証券口座乗っ取り被害7,000億円超──「多要素認証の必須化」から「フィッシング耐性MFAの実質義務化」へ

フィッシング詐欺 不正ログイン
公開日: 2025年5月9日｜最終更新日: 2026年7月17日
証券口座乗っ取り被害7,000億円超──「多要素認証の必須化」から「フィッシング耐性MFAの実質義務化」へ

2025年春に本格化した証券口座の乗っ取り(不正アクセス・不正取引)は、その後も拡大を続け、2025年の1年間だけで不正取引金額は約7,393億円(金融庁公表)に達しました。これを受けて金融庁は2025年10月に監督指針を改正し、パスキーなど「フィッシング耐性のある多要素認証」の実装・必須化を、原則2026年6月末までに実施するよう証券会社に求めました。その期限をちょうど迎えた今、証券業界の認証は「多要素認証を入れるかどうか」の段階を終え、「どの多要素認証なら攻撃を防げるのか」を問う段階に入っています。

本記事では、被害の最新状況と制度改正の内容、そして必須化の核心である「フィッシング耐性」を満たす認証方式について、電話発信認証の具体例を交えて解説します。証券業界で起きたこの評価軸の転換は、オンラインで本人確認を行う金融・EC事業者すべてが遠からず直面するテーマです。

1. 証券口座乗っ取りの被害は累計7,000億円超に

2025年、被害は当初想定を大きく超えて拡大

2025年2月頃から、フィッシング詐欺を起点とした証券口座への不正アクセス・不正取引が急増しました。当初(2025年4月16日時点)の金融庁公表値は不正アクセス3,312件・不正取引1,454件・売却金額約506億円でしたが、これはあくまで「序章」に過ぎませんでした。

金融庁が公表している月次の被害状況によると、被害のピークは2025年4月で、この1カ月だけで不正アクセスは5,468件、不正取引金額は約3,045億円にのぼりました。2025年通年では不正アクセス17,559件・不正取引9,752件、不正取引金額(売却・買付の合計)は約7,393億円に達しています。

2025年半ば以降、各社の認証強化が進んだことで被害は減少傾向にありますが、根絶には至っていません。金融庁の月次公表値によると、2025年12月時点でも月間約41億円の不正売買が確認されており、2025年1月から2026年5月までの累計では不正アクセス18,915件・不正取引10,474件が報告されています。

手口の中心は「リアルタイムフィッシング」

一連の被害で確認された典型的な手口は、次のようなものです。

  • 証券会社を装ったメールやSMS、検索連動型広告などから、本物そっくりの偽サイトへ誘導する
  • 利用者が入力したID・パスワード、さらにはワンタイムパスワードまでを攻撃者がリアルタイムで正規サイトに中継し、ログインを成立させる(リアルタイムフィッシング)
  • 乗っ取った口座で保有株式を勝手に売却し、その資金で中国株や流動性の低い小型株を大量に買い付け、株価を吊り上げて攻撃者が利益を得る

被害は当初、楽天証券、SBI証券、野村證券、SMBC日興証券、マネックス証券、松井証券の6社に集中していましたが、その後、被害が確認された証券会社は大幅に増え、業界全体の問題となりました。ID・パスワードを盗み取るマルウェア(インフォスティーラー)経由の認証情報流出も指摘されており、「フィッシングに気をつける」という利用者の注意だけでは防ぎきれない状況が明らかになっています。

ここで重要なのは、多くの証券会社が多要素認証(MFA)を必須化した後も、被害が完全には止まらなかったという事実です。SMSやメール、認証アプリで届くワンタイムパスワード(OTP)は、リアルタイムフィッシングによって「本人に入力させて中継する」ことが可能であり、多要素認証であってもフィッシングに耐性があるとは限らない──これが2025年の被害から業界が得た最大の教訓でした。

2. 制度は「必須化」から「フィッシング耐性MFAの実質義務化」へ

金融庁: 監督指針を改正、フィッシング耐性MFAを2026年6月末までに必須化

金融庁は2025年7月に「金融商品取引業者等向けの総合的な監督指針」等の一部改正案を公表し、パブリックコメントを経て2025年10月15日に改正・適用しました。改正指針では、インターネット取引を提供する証券会社に対し、ログイン・出金・出金先銀行口座の変更といった重要な操作の際に、パスキー(FIDO/WebAuthn)やPKI(公開鍵基盤)をベースとした認証に代表される「フィッシング耐性のある多要素認証」を実装し、必須(デフォルト)とすることを求めています。実施時期は原則2026年6月末までとされており、監督指針への明記は実質的な義務化を意味します。

「フィッシング耐性のある認証」とは、利用者が偽サイトに認証情報を入力してしまっても、攻撃者がそれを使い回せない・そもそも中継できる情報が存在しない仕組みを指します。パスワードやOTPのように「人が読み取って入力する秘密」に依存する方式は、原理的に偽サイトへの入力・中継を防げないため、この要件を満たしません。

日本証券業協会: ガイドラインを改正、OTPは原則不可に

日本証券業協会(日証協)も2025年10月15日、「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正しました。2025年4月時点では「58社が多要素認証の必須化を決定」という段階でしたが、改正ガイドラインはさらに踏み込み、リアルタイムフィッシングで突破され得るOTP型の認証を原則不可とし、フィッシング耐性のある多要素認証の採用を必須としています。ログイン時だけでなく、出金や登録情報変更といった重要操作の場面でも追加認証を求める多層防御の考え方は維持されています。

つまり業界のルールは、「多要素認証を導入したか」ではなく「導入した多要素認証がフィッシングに耐えられるか」を基準に書き換えられたのです。

楽天証券の事例: メール認証コードからパスキー必須化へ

こうした制度改正への個社の対応状況は各社の公表リリースによりますが、先行事例となっているのが楽天証券です。同社は2025年6月1日、ログイン時の多要素認証をすべてのチャネルで必須化しました。しかし前述のとおり、メールで届く認証コードのような方式はリアルタイムフィッシングへの耐性が十分ではありません。

そこで同社は2025年10月26日、パスキー(FIDO2)によるログイン認証を導入し、さらに2026年6月以降、ログイン時のパスキー認証を段階的に必須化する方針を発表しました。「多要素認証の必須化」から1年あまりで「フィッシング耐性認証の必須化」へ移行するというこの流れは、業界全体が今後たどる道筋を示していると言えます。

3. リアルタイムフィッシングを構造的に防ぐ認証──電話発信認証(Infront Security)

「入力させる秘密」をなくすことがフィッシング対策の本質

多要素認証は「知識情報(パスワードなど)」「所持情報(端末・電話番号など)」「生体情報」のうち複数を組み合わせる仕組みです。ただし2026年の基準では、単に要素を増やすだけでは不十分で、「利用者に秘密を入力させない」設計になっているかが決定的な分かれ目になります。

この「入力させる秘密を持たない」設計を、パスキーとは異なるアプローチで実現しているのが電話発信認証です。

Infront Securityが提供する電話発信認証は、ID(電話番号)と、ユーザーが保有する電話機器の端末情報を組み合わせて本人確認を行う、特許技術による認証方式です。

認証の流れはシンプルです。初回に画面に表示された電話番号へワンタップで発信するだけで登録が完了し、以降はID(電話番号)の入力だけで、発信元の端末情報との照合により自動的に認証が行われます。

この方式のポイントは、ワンタイムパスワードのような「画面に入力するコード」が存在しないことです。仮にユーザーが偽サイトにID(電話番号)を入力してしまっても、攻撃者の手元には正規の端末がないため認証は成立しません。リアルタイムフィッシングで中継できる秘密情報がそもそも存在しない──この仕組みにより、フィッシングによる認証突破を構造的に遮断します。

また、スマートフォンだけでなく固定電話やブラウザ環境との組み合わせにも対応しており、パスキーの利用が難しい端末・利用者層のカバーや、機種変更・端末紛失時の代替認証手段としても機能します。パスキーを軸に据える金融機関にとっても、「パスキーを補完する、中継可能な秘密を持たない第二の認証経路」として組み合わせられる点は、口座乗っ取り対策の実務上大きな意味を持ちます。

電話発信という行為は、ユーザー本人が正規の電話端末を物理的に保持していることの証明であり、パスワードやOTPの詐取では突破できません。認証にかかる時間も短く、複雑なパスワードの管理・入力も不要なため、セキュリティ強化と利便性を両立できる本人確認手段として、証券に限らず金融・EC分野での注目が高まっています。

まとめ: 期限を迎えた今、問われるのは「認証の質」

2026年6月末という金融庁の対応期限を迎え、証券業界の多要素認証は「導入済みかどうか」から「フィッシングに耐えられるかどうか」へと評価軸が切り替わりました。7,000億円を超えた被害が示すのは、OTP型の多要素認証では巧妙化した攻撃を止められないという現実です。

パスキー、そしてそれを補完する電話発信認証のような「入力させる秘密を持たない」認証への移行は、証券会社だけでなく、オンラインで本人確認を行うすべての事業者にとって避けて通れないテーマです。

電話発信認証の仕組みや導入のご相談は、お気軽にお問い合わせください。

不正は劇的に、ユーザーは快適に。Infront Security。

更新履歴

  • 2026年7月17日: 証券口座乗っ取りの被害統計を最新値(2025年通年で不正アクセス17,559件・不正取引金額 約7,393億円)に更新。金融庁監督指針の改正(2025年10月15日適用、フィッシング耐性のある多要素認証を原則2026年6月末までに必須化)、日本証券業協会ガイドライン改正(2025年10月)、楽天証券のパスキー導入・必須化の動きを反映し、タイトルと構成を刷新しました。
  • 2025年5月9日: 記事を公開しました。

参考資料

記事一覧へ戻る

認証のお悩みを
オンラインで無料相談

まずは相談する