証券口座の不正取引、8月も25件　リンクを開く前に確認する4点

金融庁は2026年9月9日、証券会社などのインターネット取引サービスで起きた不正アクセスと不正取引の発生状況を更新した。8月の暫定値は、不正アクセス39件、そのうち不正取引まで行われたものが25件。不正取引が発生した証券会社等は4社だった。7月の不正アクセス18件、不正取引5件からは増え、被害が途切れたとはいえない。

8月に口座内で不正に売却された金額と買い付けられた金額は、それぞれ約2億円。金融庁は、この数字が顧客の損失額ではないと明記する。不正に口座を操作し、保有株を売り、その代金で国内外の小型株などを買う行為が繰り返されれば、売買額は累積するためだ。2025年1月から2026年8月までの累計も、不正アクセス1万9,207件、不正取引1万639件だが、いずれも各社からの報告に基づく発生日ベースの暫定値で、未判明分があり得る。

1　届いたリンクを口座の入口にしない

見覚えのある証券会社名で届いたメールやSMSでも、本文のリンクからログインしない。送信者名やアドレスは偽装でき、見た目だけで正規サイトと偽サイトを区別するのは難しい。警察庁も、事前に公式サイトをブックマークし、公式アプリを使って正しいサイトへ接続するよう案内している。

ブックマークが本物か自信がない場合は、届いたメッセージや検索広告をたどって作り直さない。契約時の書面や証券会社の公式案内で正規URLを確認し、そのページから保存する。ログイン後のお知らせも、メール本文ではなく、正規経路で開いた口座内の通知と照合する。

2　パスキーは正規経路から設定する

日本証券業協会は、利用中の証券会社がパスキーなどフィッシング耐性のある多要素認証を提供している場合、速やかに切り替えるよう求めている。偽サイトがワンタイムパスワードまで入力させ、直ちに正規サイトで悪用する「リアルタイムフィッシング」があるため、コードを追加しただけで安心とは限らない。

ただし「パスキー登録を急いで」というメッセージ自体が偽物の可能性もある。登録はブックマークした公式サイトか公式アプリから始める。クラウドにパスキーを保存する場合は、その基盤となる端末やアカウントにも多要素認証を設定し、復旧方法を確認する。パスキーは重要な対策だが、端末の更新や口座確認を不要にするものではない。

3　通知と口座内の四つを見直す

ログイン時、取引時、出金時、出金先銀行口座の変更時に通知を受けられるかを確認する。通知を有効にした後も、正規経路から保有銘柄、未約定を含む注文、現金残高、登録済みの出金先を定期的に見る。身に覚えのない銘柄が残っている、注文や出金先が変わっている、普段と異なるログイン履歴があるといった兆候を、損益の増減だけで判断しない。

4　異変があれば公式窓口へ直ちに連絡する

不審なサイトにIDやパスワードを入力したかもしれない、見覚えのないログインや取引がある、という段階で証券会社の公式問い合わせ窓口へ連絡する。届いたメールの返信先やリンク先の番号ではなく、公式サイトや契約書にある窓口を使う。証券会社の案内に従ってパスワードなどを変更し、同じ認証情報を他サービスでも使っていた場合はそちらも見直す。被害やフィッシングサイトは警察のサイバー相談窓口にも通報・相談できる。

あわせて、スマートフォンやパソコンのOS、ブラウザ、セキュリティソフトを最新にする。今回の月次値が示すのは、特定の一社だけを警戒すればよい状況ではないことだ。通知の文面を見分ける能力に頼るより、正規の入口を固定し、強い認証を選び、口座の変化を確かめる。その三層を日常の手順にする方が再現しやすい。