証券口座・銀行口座の乗っ取り対策｜偽メールをタップした私が、認証を何重にも重ねている理由
「証券口座が乗っ取られて、勝手に株を売買された」というニュースを、ここ1〜2年で何度も見かけるようになりました。私も証券口座を使っているので、他人事ではありません。
結論から言うと、完全に防ぐ方法はありません。ただ、「1つ破られても、次の1つで止まる」状態にしておくことはできます。 この記事では、被害の数字、私の体験、公的機関の資料にもとづく対策の優先順位を整理します。
筆者（KENTA）は、準大手ゼネコンで施工管理をしている会社員です。
この記事の「私の設定」「私の体験」は、筆者本人の実際の状況です。対策の根拠は、金融庁・IPA（情報処理推進機構）・フィッシング対策協議会の資料です。
特定のサービス・アプリを勧めるものではなく、セキュリティを完全に保証するものでもありません。被害にあったときは、利用している証券会社・銀行・カード会社と、警察の窓口に相談してください。
結論：先に5つのことを押さえる
- パスワードだけに頼らない。 パスキー、または多要素認証を、必ず入れる
- パスワードを使い回さない。 1つのサービスから漏れても、他に広がらないようにする
- メールやSMSのリンクから、ログインしない。 公式アプリか、自分で登録したブックマークから入る
- 通知を受け取る設定にする。 ログイン・取引・出金の通知で、異変にすぐ気づく
- 「1つ破られても、次で止まる」を、仕組みで作る。 完全に防ぐより、被害が広がらないことを優先する
証券口座の乗っ取りは、どれくらい起きた？
金融庁が公表している、インターネット取引サービスへの不正アクセス・不正取引の発生状況（2026年10月9日付）です。
| 項目 | 2025年1月〜2026年9月の合計 | 最も多かった月（2025年4月） |
|---|---|---|
| 不正アクセス件数 | 19,252件 | 5,490件 |
| 不正取引件数（不正アクセスのうち、取引まで行われたもの） | 10,642件 | 3,033件 |
| 売却金額 | 約4,372億円 | 約1,625億円 |
| 買付金額 | 約3,837億円 | 約1,423億円 |
直近の2026年9月は、不正アクセスが37件、不正取引が2件で、ピーク時より大きく減っています。被害がなくなったわけではありません。 減った理由は、公表資料では確認できていません（筆者の推測では、証券会社側の対策の強化もあると思います）。
金融庁は、「証券会社のウェブサイトを装ったフィッシングサイト等で窃取した顧客情報（ログインIDやパスワード等）による不正アクセス・不正取引の被害が多発したことを踏まえ」、2025年10月に、証券会社向けの監督指針を改正しています（金融庁）。
銀行口座（ネットバンキング）も同じ
金融庁の集計では、インターネットバンキングによる不正払戻し等の被害発生件数は、令和4年度2,006件、5年度6,829件、6年度11,896件、7年度3,946件でした（令和8年3月末時点。過年度分は変更される可能性がある）。多くは、メールやSMSでフィッシングサイトに誘導して、IDやパスワードを盗む手口とされています。
私の設定と、実際にあった体験
私の設定（2026年10月時点）
- 証券口座は、SBI証券のみ。銀行口座は3つ、クレジットカードは2枚
- ログインの認証は、SMS、認証アプリ、メール、生体認証を、すべて使っている
- パスキーも使っている
- 証券口座の出金先は、登録済みの銀行口座に限っている
- 証券会社・銀行から、ログインや取引の通知が届く設定にしている
- パスワードは、サービスごとに変えるようにしている。管理は、パスワード管理アプリを使っている
偽メールをタップしてしまった話
ある日、Amazonから「配送遅延のお知らせ」のようなメールが届きました。URLには「amazon.com」と書いてあり、私はそのままタップしてしまいました。 あとから分かったのですが、URLの「a」が、見た目がそっくりの別の文字（キリル文字）でした。
タップするとYouTubeの動画のようなページに移動したので、すぐに閉じて、メールも削除しました。 IDやパスワードは入力しておらず、今のところ、被害はありません。
この体験で、「見た目では見抜けないことがある」ことが分かりました。
「タップしただけ」はどうなる？
IPAの資料には、次の趣旨が書かれています。
- フィッシングのメールやSMSは、開いただけでは被害は発生しません。 削除すれば問題ない
- 本文中のURLからフィッシングサイトにアクセスしても、そのサイトで情報の入力やアプリのインストール等をしていなければ、基本的に被害は発生しません
- 情報を入力してしまった場合は、ID・パスワードを速やかに変更する。同じパスワードを他のサービスでも使っているなら、そちらも変える。クレジットカード情報を入力した場合は、カード会社に相談する
私の場合は、情報を入力せず、すぐに閉じました。
「見た目がそっくり」への備え
フィッシング対策協議会のガイドラインには、次のことが書かれています。
- フィッシングサイトは、本物のサイトをコピーして作られることが多く、見た目だけで見分けるのは非常に困難
- 「https://」で始まる、鍵マークがある、というだけでは、安全の目安にならない（フィッシングサイトでも、よくあるため）
- よく使うサービスは、初回に正しいドメインを確認して、ブックマークに登録するか、事業者が提供する正規のアプリを使う。ブックマークを作るときは、似た文字列のドメイン（タイポスクワッティング）に注意する
メールのリンクを見分けるより、メールのリンクを使わないほうが確実です。 これが、私が一番大事にしている対策です。
対策の優先順位（筆者の整理）
| 順番 | 対策 | 根拠 |
|---|---|---|
| ① | パスキー、または多要素認証を設定する | IPA、金融庁 |
| ② | パスワードを使い回さない | IPA |
| ③ | メール・SMSのリンクを使わず、公式アプリかブックマークから入る | 金融庁、フィッシング対策協議会 |
| ④ | ログイン・取引・出金の通知を受け取る設定にする | 金融庁 |
| ⑤ | 出金先の口座を限る、不審な通知にすぐ対応する | 証券会社の設定 |
① パスキー・多要素認証
IPAは、パスワードだけの認証では、IDとパスワードを知られると不正にログインされるため、認証の要素を複数（記憶情報・所持情報・生体情報のうち2つ以上）組み合わせる「多要素認証」を設定するよう勧めています。パスキーが使えるサービスでは、パスキーの利用を推奨しています。
金融庁の証券会社向けの監督指針（2025年10月改正）では、ログイン・出金・出金先銀行口座の変更などの重要な操作で、フィッシングに耐性のある多要素認証（例：パスキーによる認証）の実装と必須化を求めています。ほかに、次の機能の提供も求めています。
- 身に覚えのない不正なログイン・取引・出金・出金先口座の変更を早期に知るための、電子メール等による通知
- 認証に連続して失敗した場合の、アカウントロック
- ログイン時の挙動による、不正アクセスの検知
つまり、証券会社の側でも、通知やロックが必要とされています。 利用者の側は、これらを使える状態にしておくのが基本です。
#### たとえ話：通帳と印鑑
多要素認証の考え方は、「通帳と印鑑を別の場所にしまう」ことに似ています。通帳だけを盗まれても、印鑑がなければ使えません。 パスワードが漏れても、スマホの生体認証（持っているもの・自分自身）が別にあれば、そこで止まります。
私は、「1つの壁だけに頼らず、別の種類の壁をもう1枚作る」ことが、不正アクセスを防ぐ現実的な方法だと考えています。
② パスワードの使い回し
IPAは、パスワードを「できるだけ長く」「複雑で」「使い回さない」ものにすることを推奨しています。ID・パスワードが漏れる原因として、IPAは次の3つを挙げています。
- 単純なパスワードを推測される
- 特定のサービスから漏えいしたパスワードを使われる（リスト型攻撃）
- フィッシングサイト等に騙されて、教えてしまう
個人情報の流出が続く中で、自分が気をつけていても、使っているサービスの側から漏れることがあります。 だから、使い回しをやめて、「1つが漏れても、他に広がらない」ようにします。
私は、サービスごとにパスワードを変えるようにしています。
③ 公式アプリとブックマーク
金融庁も、フィッシングへの対策として、次を挙げています。
- 心当たりのないSMS等は開かない（金融機関が、ID・パスワード等をSMS等で問い合わせることはない）
- 金融機関のサイトには、SMS等に記載されたURLからアクセスせず、事前に正しいURLをブックマーク登録しておき、ブックマークからアクセスする
- 大量のフィッシングメールが届くときは、迷惑メールフィルターの強度を上げる
- 金融機関が推奨する多要素認証等の認証方式を利用する
④ 通知
金融庁は、インターネットバンキングの利用状況の通知機能を有効にして、不審な取引（ログイン、パスワード変更、送金など）に注意すること、こまめに残高・入出金明細を確認することを勧めています。証券口座も同様です。
⑤ その他、私が実践していること（筆者の工夫）
- 出金先の銀行口座を、登録済みのものに限っている。 証券口座が乗っ取られても、知らない口座には出金できないようにする
- 連携する銀行は、証券会社が用意しているものに限る。 提携していない銀行とは、連携しない
- ポイ活はしない。 個人情報を渡す相手を増やしたくないため（私の考えで、全員に勧めるものではありません）
- メールは、Gmailに集約している。 パスワードの再設定は、メールで行われることが多く、メールアカウントを乗っ取られると、他のサービスも危ないので、（筆者の補足。メールを集約するなら、そのアカウントの守りが最優先になります）
クレジットカードが止まった話
AI関連のツールに、初めて課金したとき、外国のサイトからの決済ということで、カードが一時的に使えなくなりました。 不正利用はありませんでした。
カード会社がどんな基準で止めたのかは、私には分かりません。カード会社に問い合わせるときは、カード会社の公式アプリや、カードの裏に書かれた番号から連絡するのが安全です（筆者の補足）。
家族に伝える難しさ
親・配偶者にも、守り方を伝えたいと思っています。世間で起きた事件は共有していますが、セキュリティの強化を、同じ歩幅で進められているわけではありません。
世代が違うと、なかなか伝わりません。絵や文字を使って、メルマガのように連絡していますが、難しいと感じています。
筆者なりの工夫の案です（効果は検証していません）。
- 「全部」ではなく、1つだけ。 まず、「メールのリンクから入らない（アプリかブックマークから）」だけを伝える
- 一緒に、スマホで設定する日を作る。 文字より、同じ画面を見ながらのほうが、伝わりやすい
- 迷ったら、見せてもらう約束。 「怪しいメールが来たら、消す前に写真を送って」とする
職場でのセキュリティ
仕事でも、気をつけていることがあります。
- 会社が行う抜き打ちのフィッシングメールの訓練がある
- 会社指定のAIツールでも、書類を安易にAIに通さない
- お金や機密情報が入った書類は、必ずシュレッダーにかける
被害にあったときの対応（IPAの資料より）
- 自分でログインできる場合： 速やかにパスワードを変更し、登録情報（メールアドレス・電話番号）に、自分のものではないものがないか確認する
- ログインできない場合： 各サービスの「パスワードを忘れた」から再設定を試す。それでもできないときは、サービス提供者に連絡する
- カード情報を入力した場合： 速やかにカード会社に相談する
- 被害の補償などは、利用している証券会社・銀行に相談する
よくある質問
パスキーとは？
IPAによると、パスワードの代わりに、スマホなどの生体認証や画面ロックの解除で認証する方式です。パスワードを入力しないため、フィッシングで盗まれにくいとされています。使えるサービスでは、利用が推奨されています。
多要素認証は、全部使わないとだめですか？
私は、SMS、認証アプリ、メール、生体認証を、使えるものはすべて使っていますが、それが唯一の正解ではありません。まず、証券口座・銀行・メールアカウントに、1つ入れるところから始めてください。
偽サイトを見破るコツは？
見た目では、見破れないことがあります。URLの文字を確認する方法もありますが、「リンクから入らない」ことが、一番確実です。
補償は受けられますか？
証券会社・銀行によって、対応が異なります。被害にあったときは、利用している証券会社・銀行に、すぐ連絡してください。この記事では、補償の条件を扱いません。
パスワード管理アプリは、安全ですか？
使うかどうかは、自分で判断してください。この記事は、特定のアプリを勧めるものではありません。選ぶときは、自分のアカウントの守り（多要素認証）を、まず強くすることが前提です。
確認した一次情報
- 金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」（2026年10月9日付）
- 金融庁「『金融商品取引業者等向けの総合的な監督指針』等の一部改正」（令和7年10月15日）
- 金融庁「預貯金の不正送金被害等の発生状況（令和８年３月末）」
- 金融庁「フィッシングによるものとみられるインターネットバンキングによる預金の不正送金被害が急増しています。」
- IPA「インターネットサービスへの不正ログインによる被害が増加中」（2025年8月28日）、「不正ログイン対策特集ページ」
- フィッシング対策協議会「利用者向け フィッシング詐欺対策ガイドライン 2026年度版」
おわりに
「面倒だから」と認証を使わない人に、私は、「面倒な1手間が、被害を広げない壁になる」 と伝えたいです。私自身、偽メールをタップしてしまった経験があり、完璧ではありません。
だからこそ、完全に防ぐより、「1つ破られても、次で止まる」仕組みを重ねることを、続けようと思っています。
この記事は、公的機関の資料にもとづく一般的な情報で、特定のサービスの安全性や、補償を保証するものではありません。被害にあったときは、利用している証券会社・銀行・カード会社に相談してください。