【証券口座の乗っ取り＆セキュリティ対策を比較！】大手ネット証券5社が実施する｢ログイン時の多要素認証(二段階認証)｣などのセキュリティ対策を一覧で紹介

　2025年に入って「フィッシング詐欺」などによる証券口座の乗っ取り被害が目立ちはじめ、3～4月に不正アクセス件数と被害額が急増した。金融庁のデータによれば、2025年1～6月の不正アクセス件数は1万2758件、不正取引金額は5700億円を超えたという。

　各証券会社がトップページなどでセキュリティ対策を強く呼びかけた効果もあり、7月は不正アクセス件数、不正取引金額ともに減少傾向にあるが、まだまだ油断できる状況とはいえない。

　そこで、2025年に入って発生している不正アクセスの内容や大手ネット証券各社のセキュリティ対策、さらには個人投資家が被害に合わないために気をつけるべきポイントを解説する。

証券口座の乗っ取り犯は、不正アクセスした口座で中国株などを
買って株価を吊り上げ、自分たちの保有株を売って利益を得る！

　2025年5月1日、著名投資家のテスタさんが自身の証券口座が乗っ取られたことをX（旧Twitter）で公表し、ニュースになったことは記憶に新しい。テスタさんは、証券口座の二段階認証やウイルスソフトによる対策も行っていたのに突破されたと書き込んでおり、そのニュースを知って衝撃を受けた投資家は多いだろう。

　最近の証券口座乗っ取りの犯罪グループが行っている手口は次のようなものだ。

【証券口座の乗っ取りで利益を出す手口】
（1）他人の証券口座のID・パスワードを盗んで不正にログイン
（2）保有株を勝手に売却
（3）売却資金で犯人が保有している中国株などを買付
（4）株価が上昇したところで、自分たちの保有株を売却して利益を得る

　被害者の資産を自分たちの銀行口座に出金するなどして直接的に盗むことに比べると難易度が低く、追跡が困難な手法といえる。被害者にとっては自分の資産が盗まれてしまうわけではないが、勝手に買われた銘柄の値下がりや、含み益のあった保有銘柄の売却による税金の発生、余計な売買手数料の支払い、といった被害を受けることになる。

　こうした不正アクセスの被害を防ぐため、SBI証券や楽天証券、マネックス証券など、3〜4月頃から株価吊り上げの対象となっていた中国株や米国株の全銘柄または一部銘柄について買付停止などの制限を設ける証券会社も出てきている。

　証券口座の乗っ取りを防ぐには、まず入口である不正ログインを防止することがもっとも重要となる。

　不正ログインの手法としては、公式メールを装った偽メールなどに貼られたリンクから偽物のサイトに誘導し、ID・パスワードを入力させてログイン情報を盗み取る「フィシング詐欺」が多く用いられる。

　また、それ以外に「マルウェア」にも注意が必要だ。マルウェアはPCやスマホに何らかの害を与える目的でつくられたプログラムの総称で、コンピュータウイルスもその一種とされる。一連の不正アクセス事件では、情報を摂取するタイプのマルウェア「インフォスティーラー」による事例も報告されている。

　PCやスマホがインフォスティーラーに感染すると、証券口座のログイン情報だけでなく、クレジットカードやキャッシュレス決済の暗証番号やパスワードなど、ブラウザソフトなどに保存されているすべての情報が奪われてしまい、より大きな被害につながりやすい。

証券会社は口座乗っ取り対策として、ワンタイムパスワードなどを
使った「多要素認証」によるログインを必須化！

　こうした不正取引が増加している状況を踏まえ、証券会社各社はすでに新たな対抗手段を取っている。その1つが、ログイン時の「多要素認証（二要素認証）」の必須化だ。

　日本証券業協会によると、7月7日時点で、ネット取引を提供する会員証券会社の8割超にあたる79社が多要素認証の必須化を決定している。さらに、金融庁は7月15日、証券会社などに対する監督指針を公表し、ログイン時に多要素認証の必須化を盛り込んだことを明らかにした。

　多要素認証について簡単に説明すると、認証方法は大きく「知識情報による認証」「所持情報による認証」「生体情報による認証」の3種類に分かれている。多要素認証は、このうち2つ以上を組み合わせることで、より不正ログインの難易度を上げるセキュリティ手法だ。

■認証の3要素
要素	概要
知識情報	本人だけが知っている情報 ＜例＞ID、パスワード、暗証番号、PINコード、秘密の質問
所持情報	本人だけが所有しているモノ ＜例＞スマホ・携帯電話、ハードウェアトークン、ICカード
生体情報	本人だけの身体的な特徴 ＜例＞指紋、声紋、虹彩、顔、静脈

　例えば、ログインIDとパスワードを入力後、スマホのSMSに送られてきた認証コード（ワンタイムパスワード）の入力が必要なログイン方法は、「知識情報（ID・パスワード）＋所持情報（スマホ）」の多要素認証となる。一方、パスワード＋秘密の質問の入力による認証はどちらも「知識情報」なので多要素認証にはならない。

　証券会社は、基本的に「パスワード認証＋追加認証」という2つの要素を使った「二要素認証」を採用している。何種類かの追加認証が用意されている証券会社の場合、ユーザーはそのなかの1つを選んでログイン時に利用することになる。

大手ネット証券5社が採用する「多要素認証」と
その他のセキュリティ対策を一覧表で紹介！

　前述したように、多く証券会社では多要素認証が必須となっているが、実際に利用できる追加認証の種類はそれぞれ異なっている。また、多要素認証以外のセキュリティ対策を提供している証券会社も多い。そこで、SBI証券、楽天証券、松井証券、三菱UFJ eスマート証券、マネックス証券の大手ネット証券5社が採用しているログイン時のセキュリティ対策を下の表にまとめた。

　多くのネット証券で採用されているのが、従来から利用されることの多い「メール認証」と「SMS認証」。ID・パスワードでログインを試みると、メールやSMSで短時間のみ有効な認証コード（ワンタイムパスワード）が届き、それを入力して本人であることを判別する方式だ。

　また、事前に登録した電話番号から証券会社が指定した番号に電話をかけることで本人によるログインであることを証明する「電話認証」を採用している証券会社もある。ただし「電話認証」は、ログインするたびに電話をかけなければならない手間からか、PCやスマホが使えないときや、不正ログインの疑いがあるときのさらなる追加認証など、補助的な認証方法として採用されることが多い。

　しかし「メール認証」と「SMS認証」「電話認証」は、メール自体の不正アクセスや、他人の電話番号が入ったSIMを不正に手に入れる「SIMスワップ」といった手段などによって認証が突破されてしまう事例も発生している。そこで最近になって各社が採用しているのが認証アプリを使った「スマホ認証」だ。

　認証アプリの使い方は、まずスマホにアプリをダウンロードし、自分の証券口座と紐づける。そしてログイン時は、ID・パスワードを入力した後、認証アプリに表示される認証コードをログイン画面に入力することで追加認証を行う。認証アプリを使った「スマホ認証」は、一般的に「メール認証」や「SMS認証」より不正ログインが難しいとされる。

　認証アプリのなかでも便利なのが三菱UFJ eスマート証券が提供しているアプリ「三菱UFJ eスマート証券 認証アプリ」で、画面に表示される「許可する」をタップするだけで認証が終了する。これは「プッシュ認証」と呼ばれる方式で、ログイン画面で認証コードを打ち込む必要がないため、より手間をかけずにログインできる。

　なお、「スマホ認証」を設定している人であっても「メール認証」や「SMS認証」など他の認証方式を利用してログイン可能なので、万が一、スマホが故障したり紛失したときでもログインできなくなることはないので安心しよう。

メール認証やSMS認証では防ぐことが難しい
「リアルタイムフィッシング」の被害が増加！

　ここまで「メール認証」「SMS認証」「スマホ認証」「電話認証」の4つの追加認証を紹介してきたが、これらを使った多要素認証だからといって完全に不正ログインを防ぐことができるわけではない。実際、近年増加してきた「リアルタイムフィッシング」により多要素認証が突破され、証券口座が乗っ取られてしまう事件も発生している。

　リアルタイムフィッシングとは、以下のように「偽サイトでのID・パスワードなどの取得」と「正規サイトへの不正ログイン」を同時に行う手口だ。

　リアルタイムフィッシングでは、ユーザーが偽サイトへID・パスワードを入力するのと同時に、犯罪グループも正規サイトにID・パスワードを入力して不正ログインを試みることで、追加認証も突破してしまう。実際の手順は以下のとおりだ。

【リアルタイムフィッシングの手口】
（1）公式を装ったメールやSMSのメッセージ内のリンクで、ユーザーを偽のログインページに誘導
（2）ユーザーが偽サイトにID・パスワードを入力すると、それを使ってリアルタイムで正規サイトにログインを試みる
（3）正規サイトがユーザーのメールやSMSに認証コードを送信
（4）偽サイト上で、ユーザーに認証コードの入力を要求
（5）偽サイトに入力された認証コードを使い、正規サイトの追加認証を突破してログイン

　上記は「メール認証」や「SMS認証」の場合だが、認証アプリを使った「スマホ認証」の場合でも、同様に偽サイト上で認証コードの入力を要求することで突破可能だ。「電話認証」の場合は事前に電話をかけさせるだけなので、さらに簡単に突破できる。

　そこで多くのネット証券は、よりセキュリティレベルを向上させるため、新しい認証方式の導入を進めている。そのひとつが進化系の「メール認証」だ

楽天証券とSBI証券は、進化系の「メール認証」で
「リアルタイムフィッシング」への対策を強化！

　楽天証券では進化系の「メール認証」として、従来のような数字ではなく絵文字を使った「メール認証」を採用している。メールで届いた2つの絵文字を、ログイン画面上で順番どおりに選択することでログインできる。

　ログイン画面上には、無数にある絵文字のなかから選ばれた10種類が並ぶが、詐欺グループは正規サイトに表示される画像を事前に知ることができないので、真似して偽サイトをつくることが難しい。偽サイトが適当な絵文字を並べても、そのなかに認証メールで送られてきた2つの絵文字が含まれていないと、ユーザーは偽サイトだと気がつくことができる。

　また、入力がキーボード操作ではなくマウスを動かしてのクリックや画面上のタップになるので、ユーザーがどの絵文字を選択したのかを犯罪グループが把握し、リアルタイムで正規サイトに入力することも技術的に非常に困難だ。

　一方、SBI証券は後述する「デバイス認証」の端末登録の際に「メール認証」を利用しているが、そこにリアルタイムフィッシングを防止するための工夫が見られる。

　SBI証券の「メール認証」は、ログイン画面でID・パスワードを入力すると認証コード入力画面（下の画面【2】）のURLをメールで送信し、ログイン画面は認証コードを表示（画面【1】）。ユーザーはそのURLから認証コード入力画面にアクセスし、ログイン画面に表示された認証コードを入力することで本人認証が完了する。

　この方式だと認証コード入力画面にはメール内のURLからしかアクセスできず、犯罪グループが偽の認証コード入力画面を作成することが困難なため、リアルタイムフィッシング対策として有効だとSBI証券は主張している。

　SBI証券の「メール認証」は、2つの画面を行き来するなど操作に手間がかかるのがデメリットだが、いったん「デバイス認証」の端末登録が済めば同じ端末からの2回目以降のログインは自動的に認証されるため、毎回「メール認証」をする必要はない。

「デバイス認証」や「リスクベース認証」は、
端末・利用環境から不正ログインを判別！

　不正アクセス対策は重要だが、一方で安全性と利便性は裏腹の関係にある。PCでログインするのに毎回スマホを取り出し、アプリを起動して……と手順が増えることに面倒に感じる人もいるはず。

　そうしたユーザーにニーズに応え、安全性と利便性を両立できる追加認証としてSBI証券が採用しているのが、アクセスしている端末や利用環境からユーザー本人のログインであることを判別する「デバイス認証」だ。

　SBI証券では、登録したPCやスマホなどの端末にのみログインを許可しており、その端末情報をもって追加認証としている。未登録の端末でログインすると最初の1回は「パスワード認証」に加えて「メール認証」が求められるが、2回目以降のログインでは自動的に認証されるので、ユーザーは「デバイス認証」を意識することなくIDとパスワードのみでログインできる。

　なお「デバイス認証」は一定の時間が経つとリセットされ、一度登録した端末であっても「メール認証」による再登録が求められる。

　この「デバイス認証」は、リアルタイムフィッシング対策としても安全性が高い。仮に犯罪グループがログインを試みれば「デバイス認証」により未登録端末と判断されて「メール認証」が求められる。SBI証券は、前述したようにリアルタイムフィッシング耐性の高い進化系の「メール認証」を採用しているので、ユーザーがきちんと確認していれば不正アクセスを防げる可能性は高い。

　なお、ユーザーの端末や利用環境などの情報をもとに不正アクセスを防止しているのはSBI証券だけではないが、他のネット証券ではログイン時の多要素認証の1つとしてではなく、よりセキュリティを強固にするための「不正アクセス検知システム」として採用している。

　例えば、楽天証券は、普段の利用状況や利用環境などのデータをもとにユーザー本人からのアクセスか自動判定する「リスクベース認証」を採用。第三者からのアクセスの可能性があると判定された場合、別途、追加の認証が求められる。楽天証券の「リスクベース認証」は設定不要で全ユーザーが対象。ユーザーにとっては、知らないうちに異変をチェックしてくれる便利な機能である。

　マネックス証券も普段と異なる端末や環境からログインを試みると、事前に選択しておいた質問（秘密の質問）への回答が求められる「MYログイン」というサービスを提供している。ただし「MYログイン」は、ユーザーが自分で申し込まないと適用されないオプションとなっている。普段のログインの手間が増えるわけではないので、セキュリティレベルを上げるためにもマネックス証券のユーザーは設定しておくといいだろう。

SBI証券は最新の認証方式「FIDO」を採用！
他のネット証券も順次「FIDO」の導入を進める

　こうしたさまざまな認証方法が登場するなか、不正アクセスに対する堅牢性と操作の簡便性を兼ね備えた最新の認証技術として期待されているのが「FIDO」だ。

　FIDOはFast Identity Onlineの略で、グーグルやアップル、マイクロソフトなども参加する業界団体が仕様を公開している認証技術、またはその規格のこと。強固なセキュリティと高い利便性を兼ね備えているのが特徴となる。

　例えば、FIDO規格に準拠した認証アプリは「ログイン端末」と「認証アプリの入ったスマホ」がより厳密に紐づけされているため、リアルタイムフィッシングに対する防御力が非常に高い。また、技術的にマルウェアなどによる認証情報の漏洩に対しても高い堅牢性を持っている。FIDOは、これまで紹介してきた「メール認証」や「SMS認証」、従来型の「スマホ認証（認証アプリ）」などのどれよりも不正ログインに対する防御力が高い認証技術といえる。

　現在、FIDO準拠の認証方法を採用しているのがSBI証券で、スマホアプリ「SBI証券 株アプリ」などへのログイン時に使う認証アプリ「SBI証券 スマートアプリ」がFIDO準拠だ。なお、この認証アプリが利用できるのは原則的にスマホアプリと商品先物専用トレーディングツールだけで、その他のWebサイトやPC用ツールへのログインには対応していない。

　なお、SBI証券と楽天証券は2025年秋頃から、不正アクセスへの耐性が飛躍的に向上した新技術「FIDO2」に準拠した認証方式を採用し、対応チャンネルもWebサイトとPC用取引ツール、スマホアプリのすべてに拡大する予定だ。

　また、マネックス証券も、対応チャンネルは明らかにされていないが、FIDO準拠と思われるパスワードの要らない新しい認証方式「パスキー認証」を2025年10月から導入すること公表。さらに松井証券も、FIDO準拠の認証方法の導入を検討中であることを明らかにしている。

　今後はFIDOやFIDO2の規格に沿ったより強固なログイン認証方法が主流となっていくことは間違いないだろう。

第三者による不正ログインにすぐに気がつける
「ログイン通知サービス」を設定しよう！

　ここまで大手ネット証券各社の最新のセキュリティを紹介してきたが、残念ながら不正ログインを完全に防ぐことは難しい。そのため、万が一、第三者にログインを許してしまった場合にすぐ気がつけるようにすることと、その後の対処法を知っておくことが大切となる。

　多くのネット証券では、ログインがあった場合にメールを送る「ログイン通知サービス」を提供。もし心当たりのないログイン通知メールが届けば、知らない第三者がログインしたことに気づくことができる。「ログイン通知サービス」は設定が必須の証券会社と任意の証券会社があるが、昨今の不正アクセス被害の増加を考えると、設定しておくのがおすすめだ。

　ログイン通知サービスなどにより不正アクセスに気づいたときの対策として、証券会社では「パスワードや暗証番号の変更をすみやかに行う」と「カスタマーセンターへ連絡する」の2つを呼びかけている。カスタマーセンターに連絡すると、必要に応じてログインや証券口座を一時的に利用停止することができる。

　なお、SBI証券と楽天証券など一部の証券会社ではオンライン上で口座を一時的に利用停止（ロック）できるので、ログインができる状態であれば、すぐに自分の手で口座を凍結して被害の拡大を防ぐことが可能だ。

第三者の不正取引による被害にあった際、
証券会社が補償してくれるケースも！

　もし、不正ログインされ、勝手に取引をされてしまうなどの被害にあってしまった場合でも救済措置が用意されている。

　フィッシング詐欺などの広がりに危機感を覚えた日本証券業協会は、5月になって大手証券会社やネット証券の10社と協議を行い、証券口座への口座乗っ取りによる被害に関して各社の約款に関わらず一定の被害補償を行う方針を打ち出した。

　各証券会社でも補償に関する方針を順次発表している。例えば、SBI証券と楽天証券、松井証券の3社は、7月25日に原則として被害額の50％を金銭で補償する方針を発表。また、SMBC日興証券、大和証券、野村證券は、不正アクセスで証券口座を乗っ取られた顧客に対し、原状回復（不正に売却されたのと同じ銘柄、同じ株数を顧客の口座に戻す）を行う方針を明らかにした。さらに8月5日、GMOクリック証券はネット証券としては初めて、2025年5月までに確認された不正取引については「全額補償」をすると発表している。

　ただし、補償が行われるには「パスワードを他人に伝えるなどの過失が顧客側にないと認められる場合」などの条件が設けられている。つまり、もしもの場合に補償を受けるためにも、証券会社が提供しているセキュリティ対策機能はきちんと設定しておくことが重要となる。

被害にあわないために普段から気をつけるべき
「セキュリティ対策の基本」を紹介！

　最後に個人投資家が普段から気をつけるべき基本的なセキュリティ対策を紹介しておこう。

■普段から気をつけるべき「セキュリティ対策の基本」

●フィッシング詐欺を防ぐ ▢ メールやSMSのメッセージ内のリンクを安易にクリックしない ▢ 証券会社のサイトには、ブックマークなど信頼できるところからアクセスする ▢ 取引・口座情報の確認などは、できるだけ取引ツール・アプリを利用する ●情報漏洩やマルウェアの感染を防ぐ ▢ セキュリティ対策ソフトを利用する ▢ OSやソフトを最新状態に保つ ▢ メールやSMSの添付ファイルを安易に開かない ▢ 怪しいサイトにはアクセスしない ▢ 信頼できるサイト以外からファイルをダウンロードしない ▢ フリーWi-Fiの利用はできるだけ避け、スマホのテザリングなどを使う ▢ 「このアプリにすべての操作を許可しますか？」などの質問に対し、管理者権限を安易に許可しない ●不正ログイン／取引を防ぐ ▢ ログインパスワードや取引パスワードを複雑にする ▢ ログインパスワードや取引パスワードの使い回しはしない ▢ ログイン時の多要素認証は必ず利用する ▢ 不審なアクセスを自動検知する「デバイス認証」などはできるだけ利用する ●不正ログインを検知する ▢ ログイン／取引通知メールを利用する ▢ 身に覚えのないログイン／取引通知メールがあったら、ログイン履歴や取引履歴を確認する ▢ 不正ログインや不正取引に気がついたら、すぐに証券会社に連絡する

　上に挙げたリストのなかでもっとも重視して欲しいのは、冒頭の「メールやSMSのメッセージ内のリンクを安易にクリックしない」と「証券会社のサイトには、ブックマークなど信頼できるところからアクセスする」の2点だ。最近では証券会社から送られてくる正規の案内メール内にログインを促すリンクを見かけなくなった。メッセージ内にリンクがあること自体すでに怪しいと考えたほうがいい。

　なお、各証券会社は、公式サイトで実際に発生した詐欺の事例を交えながら不正アクセスの手口を紹介し、注意が呼びかけている。どれも非常に参考になるので、一度目を通しておくといいだろう。

　従来、資産運用では「運用方針」や「売買に関する情報」などが大切な要素として認識されてきた。しかし、今般の口座乗っ取り被害の増加により、個人投資家が考えるべき重要な要素のひとつとして新たに「セキュリティ対策」が追加された。

　証券口座の乗っ取り被害にあう可能性をできるだけ減らすためにも、まずは自分が利用している証券会社が推奨するセキュリティ対策を理解し、それらをきちんと設定したうえで、投資を行うようにすることが重要である。

　なお、各証券会社のセキュリティ対策は日々アップデートされている。本記事で紹介した情報もじきに更新される可能性があるので、気になる人は公式サイトで最新情報を確認してほしい。