照] 日本証券業協会 フィッシング詐欺等による証券口座への不正アクセスへの対応

これは「利用者がフィッシングに遭ったら全部自己責任」という考え方ではなく、証券市場への信頼維持や顧客保護の観点から、証券業界として被害救済を行う方向へ動いたものといえます。

ただし補償割合や対象条件は証券会社ごとに異なるため、必ず全額補償されるわけではありません。

SBI・楽天・松井証券などは被害額50％補償を公表

2025年7月には、SBI証券、楽天証券、松井証券が、不正アクセスによる不正売買の被害について原則として被害額の50％を金銭補償する方針を公表したと報じられています。

一方、被害者の中には「50％の金銭補償ではなく、不正取引自体が存在しなかった状態へ口座を戻すべきだ」と主張する人もいます。

2026年8月の集団調停は、まさにこの「一定割合の金銭補償でよいのか、それとも不正取引前の状態へ原状回復すべきなのか」が大きな争点の一つになっています。

「記録を修正する義務がある」は現時点では被害者側の主張

ニュースを読む際には表現にも注意が必要です。

「証券会社は記録を修正する義務がある」と報じられている場合、2026年8月27日の集団調停については、裁判所がその義務を認めたという意味ではありません。申立人側が「本人の意思に基づかない取引なので、証券会社には口座記録を修正する義務がある」と主張しているという意味です。

調停申し立てと確定判決は全く異なります。今後の調停結果や訴訟の進展によって、証券会社の法的責任がどのように整理されるかが注目されます。

証券会社へ電話がつながらなかった場合は責任問題になる？

口座乗っ取りに気付き、利用者が証券会社へ電話したにもかかわらず長時間つながらず、その間にも不正取引が続いた場合は、緊急時の顧客対応体制が適切だったかが問題になる可能性があります。

ただし「電話が一度つながらなかった」という事実だけで証券会社の法的責任が決まるわけではありません。

緊急停止用の別窓口が存在したか、Web上で取引停止できたか、連絡後どのくらいで対応したか、証券会社が不正アクセスと認識できる状況だったかなども含めて判断されます。

通常の400倍など異常な取引を止めなかったら証券会社の落ち度？

利用者の普段の取引頻度と比べて極端に多い取引が突然行われれば、「証券会社側で検知できなかったのか」という疑問は自然です。

現在の金融セキュリティでは、ログイン場所、端末、接続元、注文頻度、取引額、銘柄などから不審な行動を検知する考え方が広く利用されています。

一方、証券会社には高速・頻繁に売買する正常な顧客も存在します。そのため「通常の何倍なら必ず停止義務がある」という単純な基準が法律で一律に決まっているわけではありません。具体的なシステム設計や当時の合理的な安全対策水準が争点となります。

証券会社のセキュリティ責任は強化される方向

2025年の被害急増を受け、金融庁はインターネット証券取引における認証方法や不正防止策を強化するため、監督指針の改正を進めました。

金融庁は、多要素認証の強化、不正アクセス検知、不正取引対策などを証券会社へ求める方向を明確にしています。[参照] 金融庁 インターネット取引のセキュリティ強化

つまり制度面でも、「利用者がパスワードを守ればよい」という従来型の対策から、証券会社側でも乗っ取りを前提として防御する方向へ移っています。

日本証券業協会も不正アクセス防止ガイドラインを強化

日本証券業協会では「インターネット取引における不正アクセス等防止に向けたガイドライン」を整備し、2025年にも内容を改正しています。[参照] 日本証券業協会 不正アクセス等に関する注意喚起

証券会社側には、本人認証だけでなく、不正アクセスや不正取引を検知・防止するための態勢強化が求められています。

そのため今後は、利用者側だけでなく証券会社側の監視・認証体制が十分だったかについて、より厳しく問われる可能性があります。

責任を「0か100か」で考えないほうが分かりやすい

口座乗っ取り被害では、「利用者がフィッシングに引っかかったのだから100％本人責任」「証券会社で起きたのだから100％会社責任」と考えがちです。

しかし実際には、侵入原因、利用者の認証設定、証券会社のセキュリティ水準、不正取引の異常性、被害発覚後の対応など、複数の事情があります。

そのため補償制度でも、利用者側の重大な過失の有無などによって対応が変わる可能性があります。

責任を考える際に見るべきポイント

確認項目	主に関係する側
フィッシングサイトへ認証情報を入力したか	利用者側
同じパスワードを使い回していたか	利用者側
多要素認証・パスキーが提供されていたか	証券会社側
多要素認証を利用者が無効にしていたか	利用者側
異常なアクセスを検知できる仕組みがあったか	証券会社側
通常と大きく異なる取引を検知したか	証券会社側
被害申告後すぐ口座を止めたか	証券会社側
本人が通知を確認していたか	利用者側

実際の責任や補償は、こうした事情を総合して判断されることになります。

証券口座が乗っ取られたと感じたら最優先で行うこと

身に覚えのないログイン通知、売却、買付などを確認した場合は、まず証券会社へ連絡して口座の利用停止を依頼します。

同時にパスワードを変更し、同じパスワードをメールや他の金融サービスでも使用している場合は、そちらも変更します。

被害画面、約定履歴、ログイン履歴、証券会社への連絡日時などは後から重要な証拠になる可能性があるため、スクリーンショットなどで保存しておくとよいでしょう。

メールアカウントも確認する

証券口座だけを守ればよいとは限りません。犯罪者がメールアカウントまで乗っ取っている場合、証券会社から届く警告メールやパスワード変更通知を削除される可能性があります。

メールサービスのログイン履歴を確認し、パスワード変更と多要素認証を行います。

証券会社と同じパスワードをメールでも利用している場合は特に危険です。

NISA口座でも乗っ取り被害は起こり得る

NISAは税制上の制度であり、不正アクセスを防ぐセキュリティ制度ではありません。

そのためNISA口座で保有している株式や投資信託であっても、証券会社のオンライン口座自体を乗っ取られれば、不正な売却等の対象になる可能性があります。

NISAだから特別に乗っ取られにくいということではないため、通常口座と同様にセキュリティ対策が必要です。

被害に遭っていない人も今すぐ設定を確認したい

金融庁は、証券会社が提供するログイン時・取引時・出金時などの多要素認証と通知サービスを有効にするよう呼びかけています。

特にパスキーなどフィッシング耐性の高い認証が提供されている場合は、早めに設定することが推奨されています。

またメールやSMSから直接ログインせず、公式アプリまたは自分で登録したブックマークから証券会社へアクセスするだけでもフィッシング被害を減らせます。

ネット証券そのものが危険という意味ではない

口座乗っ取り被害が報道されると、「ネット証券は危険だから利用しないほうがよい」と感じることがあります。

しかしオンラインバンキング、クレジットカード、メール、SNSなど、認証情報を使うサービスには同様の不正アクセスリスクがあります。

重要なのはネット証券か店舗型証券かだけではなく、証券会社のセキュリティ機能と、自分自身がどの認証方法を利用しているかです。

今後は「不正ログインを防ぐ」だけでなく「不正取引を止める」対策が重要

今回の一連の被害から注目されているのは、ログイン認証だけではありません。

たとえ第三者がログインに成功してしまっても、本人の通常行動から大きく外れた売買、突然の大量注文、不自然なアクセス地域などを検出して追加認証や一時停止を行えば、被害を小さくできる可能性があります。

そのため今後のネット証券では、「侵入させない対策」と「侵入後も被害を拡大させない対策」の両方が重要になります。

まとめ：口座乗っ取りは利用者だけ・証券会社だけの問題とはいえない

ネット証券の口座乗っ取り被害は、現時点で確認されている多くのケースでは、フィッシングサイト等によって盗まれたログインID・パスワードが不正利用されることから始まっています。その意味では、利用者側の認証情報管理やフィッシング対策も非常に重要です。

しかし、「フィッシングに遭ったのだから証券会社には一切責任がない」と単純に整理できる問題でもありません。証券会社には、多要素認証、不正アクセス検知、異常取引監視、緊急時の取引停止、問い合わせ対応など、顧客資産を守るための合理的な安全管理体制が求められます。

2025年には日本証券業協会と大手・ネット証券10社が、約款の定めにかかわらず一定の被害補償を行う方針を申し合わせました。また金融庁も証券会社の認証・不正取引対策を強化する方向で監督体制を見直しています。

2026年8月27日には、SBI証券、楽天証券、松井証券、マネックス証券を利用していた被害者79人が原状回復を求める民事調停を申し立てました。ただし、これは証券会社の責任が裁判所によって確定したという意味ではなく、今後の調停や訴訟の中で双方の主張が検討される段階です。

利用者としては、パスキーや多要素認証を有効にし、メール・SMSのリンクからログインしない、取引通知を有効にする、口座を定期的に確認するといった対策を行うことが重要です。同時に、証券会社側にも「パスワードは盗まれる可能性がある」という前提で、不正取引そのものを早期に検知・停止できる仕組みが求められていると考えるのが、現在のネット証券セキュリティを理解するうえで最も適切です。