2025年から2026年にかけて、証券会社のインターネット取引サービスで「口座に第三者がログインして、勝手に売り買いされる」という被害が続きました。金融庁が公表している数字では、報告された不正アクセスは19,142件にのぼります。
この記事は、その手口をこわがらせるためのものではありません。数字を見ると被害はすでにピークを過ぎています。それでも書いておきたいのは、この件で私たちの側に、新しくやることがひとつ増えたからです。パスキーへの切り替えです。今日やる設定は、それを含めて3つ。どれも一度で終わります。あわせて、いちばん気になるところ――「もし乗っ取られたら補償されるのか」――も、業界団体が出した文書の言葉のまま確かめます。
- 証券口座の乗っ取りのニュースは見たけれど、自分が何をすればいいのか分からない
- ワンタイムパスワードを設定してあるから大丈夫だと思っている
- 「パスキー」という言葉は見かけるが、設定していない・仕組みも知らない
- もし乗っ取られたら全額補償されるのか、はっきり知らない
- 積立を自動にしてから、証券口座にほとんどログインしていない
→ ひとつでも当てはまったら、この記事が「今日やっておく設定」を3つに絞るお手伝いをします。
- 金融庁の公表数値で見る、被害のピークと今
- ワンタイムパスワードを入れていたのに突破された理由（リアルタイムフィッシング）
- 証券会社がパスキーの必須化を進めている背景と、会社ごとの違い
- 業界団体の申し合わせに書かれている、補償の範囲と勘案されること
- 今日やっておく3つの設定と、1つの習慣
ふくおさん、証券口座が乗っ取られるってニュース、前に見たっす。あれって詐欺の話とは違うんすか？
いいところに気づいたね。前に書いたSNS型投資詐欺は「外から誘われて、自分でお金を送ってしまう」話だったんだ。今日のはその逆で、自分の口座の中に入られて、勝手に売り買いされるほう。入口がぜんぜん違うし、増え方も逆なんだ。今日話す乗っ取りは落ち着いてきたけど、外から誘われるタイプの詐欺は2026年上半期に前の年の約2倍に増えている。今日の話が終わっても、そっちはそっちで気をつけておいてね。
えっ、勝手に売られるっすか。でも、ログインのときに数字を入れるやつがあるっすよね？ あれを設定してれば大丈夫じゃないっすか？
ワンタイムパスワードだね。それが今日のいちばんの山なんだ。その数字を入れていたのに入られた、というのが今回の被害の中身でね。数字が弱かったわけじゃなくて、入れさせる場所を作られたんだよ。
入れさせる場所…？ うう、なんか難しいっす。自分、何をすればいいんすか。全部やるのはムリっす。
全部はやらなくていいよ。やることは3つだけで、しかも一度やれば終わりなんだ。まず何が起きていたのかを数字で見て、それから3つを順番に見ていこうか。
僕は月10万円ほどの積立投資を、毎月決まった日に自動で買い付ける設定にしています。決めたのは何年も前で、それ以来ほとんど触っていません。長期で続けるつもりの設定です。
この記事を書くために、自分の証券口座のログイン履歴を開いてみました。ひと月まるごと、一度もログインしていない月がありました。複数あります。
このブログで僕はずっと「値動きを毎日見なくていい」「ほったらかしでいい」と書いてきました。それ自体は今も本気でそう思っています。ただ、今回の被害の記事を読んでいて、ひとつ引っかかったんです。身に覚えのない取引が起きたとき、いちばん気づくのが遅れるのは、僕みたいな人間じゃないか。
値動きは見なくていい。でも、入口と出口の設定は別の話でした。そこを分けて考えていなかったな、と思いながらこの記事を書いています。
まず、数字を見てみます｜山は越えました。ただ、ゼロではありません
金融庁が「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」という注意喚起のページで、月ごとの発生状況を公表しています。2026年8月時点でいちばん新しいのは令和8年8月10日更新のもので、2025年1月から2026年7月までの数字が並んでいます。
証券会社等への不正アクセス件数（月ごと）
2025年1月〜2026年7月／金融庁の公表値
数字にすると、こうなります。
| 時期 | 不正アクセス件数 | うち不正取引まで進んだ件数 | 不正な売却金額 |
|---|---|---|---|
| ピーク（2025年4月） | 5,490件 | 3,033件 | 約1,625億円 |
| 直近（2026年7月） | 14件 | 1件 | 約0.01億円（約100万円） |
| 累計（2025年1月〜2026年7月） | 19,142件 | 10,607件 | 約4,365億円 |
件数だけを見れば、ピークの5,490件に対して直近の2026年7月は14件です。ただし直近の月ほど報告が上がりきっていない可能性があるので、1か月だけを取り出して倍率を出すより、「2025年前半は月あたり数千件だったものが、2026年に入ってからは月100〜300件台まで下がった」という見方のほうが実態に近いと思います。実際、2026年7月に不正取引が発生した証券会社等は1社だけでした（ピークの月は10社）。
ここははっきり書いておきます。この記事は「今まさに危ない」という話ではありません。山はもう越えています。それでも書いているのは、この期間に累計で19,142件（暫定値）、そのうち55.4%にあたる10,607件が実際の取引まで進んだという事実が残っているからです。
そして、並び順でいうと、当局から要請が出て、証券会社側で新しい認証方式の必須化が進み、そのあとに数字が下がっています。減っている数字は「もう狙われない」という意味ではなく、切り替えが進んだ結果として出ているものだと考えています。だからこそ、まだ切り替えていない人ほど、先に済ませておく価値があると思っています。
⚠️ この数字の読み方には、金融庁自身が注意書きをつけています
①各証券会社等から報告を受けた発生日ベースの暫定値で、まだ判明していない被害がある可能性があること。②売却金額・買付金額は被害口座の中で行われた不正取引の金額の合計で、同じ口座で繰り返されれば累積すること。③これらの金額は「不正取引により生じた顧客の損失額と一致しない」こと。金額を件数で割って「1件あたりいくら」と出すことには意味がないので、この記事でもやりません。
何が起きていたのか｜口座の中身が、勝手に売り買いされていました
手口の中身も、金融庁が言葉にしています。注意喚起のページから、そのまま引きます。
「不正取引の態様は様々だが、多くの場合、不正行為者が不正アクセスによって被害口座を勝手に操作して口座内の株式等を売却し、その売却代金で国内外の小型株等を買い付けるというもの。不正取引の結果、被害口座には当該国内外の小型株等が残ることになる。」
（金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」注※3）
お金がそのまま外へ送金されるのではなく、口座の中身が別のものに置き換えられるのが特徴です。長く持っていた投資信託や株が売られ、代わりに知らない小型株が置かれている。積立投資を続けてきた人にとっては、長期で積み上げてきたものが、自分の判断でないところで一度リセットされてしまうということでもあります。
入口はどこかというと、ログインIDとパスワードが盗まれることです。盗み方はフィッシング――実在する証券会社のウェブサイトを装った偽サイトに誘導して、入力させる方法です。
「ワンタイムパスワードを入れていたのに」が起きた理由
ここが今回の中心です。多くの人は、ログインのときにもう一段の確認（ワンタイムパスワードなど）を設定していました。それでも入られました。なぜかというと、その一段も、偽サイト側で入力させられていたからです。
日本証券業協会は、この手口に名前をつけて説明しています。
「現在、攻撃者がインターネット取引サービス利用者を証券会社の偽サイトへ誘導し、利用者が偽サイトにID・パスワードを入力すると、さらに偽のワンタイムパスワード入力画面へ誘導し、ワンタイムパスワードが入力されると直ちにこれを悪用して、証券会社の公式サイトからアカウント（証券口座）の乗っ取りを行う『リアルタイムフィッシング』と呼ばれる手口による不正アクセスの被害が拡大しています。」
（日本証券業協会「不正アクセス等にご注意ください！」2026年3月25日）
リアルタイムフィッシングの流れ
「本人しか知らない数字」でも、その場で使われてしまう
つまり、ワンタイムパスワードが弱かったのではなく、「偽サイトに入力させられる」という形に弱かったということです。数字を長くしても、複雑にしても、この形の攻撃には効きません。
なお、ワンタイムパスワードのように「パスワードに加えて、もう一段の確認を挟む」方式をまとめて多要素認証と呼びます。このあと何度か出てくる言葉なので、先に置いておきます。パスキーもその一種で、多要素認証の中でも偽サイトに強い方式、という位置づけです。
じゃあ自分がちゃんと数字を入れても、その場で盗まれるってことっすか。それ、どうやって気をつければいいんすか…
気をつけて防ぐタイプの話じゃないんだ、これは。偽サイトかどうかを目で見分けるのは、もう無理な精度になっているからね。だから「気をつける」じゃなくて「仕組みで効かなくする」ほうへ変わったんだよ。
仕組みで効かなくする…。そんなこと、できるんすか？
できるんだ。パスキーっていう仕組みでね。「相手のサイトが本物かどうか」を端末の側が確認してから通すんだよ。偽サイトには、そもそも渡すものがない。だから同じ手口が効かなくなる。ここからその話をしていくね。
だから今、多くの証券会社がパスキーへの切り替えを進めています
この被害を受けて、金融庁・日本証券業協会・警察庁の3者が、インターネット取引を提供するすべての証券会社に対して、新しい認証方式の提供と必須化を要請してきました。日本証券業協会の言葉ではこうです。
「昨今の大規模な不正アクセス・不正取引事案を踏まえ、金融庁、日本証券業協会及び警察庁では、フィッシング耐性のある新たな認証方式（パスキーによる認証等）の提供・必須化を、インターネット取引を提供するすべての証券会社に対して要請してまいりました。こうした取組みの結果、現在、多くの証券会社において新たな認証方式の提供・必須化が進みつつあります。」
（日本証券業協会・同上）
パスキーとは何か
日本証券業協会の説明を、そのまま借ります。「公開鍵暗号方式を活用したフィッシングに耐性のあるオンライン認証方式」。同協会は、CISA（米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁）が「フィッシング耐性のある多要素認証」として挙げている、現時点で普及している認証方式だとも書いています。
使う側の感覚でいうと、ログインのときに顔や指紋、あるいは端末のロック解除（パスコード・PIN・パターン）で通す形になります。パスワードやワンタイムパスワードを打ち込む場面がなくなるので、打ち込ませる場所を作られても盗まれるものがない、という理屈です。
パスキーで変わること
- ログインのたびにパスワードやワンタイムパスワードを入力しなくなる
- 顔や指紋のデータそのものは、証券会社には渡らない（後述）
- 偽サイトに誘導されても、そこで渡してしまうものがない
金融庁も、注意喚起のページに次の一文を置いています。「利用する証券会社等においてこのような強固な多要素認証の提供が開始された場合には、速やかに利用設定を行ってください。」
「もし乗っ取られたら、補償されるの？」を一次情報で読む
ここが、いちばん気になるところだと思います。実際、検索でも「証券口座 乗っ取り 補償」「全額 保証」といった言葉が並びます。
この点については、2025年5月2日に日本証券業協会と大手証券・ネット証券10社の申し合わせという文書が出ています。ニュースの要約ではなく、文書そのものを読むと、こう書かれています。
「今般のフィッシング詐欺等による証券口座への不正アクセス等により、第三者がお客様の資産を利用して、有価証券等の売買等を行ったことにより発生した被害について、各社の約款等の定めに関わらず、一定の被害補償を行う方針とすることを申し合わせました。
なお、お客様が被った被害の補償については、被害状況を十分に精査し、そのお客様のIDやパスワード等の管理を含む態様やその状況等並びに証券会社における不正アクセス等を防止するための注意喚起等を含む対策等を勘案したうえで、個別の事情に応じて対応することになります。」
（日本証券業協会「フィッシング詐欺等による証券口座への不正アクセス等による対応について（10社申し合わせ）」2025年5月2日）
整理すると、こうなります。
| 項目 | 文書に書かれていること |
|---|---|
| 対象になる被害 | 2025年1月以降に発生したもの |
| 申し合わせた会社 | 大手証券・ネット証券の10社（SMBC日興証券・SBI証券・大和証券・野村證券・松井証券・マネックス証券・みずほ証券・三菱UFJ eスマート証券・三菱UFJモルガン・スタンレー証券・楽天証券／50音順） |
| 補償の書かれ方 | 約款等の定めに関わらず「一定の被害補償を行う方針」 |
| 勘案されること | 被害状況／お客様のIDやパスワード等の管理を含む態様やその状況等／証券会社側の対策等 |
| 決まり方 | 個別の事情に応じて対応（手続きは各社が決定次第案内） |
⚠️ 「一定の」と「個別の事情に応じて」という2つの言葉を落とさないでください
この文書は、全額の補償を約束したものではありません。そして、補償の判断材料に本人のID・パスワードの管理状況が含まれると、はっきり書かれています。裏返すと、提供されている設定をきちんと使っていること自体が、自分を守る材料になるということです。実際この文書は、同じページで「利用されている証券会社において、多要素認証（ワンタイムパスワード等、2要素以上を組み合わせる認証）が提供されている場合には、多要素認証の設定を必ず行ってください」ともお願いしています。設定を先に終わらせておく理由は、被害を防ぐためだけではありません。
なお、実際に被害に遭った場合の手続きや補償の内容は各社が決めることなので、具体的な扱いはご自身が使っている証券会社にご確認ください。ここで確認できるのは「業界としてこう申し合わせた」というところまでです。
今日やることは3つだけ
ここまでを踏まえて、やることを3つに絞ります。順番も、この順でいいと思います。
① パスキーを設定する
使っている証券会社がパスキーを提供しているなら、まずこれです。金融庁が「速やかに利用設定を行ってください」と書いているのはここのことで、この記事でいちばん優先度が高いのもここです。
設定は、証券会社の公式サイトか公式アプリから行ってください。日本証券業協会は「パスキー登録時を狙ったフィッシングが懸念されます」とわざわざ注意を書いています。メールやSMSで届いた「パスキーの登録はこちら」というリンクは開かない、が原則です。まだパスキーが用意されていない会社なら、②と③を先に済ませておいて、案内が来たときにすぐ①をやる、で大丈夫です。
② パスワードでのログインを、無効にできるなら無効にする
パスキーを設定しても、パスワードでのログインが残っていれば、そちらの入口はそのままです。ここは会社によってやり方が2通りあります。パスキーを作った時点で自動的にパスワードでのログインが閉じる会社と、自分で「パスワードでのログインを無効にする」設定を行う会社です。後者なら、パスキーの設定とセットで済ませてしまうのが良いと思います。会社ごとの違いは次の章で見ます。
③ ログイン以外の場面の認証・通知を確認する
ここが、いちばん見落とされやすいところです。金融庁の注意喚起は、有効にしておく場面を4つ挙げています。
多要素認証や通知を有効にしておく4つの場面
ログインだけではありません
今回の被害は「口座の中身を売って別のものを買う」形が多かったので、出金の設定だけで防げるものではありません。ただ、通知が来るようにしておけば気づくのが早くなります。そして早く気づけることは、そのまま証券会社へ連絡するまでの早さになります。
裏を返すと、通知さえ設定しておけば、ログインの回数を増やす必要はありません。「値動きを毎日見なくていい」はそのままで大丈夫で、増やすのは見に行く回数ではなく、向こうから知らせが来る経路のほうです。
今日やる3つ（チェックリスト）
- パスキーを設定する（公式サイト・公式アプリから）
- パスワードでのログインを無効にできるなら、無効にする
- ログイン時・取引時・出金時・出金先銀行口座の変更時の認証と通知を有効にする
会社によって、進め方が少し違います
同じ「パスキーを進めています」でも、進め方は会社ごとに違います。NISAで使っている人が多い2社の公式案内を、2026年8月時点で読んでみました。
| 楽天証券の案内 | SBI証券の案内 | |
|---|---|---|
| パスキーの進め方 | 「2026年5月31日（日）より、スマートフォンなしでもパスキー認証をご利用いただけるようになります。これに伴い、2026年6月以降順次、ログイン時のパスキー認証を必須化いたします」。すべての取引チャネルで対応済み | 2026年6月13日以降、アプリ・ツールにもパスキー認証を導入。それ以前からウェブサイトでは利用可能 |
| 必須化の時期 | 「お客様ごとに必須化の時期は異なります。詳細スケジュールにつきましては、個別にご案内いたします」 | 「パスキー認証は、2026/6/30（火）より、原則必須化になります」。ただし「引き続きユーザーネーム/パスワードでログインは可能」で、設定するまで案内が繰り返される |
| パスワードでのログイン | 「パスキーを作成されたあとは、パスワードによるログインはできなくなります」（うまくログインできないときは、パスキーの利用を一時的に停止すればパスワードに戻せる）。利用者が自分で無効にする設定は、2026年8月時点で確認した公式3ページには記載なし | 「パスキーを設定すると、パスワードでのログインを無効にすることが可能です」と明記＝自分で閉じる設定がある |
| そのほか | ログイン追加認証（多要素認証）は2025年6月1日から全チャネルで必須。「ログイン追加認証を解除することはできません」 | パスワードでログインする場合、リスク検知時にメールでの認証が必要 |
どちらが安全か、という話ではありません。2社とも必須化の方針を出していて、違うのは進め方です。楽天証券は必須化の時期をお客様ごとに個別に案内する形で、パスキーを作れば自動的にパスワードの入口が閉じます。SBI証券は原則必須化の日付を先に示したうえで、当面はパスワードでのログインも残し、自分でパスワードを無効にする設定を用意する形です。大事なのは、案内を待たずに自分で先に設定してしまうこと。どちらの会社でも、それがいちばん早く終わります。
⚠️ 記載内容は2026年8月時点のものです
この種の案内は短い間隔で更新されます。実際の手順・時期・設定できる項目は、必ず各社の公式サイトまたは公式アプリでご確認ください（そして、確認しに行くときもブックマークか公式アプリから、です）。
ブックマークからしか入らない、という地味で強い習慣
設定が3つ終わったら、あとは習慣が1つです。証券会社のサイトには、ブックマークか公式アプリからしか入らない。
金融庁も日本証券業協会も警察庁も、そろって同じことを書いています。金融庁の言葉では「利用する証券会社等のウェブサイトへのアクセスは、事前に正しいウェブサイトのURLをブックマーク登録しておき、ブックマークからアクセスする」。日本証券業協会は「メールやSMSに表示されているリンク・URLからログインせず、公式サイトのブックマークや公式アプリからログインをお願いいたします」。
地味ですが、これが効くのは理屈がはっきりしているからです。偽サイトは、メールやSMS、検索結果の広告など、どこかのリンクを踏ませないと見せられません。入口を1つに固定してしまえば、偽サイトの側に打つ手がなくなります。
⚠️ 逆に、やってはいけない4つ
- メールやSMSのリンクからログインする（送信元の名前やアドレスは簡単になりすませる、と警察庁が明記しています）
- パスワードを使い回す（他のサービスから漏れたものが、そのまま試されます）
- 不特定多数が使う端末でログイン・取引する（ネットカフェやホテルの端末など）
- ブラウザで、普段しないキーボード操作を求められて実行する（日本証券業協会が「特にCtrl + V 等のショートカット実行」と名指しで注意しています。マルウェア感染の入口になります）
これは「やってはいけないこと」ではありませんが、金融庁がもうひとつ挙げているのはOSやアプリを最新の状態にしておくこと、そしてウイルス対策ソフトを入れて最新に保つことです。フィッシングだけでなく、マルウェアによる情報の抜き取りも被害の入口になるためです。
以前、お金の置き場所を「生活費・もしも・未来」の3つに分けたことがあります。生活費の口座、生活防衛資金を置く口座、そして投資に回すお金の口座、という分け方です。
分けたときに、ひとつ手が止まった場面がありました。証券口座の設定画面を開いて、出金先に指定してある銀行がどこだったか、すぐに出てこなかったんです。開設したときに登録したきりで、それから一度も見ていませんでした。
そのときは「使っていないから覚えていないだけ」と思って、確認して閉じました。今回この記事を書きながら、その場面を思い出しています。自分がどこに向けて出金できる状態になっているかを知らない、というのは、変更されても気づけないということでもあるんだなと。
値動きを毎日見る必要はない、という考えは変えていません。ただ、口座の入口と出口については、年に一度くらい開いて見る場所として数え直しました。
気づいたときに、まず連絡する先
身に覚えのないログインや取引に気づいたときは、まず取引している証券会社のお問い合わせ窓口です。あわせてパスワード等の変更を、と金融庁は書いています。
連絡先
- 各証券会社のお問い合わせ窓口（公式サイト・公式アプリから。メールに書かれた番号ではなく）
- 金融庁 金融サービス利用者相談室：0570-016811（IP電話からは03-5251-6811）／平日10時00分〜17時00分
- 警察：最寄りの警察署、または「サイバー事案に関する通報等のオンライン受付窓口」。フィッシングサイトを見つけたときは「フィッシング110番」へ
それから、フィッシングサイトにIDやパスワードを入力してしまった心当たりがある場合。警察庁は「そのIDやパスワード等を利用している全てのサービスにおいて、パスワード等を速やかに変更してください」としています。証券口座だけの話で終わらせない、ということです。
思ってたよりシンプルだったっす。てっきり、毎日ログインして見張らないといけないのかと思ってたっす。
見張らなくていいんだ。むしろ逆で、見張らなくて済むようにするための設定なんだよ。設定そのものは一度で終わり。あとは端末を替えたときに見直すくらいで、毎日ログインする必要はないんだ。
でも自分、まだ口座も持ってないんすよね。持ってない人はどうすればいいんすか？
それはむしろ楽なんだ。あとから切り替える人より手間が少ないからね。口座を開いたら、いちばん最初にパスキーの設定をやってしまう。それだけでいいよ。
なるほどっす！ じゃあ自分、開設したらいちばん最初にそこをやるっす。忘れないうちにメモしておくっす。
いいね。守る設定は、増やす工夫より先に終わる。ここを済ませてから、ゆっくり中身を選んでいこうか。
まとめ｜守る設定は、増やす工夫より先に終わります
この記事で確かめたことを、もう一度並べます。
✅ 分かったこと
- 2025年1月〜2026年7月の不正アクセスは累計19,142件（暫定値）。ただしピークは2025年4月（5,490件）で、2026年に入ってからは月100〜300件台まで減っている
- 被害は「ワンタイムパスワードを入れていたのに」起きた。偽サイトで入力させ、その場で本物へ打ち込むリアルタイムフィッシングという手口
- だから金融庁・日本証券業協会・警察庁がパスキー等への切り替えを証券会社に要請し、必須化が進んでいる
- 10社の申し合わせに書かれているのは「一定の被害補償を行う方針」で、判断には本人のID・パスワードの管理状況も勘案される（2025年1月以降に発生したものが対象）
👣 次の一歩（設定3つ＋習慣1つ）
- 使っている証券会社の公式サイト・公式アプリを開いて、パスキーを設定する
- パスワードでのログインを無効にできるなら、無効にする
- ログイン時・取引時・出金時・出金先銀行口座の変更時の認証と通知を確認する（このとき、出金先の銀行口座が自分の想定どおりかも見ておく）
- ［習慣］証券会社のサイトをブックマークし、以後はそこからしか入らない
投資の話は、どうしても「どれを買うか」「いくら積み立てるか」に集まります。それはそれで大事です。ただ、インデックスファンドを選ぶのにかける時間より、この3つの設定にかかる時間のほうがずっと短くて、しかも一度で終わります。もう口座がある人なら、順番としては、こちらが先でいいと思います。これから開く人は、口座を開いたあとの最初の設定で、そのまま済ませてしまうのがいちばん早いです。
📱 これから始めるなら、口座を開いたあと、いちばん最初にパスキーの設定まで済ませてしまうのが楽です（口座開設料・口座管理料は0円です）
楽天証券で無料口座開設 →楽天ポイントで投資できる・楽天経済圏の人に口座開設料・口座管理料0円スマホで開設投信積立は100円から
SBI証券で無料口座開設 →ネット証券大手・貯めるポイントを選びたい人に口座開設料・口座管理料0円スマホで開設投信積立は100円から
※この記事は情報提供を目的としたもので、特定の金融商品の売買を推奨するものではありません。投資信託には元本割れの可能性があり、将来の運用成果を保証するものではありません。「0円」は口座開設料・口座管理料についてのもので、取引手数料や投資信託の信託報酬など、商品・取引に応じた費用は別途かかります。NISAは非課税で投資できる制度（箱）で、値動きするのはその中で買った投資信託などの商品です。各社のサービス内容・セキュリティ設定の名称や手順は2026年8月時点のもので、最新の内容は各社公式サイトでご確認ください。実際の設定方法・被害時の対応・補償の取り扱いは、ご利用の証券会社にご確認ください。
よくある質問（FAQ）
Q. パスキーって、結局どういうものですか？
A. 日本証券業協会は「公開鍵暗号方式を活用したフィッシングに耐性のあるオンライン認証方式」と説明しています。使う側の操作としては、顔認証・指紋認証か、端末のロック解除方法（パスコード・PIN・パターンなど）でログインする形になります。同協会は、CISA（米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁）が「フィッシング耐性のある多要素認証」として挙げている、現時点で普及している認証方式だとも書いています。
Q. ワンタイムパスワードは、もう意味がないのですか？
A. そうではありません。金融庁は今も「各証券会社等が提供しているセキュリティ強化機能（ログイン時・取引時・出金時・出金先銀行口座の変更時の多要素認証（※）や通知サービス）を有効にして」と書いています。ただしその※に「現在、各証券会社等において、より強固な多要素認証であるパスキー認証等のフィッシングに耐性のある多要素認証の必須化が進められています」と続き、提供が開始された場合は速やかに設定を、としています。つまり「多要素認証をやめる」ではなく「より強い方式に切り替える」という位置づけです。
Q. 顔や指紋のデータが証券会社に渡るのが不安です。
A. 楽天証券は公式ページで「指紋認証や顔認証などに使用するお客様の生体認証データは、お客様のスマートフォンなどの端末に保存され、楽天証券には提供されず、保存もされません」と説明しています。また、生体認証ができる端末を持っていない場合でも、端末のロック解除方法（パスコード・PIN・パターン）でパスキーを使えます。詳しい仕様は各社の公式案内でご確認ください。
Q. 乗っ取られたら、全額返ってきますか？
A. 全額と約束された文書はありません。2025年5月2日の10社申し合わせにあるのは「各社の約款等の定めに関わらず、一定の被害補償を行う方針」という書き方で、さらに「被害状況を十分に精査し、そのお客様のIDやパスワード等の管理を含む態様やその状況等並びに証券会社における不正アクセス等を防止するための注意喚起等を含む対策等を勘案したうえで、個別の事情に応じて対応することになります」と続きます。対象は2025年1月以降に発生したものです。実際の手続き・補償内容は各社が決めるので、ご利用の証券会社にご確認ください。
Q. 被害はもう終わったのでしょうか？
A. 金融庁の公表値では、2026年7月の不正アクセスは14件、不正取引は1件、発生した証券会社等は1社です。ピークだった2025年4月（5,490件・10社）とは大きく違います。ただしゼロではありませんし、この数字は暫定値で、まだ判明していない被害がある可能性があると金融庁自身が注記しています。手口も変わっていくものなので、「終わったから設定しなくていい」ではなく「落ち着いている今のうちに済ませておく」がちょうどいいと思います。
Q. NISA口座でも、守り方は変わりますか？
A. 入口は同じです。NISAは非課税で投資できる制度（箱）で、ログインするのは証券口座なので、パスキーの設定も通知の設定も、口座単位で同じように行います。つみたて投資枠で積立をしている人も、特定口座だけの人も、やることは変わりません。なお、不正な売却が起きた場合の非課税枠の取り扱いは制度の一般論では答えられない部分があるので、実際に被害があった場合はまず証券会社に連絡してご確認ください。
Q. 家族の口座も、それぞれ設定が必要ですか？
A. はい。設定は口座ごとです。同じ会社を使っていても、家族それぞれの口座で、それぞれの端末に設定することになります。とくに普段あまりログインしない口座ほど、気づくのが遅れます。家族の分をまとめて済ませてしまうのが結局いちばん早いと思います。
Q. パスキーを設定した端末を、なくしたり機種変更したりしたらどうなりますか？
A. 会社によって扱いが違うので、公式の操作ガイドを見るのがいちばん確実です。楽天証券の場合は「パスキーはお客様の1口座あたり10個まで作成できます」と案内していて、複数の端末に作っておくことができます（作成可能な数は予告なく変更される場合がある、とも書かれています）。なお、日本証券業協会は「クラウド上にパスキーをバックアップする場合、Apple アカウントやGoogleアカウントについても多要素認証を設定する等、厳重に管理してください」と注意しています。
📚 あわせて読みたい
📎 参考にした主な公的情報・一次情報
- 金融庁：インターネット取引サービスへの不正アクセス・不正取引にご注意ください（令和7年4月3日／令和8年8月10日更新）
- 金融庁：インターネット取引サービスでの不正アクセス・不正取引の被害状況（PDF・令和8年8月10日）
- 日本証券業協会：不正アクセス等にご注意ください！（2026年3月25日）
- 日本証券業協会：フィッシング詐欺等による証券口座への不正アクセス等による対応について（10社申し合わせ・2025年5月2日）
- 警察庁：フィッシング対策
- 楽天証券：パスキー認証（FIDO2）
- 楽天証券：不正アクセス・不正取引防止に向けた取り組みとお願い
- 楽天証券：【重要】6月より順次ご案内、ログイン時の「パスキー認証」を段階的に必須化します（2026年5月29日）
- SBI証券：【パスキー認証】パスキー認証は必須になりますか？
- SBI証券：パスキー認証の全チャネル対応とWEBサイトのログイン方式変更のお知らせ（2026年5月25日）
※本記事は情報提供を目的としており、特定商品の購入推奨ではありません。投資判断はご自身の責任でお願いします。
詳細は 免責事項 をご確認ください。
最終更新日：2026年9月9日
コメント