Aug 27, 2026

投資・NISA

証券口座の乗っ取りは、もう終わったのか

※本サイトの記事にはアフィリエイト広告（PR）を含む場合があります

※本記事にはアフィリエイト広告（PR）を含みます。

金融庁が2026年8月10日に更新した集計で、2026年7月にインターネット取引サービスで起きた不正取引は1件、不正に売買された金額は売却・買付を合わせて**約0.02億円（約200万円）**でした。ピークだった2025年4月は不正取引が3,033件、金額は約3,048億円ですから、1年3か月で桁が5つ落ちたことになります。

数字だけ見れば、証券口座の乗っ取りは終わりかけています。ただ、減った理由がはっきりしているぶん、その理由から外れている口座だけが取り残されるという形になりました。ここでは、いま投資家のあいだで見かける3つの誤解を、金融庁と証券会社が出している資料で1つずつ確かめていきます。

数字で見る：何が、どのくらい減ったのか

金融庁は2025年1月分から、証券会社などのインターネット取引サービスで起きた不正アクセスと不正取引の件数・金額を毎月公表しています。最新版（2026年8月10日更新）から主な月を並べると、こうなります。

累計（2025年1月〜2026年7月）：不正アクセス19,142件、不正取引10,607件。不正な売却が約4,365億円、不正な買付が約3,835億円
2025年4月（ピーク）：不正アクセス5,490件、不正取引3,033件。売却約1,625億円、買付約1,423億円
2026年6月：不正アクセス162件、不正取引102件。売却約7億円、買付約4億円
2026年7月：不正アクセス14件、不正取引1件。売却・買付とも約0.01億円

不正取引が発生した証券会社等の数も、2025年5月の16社から2026年7月は1社まで減りました。ピークからの落ち方としては、かなりはっきりしています。

ここで押さえておきたいのは、この犯罪の目的が「あなたの資産を盗むこと」ではなかったという点です。報道や調査機関の分析によれば、典型的な手口は、乗っ取った口座で持っている株を勝手に売り、その資金で流動性の低い特定の銘柄を大量に買い付けて株価をつり上げ、犯人が別の口座で先に仕込んでいた同じ銘柄を高値で売り抜ける、というものでした。2025年11月には相場操縦の疑いで逮捕者も出ています。

つまり狙われていたのは残高の大きさというより、売買を出せる口座そのものです。「たいした額を積み立てていないから自分は関係ない」という理屈は、この手口には効きません。

（この記事の数値の最終確認日：2026-08-27。件数・金額は金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」2026年8月10日更新版によります）

誤解1：「二段階認証にしているから、自分は大丈夫」

いちばん多い誤解がこれです。ログイン時にSMSやメールでワンタイムパスワードが届く設定にしていれば安心、という感覚は自然ですが、2025年に大量の被害を出した手口は、まさにその二段階認証を通り抜けてきました。

仕組みは単純です。本物そっくりの偽サイトが、利用者と本物のサイトのあいだに立ちます。利用者が偽サイトにIDとパスワードを入力すると、偽サイトはそれをその場で本物へ転送してログインを試みます。本物が「ワンタイムパスワードを入力してください」と返してきたら、偽サイトも同じ画面を出す。利用者がスマホに届いた番号を偽サイトに打ち込めば、それも即座に本物へ流されます。利用者が正しい番号を入力した瞬間に、犯人側のログインが完了するという流れです。

だから対策の焦点は「認証を2つにすること」ではなく「偽サイトでは使えない認証にすること」へ移りました。金融庁も注意喚起のページで、パスキー認証などフィッシングに耐性のある多要素認証の必須化が進められている、と書いています。

パスキーは、端末のなかに秘密の鍵を作って保存し、顔や指紋でその鍵を使えるようにする方式です。鍵は登録した正規のドメインでしか反応しないため、見た目が同じ偽サイトを相手にしても署名が成立しません。番号を打ち込む操作自体がなくなるので、中継のしようがない、という理屈です。生体情報そのものが証券会社に送られるわけではなく、楽天証券も公式Q&Aで、顔や指紋のデータは端末内に保存され自社には提供されないと説明しています。

このあたりの「パスワードを人が入力しない仕組み」という考え方は、1Password for Claude登場、AIにパスワードを見せずにログインさせる仕組みでも触れた流れと同じ方向にあります。

誤解2：「大手ネット証券なら、もう勝手に必須化されている」

日本証券業協会は2025年10月15日にガイドラインを改正し、インターネット取引を提供する証券会社に対して、フィッシング耐性のある認証方式の提供と必須化を求めました。対応の期限は原則として2026年6月末です。これを受けて各社が動き、2026年6月から7月にかけてログイン時のパスキー認証を必須にする発表が相次ぎました。

ただし、「必須化する」と「あなたの口座で必須になった」は別の話です。

たとえば楽天証券は2026年5月29日のお知らせで、2026年6月以降に順次ログイン時のパスキー認証を必須化するとしたうえで、必須化の時期はお客様ごとに異なり、詳細スケジュールは個別に案内する、と明記しています。段階的な移行なので、案内が届いていない口座は、当面これまでどおりIDとパスワードでログインできてしまいます。

同じお知らせのQ&Aには、案内が来る前に自分でパスキーを設定することもできる、とも書かれています。待つ理由は特にありません。ログイン後のセキュリティ設定から自分で登録すれば、その時点で偽サイト経由のログインは成立しなくなります。

設定するときに戸惑いやすい点も、公式Q&Aから2つだけ拾っておきます。パスキーを作成すると以後はパスワードでのログインができなくなること（うまくログインできない場合は、パスキーの利用を一時停止すればパスワードに戻せます）。そして、機種変更やパソコンの買い替えをしたときは、新しい端末でパスキーを作り直す必要があること。

なお、これは楽天証券の例です。会社ごとに必須化の進め方も画面も違うので、自分が使っている証券会社の最新の案内で確認してください。

誤解3：「乗っ取られても、証券会社が全額返してくれる」

ここがいちばん誤解されやすいところです。銀行預金には、偽造カードや盗難カードによる被害を補償するための法律（いわゆる預金者保護法）があります。証券口座の不正取引には、これに当たる法律がありません。

2025年に被害が急増したとき、ネット証券の一部は補償方針を公表し、対面型の大手は不正に売買された株式を元の状態に戻す「原状回復」で対応するなど、会社によって扱いが分かれました。その後も、利用者側の過失をどこで線引きするかをめぐって議論が続いており、業界共通の基準はまだ整っていません。

つまり、返ってくるかどうか、いくら返ってくるかは、契約している証券会社が現時点で公表している方針しだいということになります。ここは記事で断定できる部分ではないので、自分の証券会社のサイトで「不正アクセス」「補償」といった案内ページを一度読んでおくのが確実です。読んだうえで納得できないなら、そのこと自体が口座を見直す材料になります。

そして実務的には、補償の条件よりも先に効くのが「早く気づくこと」です。金融庁の注意喚起でも、通知サービスの活用と定期的な口座確認が対策として挙げられています。

これから口座を開くなら、認証方式から先に見る

ここまではすでに口座を持っている人向けの話でした。これから口座を開く、あるいは別の会社へ移すことを考えている人は、手数料やポイント還元の前に、ログインの認証方式を1つの判断材料にしていいと思います。2025年に何が起きたかを踏まえると、ここは後から効いてくる差です。

楽天証券は前述のとおり2026年6月以降パスキー認証を順次必須化しており、5月31日からはスマートフォンを持っていない人でもパソコンでパスキーを作れます。総合口座の開設・維持に費用はかかりません。

ネット証券としてはSBI証券も選択肢になります（当サイトでは紹介リンクを持っていないため、公式サイトで直接ご確認ください）。どちらを選ぶ場合でも、口座を開いた直後にパスキーを登録してしまうのが、いちばん手間の少ない順番です。

今日やること

長い記事にしましたが、やることは3つだけです。

自分の証券口座にパスキーが登録されているか確認する。 未登録なら、必須化の案内を待たずにログイン後のセキュリティ設定から登録する。複数の証券会社に口座があるなら、使っていない口座こそ先に確認する
通知をすべてオンにする。 ログイン、出金、出金先口座の変更。異変に最初に気づけるのはこの通知です
メールやSMSのリンクから証券会社に入らない。 ブックマークか公式アプリからしか開かない、と決めてしまう。金融庁が挙げている対策のなかでも、これが最も費用ゼロで効きます

被害額が約200万円まで落ちた月に、わざわざこの話を書いたのは、数字が落ち着いたときがいちばん設定を後回しにしやすいからです。2025年4月に3,048億円が動いたのは、多くの人が「自分の口座は狙われない」と思っていた時期でもありました。設定にかかる時間は数分です。

参考情報

※本記事は情報提供を目的としたものであり、特定の金融商品の勧誘ではありません。投資判断はご自身の責任でお願いします。