piyolog

2025年に入ってから日本の証券口座を狙ったインターネット取引サービスに対する不正アクセスや不正取引が急増しているとして、金融庁や日本証券協会は利用者に注意を呼び掛けています。ここでは関連する情報をまとめます。

2024年末から被害急増

国内の複数の証券会社で不正取引の被害が相次いでいる。これは、何者かが証券会社のインターネット取引サービスに不正アクセスし、顧客の資産を勝手に売却したり株式を購入したりするもの。
2025年3月に入ると、SNS上で楽天証券の被害に関する投稿 *1が話題となり、同社も不審なメールへの注意を呼びかけたうえで、3月23日からリスクベース認証を導入した。*2 楽天証券は、この不正取引について2024年末からフィッシング詐欺の増加や被害が確認されていたことを明らかにしている。*3 SBI証券でも同年3月、中国株を利用した不正取引が確認されており、件数は楽天証券より少ないものの複数発生していた。*4個社名は開示されていないが、金融庁の資料によれば、2025年1月と2月には2社で同様の不正が確認されている。
楽天証券の動きを受けて、大手メディアも不正取引被害を大きく報じた。その後も被害を受けた証券会社は増え続け、2025年8月末までに公表や報道で取り上げられた会社数は18社に達した。*5
金融庁は2025年1月以降月毎の被害状況を公表している。それによると、不正アクセスされた口座は同年9月までに累計約1万5千件、不正取引件数も9千件近くに上っている。不正アクセスのピークは4月で、その後は減少傾向にあるが、不正取引の発生は依然として多く不正取引1件当たりの金額は増加・横ばいの状況で事態は収束していない。また、4月までに確認された約4千件の被害のうち、およそ3千件は楽天証券、SBI証券、野村證券に集中していたとされる。
警察への被害相談の状況もこの公表と同じ動きを見せており、当初1桁程度の相談件数は春以降（3月約200件、4月約900件、5月約800件）急増し、全国の都道府県警で確認されている。最も相談が多いのは警視庁、次いで神奈川、愛知、大阪となっている。*6

インターネット取引サービスへの不正アクセス・不正取引の発生状況（金融庁公表資料より作成）

株価操縦を狙った手口か

当初は中国株（上海株や香港株）を勝手に買い付ける不正取引が確認されていたが、その後は日本株でも同様の取引が明らかになった。特に、価格や流動性の低い銘柄を大量に購入することで株価を意図的に釣り上げ、安値で保有していた株式を高値で売却して利益を得る、いわゆる株価操縦を悪用した疑いが報じられている。
不正取引を受けて、証券各社は2025年3月末から中国株の買い付けに制限を導入した。楽天証券は不正取引関与の可能性がある中国株1000銘柄以上を対象として、一時的に買い付けを停止している。*7 日本株を対象とした不正取引も確認されており、野村證券は流動性の低い数十銘柄を対象にインターネット経由での注文受付を一時停止した。その後、監視を強化したうえで1週間後に再開している。*8 さらに予防的措置として、株価操作が比較的容易とされる流動性の低い米国株20銘柄についても、楽天証券が買い付け制限を行っている。*9

フィッシング詐欺などから不正ログインにつながった可能性

証券口座への不正ログインについて、証券各社はフィッシング詐欺やマルウェア感染により盗まれた認証・認可情報が悪用されているとして注意を呼びかけている。フィッシング対策協議会によれば、事業者や市民からの報告は2025年1月以降増加しており、4月には3万4834件に達した。*10 *11 不正取引の被害者PCを調査した事例では、6台中5台でフィッシング詐欺、残る1台でインフォスティーラー「Lumma Stealer」への感染が確認されている。*12 また、KELAとマクニカの共同調査では、ダークウェブ上で証券口座関連の認証情報が延べ10万5千件確認されたとされる。*13
一方で、フィッシングサイトが確認された証券会社の数は2025年6月時点でも大きく減少しているとは言えない。Trend Microの調査では、フィッシングにリアルタイム型の手口が用いられているとの指摘がある。*14 *15

	24年11月	25年3月	25年4月	25年5月	25年6月
フィッシング対象の証券会社数	2社	9社	11社	10社	10社
利用されたとみられるフィッシングキット数	ー	－	10件	17件	9件

不正アクセス被害にあった証券口座の一部では中国が発信元とみられる形跡も確認されたとして、警視庁は警察庁サイバー特別捜査部と連携し、不正アクセス禁止法違反の容疑で捜査を開始していることが報じられている。*16 フィッシングサイト中には中国語フォントが使用されているケースも確認された。

被害が確認された証券各社の補償等の対応

証券各社は、免責事項を定めた約款（総合取引約款など）において、本人認証情報が流出・盗難した場合、会社側に故意や重大な過失がない限りは免責対象となることを明記している。2025年3月に不正取引の被害を受けたケースでは、証券会社から「補償対象外」との対応を受けた事例が報じられている。*17

日証協と申し合わせを行った証券会社	約款における不正アクセス等発生時の免責事項にかかる記載（個人向け）
SMBC日興証券	①本サービスの利用に際して、その事由の如何を問わず、お客さま自身が操作したか否かにかかわらず（第三者により操作された場合を含む）、第17条（2）に定める認証方法による確認ができたことにより行われた取引について生じた損害。
SBI証券	お客様のユーザーネーム、パスワード等、取引情報等が漏洩し、盗用、不正使用（インターネット通信回線、コンピュータ等のシステム機器を介したもの等を含む）されたことにより生じた損害で、当社の故意又は重大な過失に起因するものでない場合
大和証券	第18条 1.(1) オンライントレードをご利用の場合、お客様の暗証番号等をお客様ご自身が入力したか否かにかかわらず、オンライントレードによる暗証番号等の一致を確認した取引。
野村証券	第4条 (1) お客様が本サービスを利用する場合は、ログインパスワードおよび取引パスワードの入力が確認されると、本人確認が行われたものとみなされます。ワンタイムパスワードをご利用のお客様は、当社の定める取引または手続きを行う場合、ログインパスワードまたは取引パスワードに加えて、ワンタイムパスワードの入力が確認されると、本人確認が行われたものとみなされます。第12条 (1) ⑦ 本章4条による本人確認が完了した後に、当社が求められた事項に応じたこと
松井証券	第23条 (1) お客様ご自身が入力したか否かにかかわらず、ネットストックによる会員 ID、会員パスワードおよび取引暗証番号の一致を確認して行った取引。
マネックス証券	第30条 ① お客様の認証番号および追加認証番号をお客様ご自身が入力したか否かにかかわらず、予め当社に届け出られている認証番号と一致することおよび追加認証により使用される追加認証番号を当社が確認して本人認証がなされたうえで行われた本サービスの利用により生じた損害。
みずほ証券	第28条 ③ 本サービスの利用に際し、お客さま自身（法人のお客さまにあっては利用ユーザーを含みます。）で入力したか否かにかかわらず、入力された取引パスワード等があらかじめ当社に届け出されているものと一致することを確認して行った取引注文 ④取引パスワード等の盗用等による不正使用があった場合（法人のお客さまにあっては利用ユーザー以外の役職員等による不正使用を含みます。）
三菱UFJeスマート証券	第30条 ⑼ お客様ご自身が入力したか否かにかかわらず、お客様の認証コードの一致により当社が本人確認を行い取引注文の申込み[（注）取引注文には、いわゆるシステムトレードや自動売買注文を含む]を受け付け、当社が受託したうえで取引が行われたことにより生じた損害
三菱UFJモルガン・スタンレー証券	第23条 (2) 本サービスのご利用に際し、第５条第１項に定めるパスワード等（ただし、同項第二文に定める場合にあっては、パスワード等およびワンタイムパスワード）の一致を当社が確認して行った取引により生じた損害等
楽天証券	お客様の認証コード等の本人認証のための情報または取引情報等が漏洩し、盗用されたことにより生じた損害につき、当社の故意または重大な過失に起因するものでない場合

日本証券業協会は2021年に不正アクセス対策のためのガイドライン（インターネット取引における不正アクセス等防止に向けたガイドライン）を策定した。その中で補償については「被害状況を十分に精査し、顧客の態様や状況を加味したうえで、顧客との被害補償を含め、被害解決に向けた誠実かつ迅速な対応」と明記している。
補償対応を巡っては金融庁との調整が難航したことも報じられている。*18 日経新聞によれば、あるネット証券幹部の話として、金融庁は3月末時点では補償なしを容認していたが、4月下旬には態度を変えたという。その後、証券会社側は被害額の2分の1から4分の1を補償する方向で検討を進めていたが、金融庁から再検討を要請された。金融庁は制度上、補償割合を強制できる立場にはないものの、証券各社は「全額補償を求められている」との認識を示し、調整が難航した。*19 *20
最終的に、日本証券業協会は大手証券やネット証券10社と協議を行い、一定の被害補償を行う方針を公表した。不正取引による被害は約款上補償義務がないとする証券会社が多い中で、今回の対応は異例と報じられている。*21
一方で、日本証券業協会は具体的な補償内容について「各社各様の事情があり、一律の対応を協会が指導する立場にはない」との見解を示している。協議を行った10社についても、統一した補償率の基準は設けないことを決定している。*22

証券各社の補償対応状況

被害を公表した証券会社と補償方針は以下の通りである。なお、ここで示す内容は執筆時点における各社の公表情報などを基に全体像を整理したものであり、補償内容や条件の正確な情報については、必ず各証券会社の最新情報を参照されたい。

証券会社	被害報道時期	不正取引に対する原則補償内容	多要素認証必須化開始時期	多要素認証方法	その他セキュリティ対策等
楽天証券	2025年3月25日	被害50%金銭補償、見舞金	2025年6月1日（ログイン時）	メール	リスクベース認証、取引アプリ最新化、パスキー認証（導入予定）
SBI証券	2025年3月25日	被害50％金銭補償、見舞金	2025年5月31日（ログイン時）	メール	FIDO2認証（導入予定）
野村証券	2025年4月2日	原状回復	2025年6月29日（ログイン時）
SMBC日興証券	2025年4月2日	原状回復	2025年6月上旬より順次（ログイン時）
マネックス証券	2025年4月2日	一定補償	2025年7月4日（ログイン時、登録情報照会時、出金・即時出金時）	アプリ、SMS、メール	ログイン通知、顧客情報暗号化、取引パスワード
松井証券	2025年4月16日	被害50%金銭補償	2025年7月26日（ログイン時）	電話番号、SMS、メール（FXのみ）
大和証券	2025年4月23日	原状回復	2025年7月6日（ログイン時）
三菱UFJｅスマート証券	2025年4月23日	原状回復	2025年4月25日（アプリログイン時）、2025年5月7日（株・先物OPアプリログイン時）、2025年5月27日（Webログイン時）、2025年6月16日（その他ログイン時）	アプリ	ログイン通知、リスクベース認証
三菱UFJモルガン・スタンレー証券	2025年4月30日	原状回復	2025年5月26日（ログイン時）、2025年6月9日（出金時）、2025年7月28日（メールアドレス変更時）
みずほ証券	2025年5月13日	原状回復	2025年6月10日（株アプリログイン時）、2025年7月7日（ネット倶楽部ログイン時）
岡三証券	2025年5月16日	状況踏まえ補償	2025年5月12日（ログイン時）	アプリ、メール
岩井コスモ証券	2025年5月16日	一定補償	2025年5月26日（プラスネットログイン時）、2025年9月14日順次（コスモ・ネットレログイン時）	アプリ、メール、電話番号（導入予定）	FIDO認証（導入予定）
GMOクリック証券	2025年5月28日	原状回復	2025年7月22日（ログイン時）	メール、SMS
立花証券	2025年5月28日	原状回復	2025年7月26日（ログイン時）	電話番号	2種の暗証番号、自動ログアウト、前回ログイン日時表示、ログイン・登録変更通知
内藤証券	2025年5月28日	公表無し	2025年5月31日（ログイン時）	メール	ログイン・取引通知
SBIネオトレード証券	2025年5月28日	被害50％補償、見舞金	2025年5月31日（NEOTRADE W（PCブラウザ版）ログイン時）、2025年6月14日（NEOTRADE W（PCブラウザ版）ログイン時）、2025年7月12日（NEOTRADER（PCダウンロード版）ログイン時）、2025年7月19日（NEOTRADER（スマホアプリ）、ネオトレAPIログイン時）、2025年8月2日（IPO専用申込ページ等ログイン時）	メール	ログイン・取引・設定変更通知
インタラクティブ・ブローカーズ証券	2025年7月7日	公表無し	時期不明（ログイン時）	メール、アプリ、デバイス	自動ログオフ、IPアドレス制限

補償にあたっては、利用者のID・パスワード管理状況（不正取引の原因として利用者側に過失が認められないこと）に加え、証券各社が導入する不正取引防止策や注意喚起などの対応状況を勘案し、補償額を減額したり補償対象外とするなど、個別事情に応じた対応を行う場合があると各社は説明している。また一部の証券会社は、利用者が自ら多要素認証を無効化していた場合を免責事項に追加している。
日本証券業協会によれば、多要素認証は2025年8月10日時点で77社が導入を決定している。もともと導入済みの会社もあったが、今回はログイン時や出金時、メールアドレス変更時などで入力を必須化する形となっている。
楽天証券とSBI証券は、不正取引事案について社内のサービス管理状況から約款に定める免責事項に該当すると判断した。一方で、一部のセキュリティ対策をユーザーに必須化していなかったことを踏まえ、一定の補償を行うと説明した。SBI証券はこの補償を「今回に限ったもの」としており、社長が取材に対して約款改定を否定している。*23
また、楽天証券、SBI証券、SBIネオトレード証券は、不正取引が確認された利用者に対して補償とは別に一律1万円の見舞金を支払うことを明らかにした。
野村證券は担当役員や外部専門家による委員会を設置し、顧客ごとに対応を判断している。顧客側に過失が認められない場合は原状回復を行う方針で、これは事実上の全額補償にあたり、売却された株式の買い戻しや、勝手に買い付けられた株式の除去を行うものとされる。*24 一方、SBI証券、松井証券、楽天証券は、不正取引で買い付けられた株式について原則として価格の2分の1を金銭で補償するとした。もともと保有していた株式が売却された場合は損失補償の対象外とし、手数料のみ補償する方針である。*25 三菱UFJ eスマート証券も当初は2分の1補償を検討していたが、現在は個別対応に切り替えている。*26 こうした補償額の差について、SBIホールディングスや楽天証券は「対面で顧客の状況を把握できない」「顧客自身の判断で取引が行われる」といったビジネスモデルの違いが影響していると説明している。*27
被害者による訴訟も起きている。SBI証券に対しては、不正アクセスにより2025年4月に数千万円分のREITを売却され、資産が数十万円に減ったとして、売却資産の全額返還を求める訴訟が起こされた。SBI証券は訴状が届いていないためコメントできないと取材に答えたが、*28 *29 第1回口頭弁論では請求棄却を求めている。*30また、SBI証券の被害者らは「証券口座のっとり被害者の会」を設立し、証券会社との団体交渉や集団訴訟の検討を進めている。*31

認証方式変更に伴い発生した関連事象

SBI証券はバックアップサイトを2025年5月2日に終了した。同社のバックアップサイトはシステム障害発生時などにメインサイトの代替手段として提供されていたものだが、同サイトを介した認証はデバイス認証が行われないつくりとなっていた。終了する理由はフィッシング詐欺や不正アクセス等の防止で、当初2025年5月30日に終了を予定していたが前倒ししての終了となった。終了する時期をめぐりSNSなどで対応の遅さに批判があったとする報道もある。*32

楽天証券は2025年6月8日に多要素認証として行っていた絵文字認証について、絵文字10種類からメールで届いた2つを順に選ぶものから数字を含む15種類から4つを選ぶ方式へ変更を行った。*33 しかしこの仕様変更によりサーバーに負荷がかかりログインしにくい状態が発生したため、同社は6月9日に多要素認証を一時的に停止した。その後絵文字認証を再開するも変更前の2つを選ぶ方式となっている。*34

補償対応に伴う特別損失など

証券各社は具体的な被害件数や金額を公表していないが、いくつかの会社は補償対応に伴う特別損失を計上している。SBIホールディングスや楽天は、今回の損失計上による影響は軽微であると説明している。*35

損失計上した証券会社	補償等で生じた金額概要
野村証券	66億円を計上。
大和証券	引当金として6億円を計上。
SBI証券	2026年3月期連結決算に約80億円を計上予定
楽天証券	2025年1月～6月連結決算で10億5800万円を特別損失として計上
GMOクリック証券	2025年第2四半期に3600万円の特別損失を計上
松井証券	2025年4月～6月期決算で2億4700万円の特別損失を計上
みずほ証券	数百万程度

不正取引の影響は金銭的補償にとどまらない。多要素認証の必須化に伴う説明に時間を割かれ、通常の営業活動ができない状況が生じた。さらにコールセンターへの人員を大幅に増員しても人手が足りず、営業担当者も対応に追われ、1件あたりの対応に30分を要するケースもあったという。*36
三菱UFJモルガンスタンレー証券はシステム会社のコラボスの株を取得したとして、大量保有報告書を金融庁と協議の上、公開した。システム会社の株を大量取得したことについて、近々確認されている不正アクセス被害に対する補償措置によるものと同社は説明した。取得した株は14.99%を4億5924万円で取得しており、意図せず保有したものとして経営関与の意思はないとしている。*37

監督指針改定（政府）の動き

金融庁は証券口座の不正取引が多発した問題を受け、本人確認の徹底など証券各社へセキュリティ対策の強化を含めた証券会社に対する監督指針の改定を行うとして、改正案を公表した。今回の改正ではインターネット取引を対象とした項目が新設される。

対策強化等の項目	監督指針案の概要
内部管理体制の整備	・不正アクセス・不正取引対策を最優先の経営課題として位置付け、取締役会等で検討し、セキュリティ水準向上を図ること。顧客への注意喚起や利用上の留意事項の説明体制を整備。・部門間で状況認識を共有し、業者全体で取組む体制を確保。・金融ISACやJPCERT/CC等を活用し、犯罪情報を収集・共有。・PDCAサイクル（リスク分析→対策策定・実施→効果検証→評価・見直し）の確立。
セキュリティ確保	・サービス特性に応じたリスク把握と効果的な複合対策の実施。・情報セキュリティ方針を策定し、犯罪手口やガイドラインに応じて定期見直し。・高度化する攻撃（中間者攻撃・MITB攻撃等）を踏まえた対策。・フィッシング詐欺対策（メールやSMSにログインリンクを記載しない、正規サイト確認手段の提供、送信ドメイン認証の導入、フィッシングサイト閉鎖依頼などの実施）・多要素認証（パスキー・PKIなど）の実装・必須化（代替手段の提供と解除率の低減策、実装完了までの暫定的な検知機能強化（振る舞い検知、ログイン通知））・不正検知・防止機能（不正ログイン・取引通知、アカウントロック機能、振る舞い検知、ログ・取引情報保存、不正アクセス遮断・ブロック、日本証券業協会ガイドラインの標準措置・ベストプラクティス実施）
顧客への対応	・ID・パスワード等のリスク説明、顧客への注意喚起体制の整備。・顧客が取引内容を確認できる手段の提供。顧客からの届出受理、周知体制を整備し、被害抑制の迅速対応。・不正取引防止策の普及状況をモニタリングし、追加施策を実施。・被害発生時は状況精査の上、補償や回復措置を含む真摯な対応。・不正取引記録を保存し、顧客・捜査当局への協力を確保。
その他	・非対面取引を踏まえた顧客管理態勢（取引時確認等）の整備。・外部委託時はリスクを検討し、必要なセキュリティ対策を実施。
監督手法・対応	犯罪発生時：速やかに「犯罪発生報告書」で当局へ報告。財務局は直ちに金融庁へ連絡。問題認識時：犯罪防止策や被害対応に不備があれば追加報告を求め、必要に応じて業務改善命令を発出。

日本証券業協会も金融庁の監督指針改定と並行して、ガイドラインの見直しを行う予定である。*38 報じられている指針案は以下のもの。*39 ログイン時等に要求される多要素認証について、現在多数の証券会社で使用されているSMSや電話形式ではなく、指紋や顔といった生体認証を使用するパスキー等の採用を要求する内容。

指針案での扱い	指針案の概要
対応必須	ログイン時、出金時、出金先の口座情報変更時にパスキー、PKI等の多要素認証必須化自社を対象としたフィッシングサイトの閉鎖手続き顧客がアクセスするサイトが正しいと確認できる措置不正アクセス発生時の顧客への迅速な連絡・口座一時凍結
対応推奨	取引時のパスキー、PKI等の多要素認証の導入

2組織の改正を受けて公開された指針等から逸脱した場合は業務改善命令の対象となる可能性があり、実質ルールとして機能する。
楽天証券は今回の不正取引を受けて多要素認証（絵文字認証）をすべての取引で必須化しており、2025年5月上旬以降は被害を1件も確認していない。*40 またGMOクリック証券も2025年6月以降は不正取引の被害は確認されていない。*41 *42
金融庁、警察庁は証券口座乗っ取り事案を受けて、金融分野ほぼすべてに対して不正アクセス対策への要請した。要請は法的強制力はないが、金融機関の以下の業界団体に対して発出されている。*43
- 全国銀行協会
- 金融先物取引業協会
- 全国地方銀行協会
- 信託協会
- 第二地方銀行協会
- 電子決済等代行事業者協会
- 全国信用金庫協会
- 生命保険協会
- 全国信用組合中央協会
- 日本損害保険協会
- 全国労働金庫協会
- 日本少額短期保険協会
- ゆうちょ銀行
- 外国損害保険協会
- 農林中央金庫
- 日本資金決済業協会
- 商工組合中央金庫(商工中金)
- 日本貸金業協会
- 日本証券業協会
- 日本暗号資産等取引業協会
- 投資信託協会
- 日本金融サービス仲介業協会

日時	出来事
2024年末以降	証券口座を標的としたフィッシング詐欺や偽サイトが発生。
2025年3月	SNSで証券口座の乗っ取りによる不正取引被害が話題となる。
2025年3月21日	楽天証券がフィッシング詐欺に対する注意喚起とリスクベース認証導入を公表。
2025年4月3日	金融庁がインターネット取引サービスを狙った不正アクセスが発生しているとして注意喚起。
2025年4月8日	野村証券が一部の日本株のインターネット取引買い付けを停止。(その後14日に再開。)
2025年4月11日	日本証券業協会が本人確認厳格化の対策検討に入ったと報道。*44
2025年4月16日	日本証券業協会が多要素認証を原則義務化する方向と発言。*45
2025年4月22日	金融担当大臣が証券会社に対し、被害回復に向け誠実な対応をとるよう指示したと発言。*46
2025年4月25日	日本証券業協会が加盟証券会社58社がログイン時に多要素認証を必須化すると公表。*47
2025年5月2日	日本証券業協会が加盟証券会社10社が不正取引に対して一定の被害補償を行うと公表。同日、金融庁・警察庁・日本証券業協会が連名で注意喚起を発出*48
2025年6月24日	SMBC日興証券、大和証券が原状回復の補償対応をとると報道。*49
2025年6月26日	野村証券が原状回復の補償対応をとると報道。*50
2025年7月1日	三菱UFJモルガン・スタンレー証券が原状回復の補償対応をとると報道。*51
2025年7月15日	金融庁が対策強化を含めた監督指針案を公表。同日、日本証券業協会が不正アクセス対策ガイドラインの改正案を公表。
2025年7月17日	みずほ証券が原状回復の補償対応をとると報道。*52
2025年7月25日	楽天証券、SBI証券、松井証券が被害額の2分の1を補償すると発表。
2025年7月28日	金融庁、警察庁が金融分野ほぼ全てに対して不正アクセス対策強化を要請。
2025年8月5日	GMOクリック証券が全額補償すると公表。