証券口座の乗っ取りと不正取引(2025年)
結論から
- 2025年3月から証券口座への不正アクセスが急増し、4〜5月がピークでした。2025年の不正取引は9,860件、売買計約7,415億円です(金融庁、2026-09-09版)。
- 偽サイト(フィッシング)や端末から情報を盗むマルウェアで、ログインIDとパスワードが盗まれたことが入口とされています。
- 大手・ネット証券10社が個別事情に応じて補償する方針を示し、金融庁は2025-10-15に監督指針を改正しました。ログイン時の多要素認証の必須化が進んでいます。
概要
- 公表日
- 2025年3月
- 発生
- 2025年NaN月NaN日
- 最新の公表
- 2026年9月9日
- 組織・業種
- 証券各社(SBI証券、楽天証券ほか)(証券 / 金融・保険・証券)
- 漏えいした情報・件数
- 2025年(1〜12月)に不正アクセス17,715件、不正取引9,860件(金融庁集計。証券会社をまたいだ合計)
- 業務への影響
- 被害口座で保有株が勝手に売られ、その代金で国内外の小型株が買われる取引が多発。最も多かった2025年4月は不正取引3,033件
- 業績への影響
- 2025年の不正取引は売却約3,948億円・買付約3,468億円、売買計約7,415億円(金融庁、2026-09-09版から集計)
- 行政の対応
- 金融庁と日本証券業協会が2025-07-15に認証強化の指針・ガイドライン改正案を公表。金融庁は2025-10-15に監督指針の改正を公表し、同日から適用
この事案の続報をメールで受け取る
続報(調査結果・侵入経路・再発防止策の公表)が出たらお知らせします。登録はメールアドレスだけです。
経緯
-
証券会社のインターネット取引サービスへの不正アクセスと不正取引が急増。金融庁が注意喚起を出す。 [1]
-
被害が最も多い月に。不正アクセス5,490件、不正取引3,033件(金融庁の集計)。 [2]
-
日本証券業協会が、会員58社でログイン時の多要素認証を必須にすると表明したと報じられる。 [5]
-
日本証券業協会が、大手・ネット証券10社が個別事情に応じて被害を補償する方針を公表。 [3]
-
金融庁と日本証券業協会が、認証の強化と不正防止策の指針・ガイドラインの改正案を公表。 [1]
-
金融庁が監督指針の改正を公表し、同日から適用。 [6]
-
金融庁が被害状況の最新版を公表。2025年の合計は不正取引9,860件、売買計約7,415億円。 [2]
侵入経路と原因
金融庁の注意喚起によると、入口は実在する証券会社を装った偽サイト(フィッシングサイト)と、ウイルスなどの不正なプログラムです。利用者がログインIDとパスワードを入力したり、端末から情報を盗まれたりして、第三者がその情報で口座にログインしました。
端末から認証情報を盗むマルウェアは「インフォスティーラー」と呼ばれます。ブラウザに保存したパスワードなどをまとめて抜き取るものです。どの経路でどれだけ盗まれたかの内訳は、2026-10-06時点で公表されていません。
当時、多くの証券会社ではログイン時の多要素認証(パスワードに加えて別の要素で本人を確かめる仕組み)が任意でした。ワンタイムパスワードを使っていても、偽サイトでその場で入力させられれば防げません。このため、のちの対策は「フィッシングに強い」認証(パスキーなど)へ向かいました。
証券会社のシステムそのものが侵入された事案ではありません。個々の利用者の認証情報が盗まれ、正規のログイン手順で入られた点が、この事案の特徴です。
影響
金融庁の集計(2026-09-09版)では、2025年1〜12月に不正アクセスが17,715件、不正取引が9,860件ありました。売却は約3,948億円、買付は約3,468億円で、売買の合計は約7,415億円です。
最も多かったのは2025年4月で、不正アクセス5,490件、不正取引3,033件でした。5月には1カ月に16社で不正取引が起きています。被害はその後減りましたが止まってはおらず、2025年1月から2026年8月までの累計は不正取引10,639件です。なお、2025年7月時点の公表値(1〜6月で不正取引7,139件、売買計5,710億円)は、その後の版で改訂されています。ここでは最新版の値を使っています。
典型的なのは、被害口座の保有株を勝手に売り、その代金で国内外の小型株を買う取引です。利用者の資産が減るだけでなく、特定の銘柄の値動きにも影響しました。補償の額は各社が個別に判断するため、業界全体の補償総額は公表されていません。
会社の対応と再発防止策
日本証券業協会は2025-05-02、大手・ネット証券10社(SMBC日興、SBI、大和、野村、松井、マネックス、みずほ、三菱UFJ eスマート、三菱UFJモルガン・スタンレー、楽天)が、約款にかかわらず一定の補償をする方針を公表しました。顧客のID・パスワードの管理状況などを踏まえ、個別の事情に応じて判断するとしています。
認証の強化も進みました。日本証券業協会は会員58社でログイン時の多要素認証を必須にすると表明したと報じられています。取引のたびではなく、ログインの時点で確認する方式です。
金融庁と日本証券業協会は2025-07-15に指針とガイドラインの改正案を公表し、金融庁は2025-10-15に監督指針の改正を公表して同日から適用しました。インターネット取引での認証方法の強化と不正防止策の充実が柱です。金融庁は利用者にも、メールのリンクから開かずブックマークから正規サイトに入ること、多要素認証を有効にすることなどを呼びかけています。
この事案から学べること
- 社内のシステムが無事でも、利用者の認証情報が盗まれれば正規のログインで入られます。
- ワンタイムパスワードは、偽サイトでその場で入力させる手口には効きません。パスキーなどフィッシングに強い方式が必要です。
- 多要素認証を「任意」のままにすると、使っていない利用者から被害が出ます。必須化は利用者の手間との兼ね合いで決めることになります。
- 被害の数字は版ごとに改訂されます。引用するときは版の日付を添えると誤解が減ります。
自社で確認すること
- 1 自社が提供するWebサービスで、ログイン時の多要素認証は必須になっていますか。任意のままの利用者はどれくらいいますか。
- 2 社員が使う業務システムの認証は、偽サイトで入力させる手口(フィッシング)に耐えられる方式ですか。
- 3 不審なログイン(普段と違う国・端末・時間帯)を検知して、本人に通知する仕組みはありますか。
同じ手口の事案
関連する事案
よくあるご質問
- 証券会社のシステムがハッキングされたのですか。
- いいえ。金融庁の注意喚起によると、偽サイトやマルウェアで利用者のIDとパスワードが盗まれ、第三者がそれを使ってログインしたものです。証券会社のシステムへの侵入は公表されていません。
- 被害は補償されますか。
- 2025-05-02に日本証券業協会が、大手・ネット証券10社が個別の事情に応じて補償する方針を公表しました。一律ではなく、各社が判断します。
出典
- インターネット取引サービスへの不正アクセス・不正取引にご注意ください ↗ (金融庁)
- インターネット取引サービスへの不正アクセス・不正取引の発生状況(2026-09-09版) ↗ (金融庁、2026-09-09)
- 「今般のインターネット取引サービスにおけるフィッシング詐欺等による証券口座への不正アクセス等による対応について(10社申し合わせ)」の公表について ↗ (日本証券業協会、2025-05-02)
- 相次ぐ“不正取引”に、証券10社が被害補償へ 日証協が方針 ↗ (ITmedia NEWS、2025-05-02)
- 証券58社が「多要素認証」必須に 全体の6割、乗っ取り対策で ↗ (日本経済新聞)
- 「金融商品取引業者等向けの総合的な監督指針」等の一部改正(案)に対するパブリックコメントの結果等の公表について ↗ (金融庁、2025-10-15)