証券口座の不正アクセス対策。パスキー・多要素認証・フィッシング防止チェックリスト【2026年版】

証券口座の不正アクセスは、預金口座の不正送金と違い、保有株式や投資信託を勝手に売却されたり、その資金で見覚えのない銘柄を買い付けられたりする形で起こることがあります。金融庁は2026年6月8日に、インターネット取引サービスへの不正アクセス・不正取引に関する注意喚起を更新し、偽サイトやフィッシングによるID・パスワードの窃取、口座内資産を使った不正売買への警戒を呼びかけています。

この記事では、証券口座を守るために最低限やるべき設定、パスキーと多要素認証の違い、偽サイトへ入らない運用ルール、異変に気づいたときの初動を整理します。

証券口座の不正アクセスで起こること

証券口座の被害は「現金が出金される」だけではありません。保有株式や投資信託を売却され、その売却代金で国内外の小型株などを買い付けられるケースも想定されます。自分では注文していない約定が入ると、損益、税金、NISA枠、投資方針にも影響します。

特に注意したいのは、普段使っていない証券口座です。残高があるのにログイン通知や約定通知を設定していないと、異変に気づくまで時間がかかります。複数の証券会社を使っている人は、メイン口座だけでなく、休眠に近い口座も確認対象に入れてください。

まず設定したい5つの防衛策

対策	優先度	具体的にやること
パスワードの使い回しをやめる	高	証券口座、メール、ネット銀行、ポイントサービスで別々の長いパスワードを使う。
パスキー・多要素認証を有効にする	高	対応している証券会社では、ログイン時、取引時、出金時、登録情報変更時の追加認証を設定する。
ログイン経路を固定する	高	公式アプリまたはブックマークからのみログインし、広告・メール・SMSのリンクは使わない。
通知をオンにする	高	ログイン、注文、約定、出金、出庫、登録情報変更の通知を有効にする。
端末とメールを守る	中	OS・ブラウザを更新し、投資用メールにも多要素認証を設定する。

証券会社によって用意されている認証方式は異なります。パスキー、生体認証、ワンタイムパスワード、端末認証、取引暗証番号、出金時認証など、名称が違っても「ログインできた後の重要操作を追加認証で止められるか」を確認するのが実務的です。

パスキーと多要素認証はどう違うか

パスキーは、端末や生体認証などを使って正規サイトへのログインを行う仕組みです。正規のドメインと結び付くため、偽サイトにパスワードを入力させる攻撃に強い点が特徴です。対応している証券会社では、パスワードだけのログインより優先して設定したい方法です。

多要素認証は、パスワードに加えて、アプリ通知、SMS、メール、認証アプリ、生体認証など別の要素を求める仕組みです。ログイン時だけでなく、出金、出庫、取引、登録メールアドレス変更、出金先口座変更のタイミングで使えるかを確認してください。

ただし、ワンタイムパスワードやSMS認証があるから絶対安全という意味ではありません。偽サイトに誘導され、入力したワンタイムパスワードを攻撃者がその場で正規サイトへ入力するリアルタイムフィッシングでは、追加認証が突破される可能性があります。そのため、認証強化と同時に「偽サイトへ入らない運用」が必要です。

偽サイトを見分けるより、入り口を固定する

偽サイトは本物そっくりに作られます。ロゴ、配色、入力画面、注意文まで似せてくるため、画面の見た目だけで判断するのは危険です。URLの違和感に気づけることもありますが、日常運用としては「毎回見分ける」より「正しい入り口だけ使う」方が再現性があります。

• 証券会社の公式アプリからログインする。
• ブラウザ利用時は、あらかじめ登録したブックマークから開く。
• メール、SMS、SNS、広告、検索広告のリンクからログインしない。
• 「至急確認」「口座停止」「本人確認未完了」など焦らせる文面ほど、公式アプリ側から確認する。
• アプリを入れる場合は、証券会社公式サイトから案内されているストアページを使う。

検索結果の上部に出る広告が必ず安全とは限りません。証券口座のログインだけは、検索から入る習慣をやめるだけでもリスクを下げられます。

日次・週次で見るチェックリスト

毎日すべての履歴を見る必要はありませんが、通知設定と定期確認を組み合わせると、異変に早く気づけます。特に相場が大きく動いた日、長期間ログインしていない口座、NISAや特定口座で保有商品が多い口座は確認頻度を上げます。

確認項目	見るポイント	頻度の目安
ログイン履歴	知らない日時、端末、IP、地域のログインがないか	週1回
注文・約定履歴	覚えのない売却、買付、取消、訂正がないか	週1回
出金・出庫履歴	銀行口座への出金、株式移管、投信移管の依頼がないか	週1回
登録情報	メールアドレス、電話番号、出金先口座、住所が変わっていないか	月1回
通知設定	ログイン通知、約定通知、出金通知がオフになっていないか	月1回

家族の証券口座をサポートしている場合は、本人が通知を見落とさない設計も必要です。高齢の家族の口座では、家族が勝手に操作するのではなく、本人の同意と証券会社のルールに沿って、通知や連絡先の管理方法を確認してください。

不審なログインや取引を見つけたときの初動

不審なログイン、知らない銘柄の売買、登録メールアドレスの変更、出金先口座の変更を見つけたら、まず被害拡大を止めます。原因探しやネット検索より先に、証券会社の公式窓口へ連絡してください。

1. 公式アプリ、ブックマーク、証券会社公式サイトから問い合わせ窓口を確認する。
2. 証券会社に不正アクセス・不正取引の疑いを伝え、口座制限や調査を依頼する。
3. ログイン履歴、注文履歴、約定履歴、出金履歴、登録情報変更履歴を保存する。
4. 証券口座、メール、同じパスワードを使っていたサービスのパスワードを変更する。
5. 端末のマルウェア感染や遠隔操作アプリの有無を確認する。

補償の扱いは、証券会社の規定、利用者側の管理状況、発覚後の申告状況によって変わります。勝手に売買された場合は、売却された商品、買い付けられた商品、NISA枠、税務上の扱いも含めて証券会社に確認します。具体的な初動は、証券口座が不正アクセスされたときの対応手順でも詳しく整理しています。

ネット銀行・メール・SNSも同時に守る

証券口座だけを強化しても、メールアカウントが乗っ取られると、通知の確認やパスワード再設定に悪用される可能性があります。ネット銀行、証券口座、メール、ポイント、決済サービスはまとめて見直してください。

ネット銀行の不正送金対策は、ネットバンキングの安全な使い方で整理しています。SNS広告や著名人画像を使った投資詐欺は、AIを悪用した金融詐欺の見分け方やSNS投資詐欺・副業詐欺の注意点もあわせて確認しておくと、入口対策を強化できます。

証券会社を選ぶときもセキュリティを比較する

手数料やポイント還元だけでなく、セキュリティ設定のしやすさも証券会社選びの重要な基準です。次の項目は、口座開設後にすぐ確認しておきましょう。

• パスキー、生体認証、認証アプリなどに対応しているか。
• ログイン時だけでなく、出金・出庫・取引・登録情報変更で追加認証が使えるか。
• ログイン通知、約定通知、出金通知が分かりやすく設定できるか。
• 出金先銀行口座の変更時に強い認証や通知があるか。
• 不正アクセス時の緊急連絡窓口が見つけやすいか。

証券会社の基本的な選び方は、証券会社の選び方ガイドでも解説しています。短期売買をする人は、意図しない取引を避ける意味でも、株取引で注意したい禁止行為・ルールも確認しておくとよいでしょう。

まとめ

証券口座の不正アクセス対策は、強いパスワードだけでは不十分です。パスキー、多要素認証、取引時認証、通知設定を組み合わせ、ログイン経路を公式アプリやブックマークに固定することが重要です。

また、証券口座の被害は出金だけでなく、不正売買として現れることがあります。ログイン履歴、約定履歴、登録情報、出金先口座を定期的に確認し、不審な動きがあれば公式窓口へすぐ連絡してください。判断に迷う場合は、金融トラブルの相談先ガイドも参考になります。

関連記事

• 証券口座が不正アクセスされたら何をする？初動対応・補償・再発防止チェックリスト
• ネットバンキングの安全な使い方。フィッシング・不正送金対策
• AIを悪用した金融詐欺の見分け方
• SNS投資詐欺・副業詐欺の注意点
• 証券会社の選び方ガイド

参考にした公式情報

• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
• 日本証券業協会「不正アクセス等にご注意ください！」
• 日本証券業協会「フィッシング詐欺等による証券口座への不正アクセス等による対応」