証券口座乗っ取りとは？原因・確認・対策を解説

証券口座の乗っ取りは、フィッシング詐欺やマルウェアによって窃取されたログインIDやパスワードを使い、第三者が口座に不正アクセスして勝手に取引を行う被害です。

2025年には証券口座の乗っ取り被害が急増し、二段階認証を設定していても偽サイト経由でワンタイムパスワードごと窃取される手口が確認されています。

乗っ取り被害を防ぐには、パスキーなどフィッシング耐性のある認証方式を利用し、複数のセキュリティ対策を組み合わせることが有効と考えられます。

本記事では、証券口座が乗っ取られる原因や確認方法、今日から実践できるセキュリティ対策、そして万が一被害に遭った場合の対処法と補償について、金融庁や日本証券業協会の最新情報に基づいて解説します。

• 2025年に急増した証券口座の乗っ取りは認証情報の窃取が主な原因

• 多要素認証を突破する手口も確認されパスキー導入が進んでいる

• パスキー設定やアクセス経路の限定など複数の対策が有効

証券口座の乗っ取りとは？不正アクセス被害の最新状況

証券口座の乗っ取りとは、第三者が窃取した認証情報を使ってインターネット取引サービスに不正ログインし、口座内の資産を勝手に売買する行為のことです。ネット証券への不正ログインが相次いだことで、業界全体で認証方式の見直しが進みました。

2026年1月に金融庁が発表した「インターネット取引サービスへの不正アクセス・不正取引の発生状況」によれば2025年の不正取引金額が約7,393億円、不正アクセスは計17,559件、不正取引は計9,752件でした。

典型的な証券口座の乗っ取りの手口は、不正アクセスした口座内の株式等を売却し、その売却代金で相場操縦とみられる目的で他の株式を買い付けるというものです。

一部では、犯行グループが保有する銘柄を不正取引によって買い付け、株価形成に影響を与えようとしたとみられる事例も確認されています。

被害者の口座から直接現金が盗まれるわけではないものの、結果として保有資産が意図しない形で売買され、損失につながるケースが確認されています。

こうした手口が広がった背景として、出金を伴わずに相場操縦で収益化できるスキームが確立され、日本の証券口座が本格的な標的となったことが指摘されています。

加えて、新NISAの開始により証券口座数・口座内資産が増加し、標的としての価値が高まったことも一因です。また、当時は多要素認証の設定を任意としている証券会社が多かったことも、被害拡大の要因と指摘されています。

ただし、2025年4月のピーク時には月間の不正取引金額が約3,048億円、不正アクセス件数が5,484件に達しました。その後は証券会社のセキュリティ対策強化が進み、被害は減少傾向にあります。

金融庁の公表資料でも、2026年は前年同期と比べて件数・被害額とも減少しています。

時期	不正アクセスの件数	不正取引金額
2025年1月〜6月	13,314件	約5,968億円
2026年1月〜6月	1,410件	約784億円

出典：金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」を基に筆者作成

株取引とは？株式市場に関する初心者ガイド

証券口座が乗っ取られる4つの原因

証券口座の乗っ取りは、ある日突然被害に遭うように見えて、実際には認証情報が盗まれる原因が存在します。

手口を知っておくことで、日常のどの場面に注意すべきかが見えてきます。証券口座が乗っ取られる主な原因は以下の4つです。

1. フィッシング詐欺による認証情報の窃取

2. インフォスティーラーなどのマルウェア感染

3. パスワードの使い回しによるリスト型攻撃

4. 認証設定や利用環境の不備

それぞれの原因について詳しくみていきましょう。

1.フィッシング詐欺による認証情報の窃取 

フィッシング詐欺とは、証券会社等を装った偽メールやSMSを投資家へ送り、表示されているリンクやURLから偽サイトや偽アプリに誘導してログインIDやパスワード等の個人情報を入力させる手口です。

偽メールの文面や偽サイトの完成度は年々高くなっており、以下のようなパターンには注意が必要です。

• 本人確認やパスワード更新といった手続きを装うもの

• 不正ログインや口座凍結といった文言で不安をあおるもの

見た目だけで真偽を判断することが難しくなっています。

2.インフォスティーラーなどのマルウェア感染

情報窃取型マルウェアであるインフォスティーラーへの感染も証券口座の乗っ取りの原因の一つです。

インフォスティーラーとは、不審なサイトやソフトウェアを経由して端末に侵入し、ブラウザに保存されたIDやパスワードなどを盗み出すマルウェアの一種です。

インフォスティーラーに感染すると、証券口座のログイン情報だけでなく、クレジットカードやキャッシュレス決済の暗証番号やパスワードなど、ブラウザに保存されているすべての情報が奪われ、より大きな被害につながるリスクがあります。

偽サイトに情報を入力した覚えがなくても被害に遭うことがあるため、端末側の対策にも注意しましょう。

3.パスワードの使い回しによるリスト型攻撃

複数のサービスで同じIDとパスワードを使い回していることが原因で、証券口座に不正アクセスされることもあるので注意が必要です。

他のサービスから流出した認証情報のリストを使って証券口座へのログインを試みるリスト型攻撃では、証券会社側から情報が漏れていなくても不正ログインが成立することがあります。

また、過去に流出した情報が時間の経過後に悪用される場合もあると指摘されています。

4.認証設定や利用環境の不備  

多要素認証やログイン通知などのセキュリティ機能の設定をしていない、あるいはOSやアプリを更新せず脆弱性を放置しているといった利用環境の不備が証券口座の不正アクセスの原因につながるケースもあります。

認証設定や利用環境に対策の不備があり、IDとパスワードのみでログインできる状態では、認証情報が漏れた時点で乗っ取りが成立してしまいます。

多要素認証でも突破される？規制と認証方式の最新動向

二段階認証を証券口座に設定しているから安心だと考える人も少なくありませんが、2025年に起きた証券口座の乗っ取り被害では多要素認証を突破する手口が確認されました。

ここでは、多要素認証を設定していても突破される仕組みとその後の対策について解説します。

リアルタイムフィッシングの仕組み

リアルタイムフィッシングとは、利用者が偽サイトに入力した認証情報を、攻撃者が即座に悪用して公式サイトへ不正ログインする手口のことです。

多要素認証を対策として設定していても、この手法による被害が拡大しているため、口座の乗っ取りを完全に防げるとは限りません。

リアルタイムフィッシングの具体的な手口として、まず利用者を証券会社などの偽サイトへ誘導し、IDとパスワードを入力させます。

その後、さらに偽のワンタイムパスワード入力画面へ誘導し、利用者がワンタイムパスワードを入力すると、有効時間内に攻撃者が公式サイトへその情報を入力して直ちにセキュリティを突破してしまいます。 

ワンタイムパスワードを利用していても、リアルタイムフィッシングでは突破されるケースがあります。そのため、二段階認証を証券口座に設定している場合も、メールやSMSでの認証手段だけに頼らないことが重要です。

<h3>金融庁や日本証券業協会によるフィッシング耐性認証の必須化</h3>  

証券口座の乗っ取り被害の拡大を受け、金融庁は2025年7月15日に金融商品取引業者等向けの総合的な監督指針等の一部改正案を公表し、以下の実装を求めました。

• 多要素認証の必須化

• フィッシングに耐性のある多要素認証の実装

• ログイン時や取引時の通知機能の実装

さらに金融庁、日本証券業協会および警察庁は、パスキーによる認証等のフィッシング耐性のある新たな認証方式の提供と必須化を、インターネット取引を提供するすべての証券会社に対して要請しました。

パスキーの主要証券会社の導入状況

パスキーとは、FIDO2と呼ばれる技術規格に基づき、端末の生体認証やPINコードを使って本人確認を行う認証方式です。

従来のIDとパスワードによるログインとは仕組みが根本的に異なり、証券口座の乗っ取り対策として有効なフィッシング詐欺への耐性が高い認証方式であるため、証券業界で急速に導入が進んでいます。

大手証券会社ではすでにパスキー認証の必須化が始まっています。

証券会社	対応
楽天証券	2026年6月より順次ログイン時のパスキー認証を必須化
マネックス証券	2026年6月30日をもってログイン時のパスキー認証を必須化
松井証券	2026年6月より順次パスキー登録を必須化

利用している証券会社のパスキー認証がまだ済んでいない場合は、乗っ取り対策としてセキュリティ設定方法を確認しておくことが望ましいでしょう。

証券口座の乗っ取りを確認する3つの方法

証券口座の乗っ取り被害は早く気づくほど被害の拡大を抑えられる可能性があります。

不安を感じたら、まず自分の証券口座の状況を確かめることが大切です。

証券口座が乗っ取られていないか確認する方法は以下の3つです。

1. ログイン履歴を確認する

2. 取引履歴と通知メールを確認する

3. 証券会社のカスタマーサポートに問い合わせる

それぞれの方法を詳しくみていきましょう。

1.ログイン履歴を確認する 

自分の証券口座が乗っ取り被害に遭っていないか調べるには、まずログイン履歴を確認します。

多くの証券会社では、会員ページからログイン日時やアクセス元の情報を確認できます。

身に覚えのない日時のログインや、利用していない端末からのアクセスがあれば、不正アクセスの可能性を疑いましょう。

2.取引履歴と通知メールを確認する

取引履歴と証券会社からの通知メールにより確認する方法もあります。

証券会社から身に覚えのない注文完了メールや出金通知が届いていないか、保有銘柄や残高に不自然な変動があった場合、不正取引が行われた可能性があります。

通知メールは不正アクセスに早く気づくための手がかりになるため、届いたメールは日頃から確認する習慣を付けておきましょう。

3.証券会社のカスタマーサポートに問い合わせる

少しでも不審な点がある場合は、証券会社のカスタマーサポートに問い合わせることも一つの有効な手段です。

カスタマーセンターに連絡すると、必要に応じて証券会社のマイページや取引アプリへのログインや証券口座を一時的に利用停止できます。

自分だけで判断がつかない場合は、早めに相談することで乗っ取り被害拡大の抑制につながると考えられます。

証券口座の乗っ取り被害を防止する7つのセキュリティ対策

証券口座の乗っ取りを防止するには1つの対策だけでは十分とはいえず、複数の対策を組み合わせることが重要と考えられます。したがって、これから紹介する乗っ取りの対策を組み合わせて実施することが有効と考えられます。

今日から実践できるセキュリティ対策は以下の7つです。

1. パスキーなどフィッシング耐性のある認証を設定する

2. 公式アプリとブックマークからのみアクセスする

3. メールやSMSのリンクを開かない

4. パスワードを使い回さず強固なものにする

5. ログイン通知・取引通知を有効にする

6. OSとセキュリティソフトを最新の状態に保つ

7. 公共Wi-Fiでの取引を避ける

それぞれの対策について順番にみていきましょう。

1.パスキーなどフィッシング耐性のある認証を設定する

利用中の証券会社がパスキーを提供している場合は、乗っ取り対策として速やかに設定することが一つのアプローチとして検討できます。

パスキーは登録時に正規サイトのドメインと利用者の端末が紐づけられ、ログインのたびにアクセス先が正規のドメインかどうかを自動的に検証する仕組みです。

そのため、見た目では本物と区別がつかない偽サイトに誘導されても認証自体が開始されず、入力情報を即時に中継するリアルタイムフィッシングに対しても高い耐性があるとされています。

パスキーの導入がまだ段階的な証券会社を利用している場合も、提供され次第早期に切り替えることが対策として有効と考えられます。

2.公式アプリとブックマークからのみアクセスする

金融庁も呼びかけているとおり、証券会社のサイトへは事前にブックマーク登録した正規URLか公式アプリからのみアクセスする習慣をつけることも効果的でしょう。これも証券口座を守る対策の一つです。

証券会社名を検索して公式サイトにアクセスする方法では、検索結果の上位に偽サイトが表示され、誤ってアクセスしてしまうリスクがあります。

アクセス経路をブックマークと公式アプリに限定しておけば、こうした乗っ取りのリスクを避けられます。

3.メールやSMSのリンクを開かない

証券口座を持っている証券会社からのメールやSMSであっても、メッセージに掲載されたリンクを開かないようにしましょう。

本当に証券会社からの連絡か確かめたい場合は、メールのリンクをクリックするのではなく、証券会社の公式サイトや公式アプリから直接ログインして通知を確認する方法が安全な対策です。

4.パスワードを使い回さず強固なものにする

パスワードは証券口座専用のものを設定し、他のサービスのパスワードを使い回すことは避けましょう。

1つでもパスワードが流出すれば、他のオンラインサービスや金融サービスに不正アクセスされるリスクがあります。

また、パスワードを設定する際、誕生日や簡単すぎる数字の羅列（1111111や123456など）などシンプルすぎる設定は避けましょう。

ただし、長く複雑なパスワードを設定した場合、覚えることが難しいため、パスワード管理ツールなどを活用することが選択肢となります。

5.ログイン通知・取引通知を有効にする

不正アクセスの早期発見には通知機能が役立ちます。ログインや取引、出金があった際にメール等で通知を受け取れるよう設定しておけば、身に覚えのない操作にすぐ気づくことができ、初動を早められます。

6.OSとセキュリティソフトを最新の状態に保つ

インフォスティーラーなどのマルウェア対策として、端末側の防御も重要となります。

パソコンやスマートフォンのOS等を最新の状態にしておくとともに、マルウェア対策ソフトを導入し、常に最新の状態に更新することが有効な対策とされています。

7.公共Wi-Fiでの取引を避ける 

通信内容を傍受されるリスクを避けるため、公共Wi-Fiなど安全性が確認できないネットワークからのログインや取引を控えることも証券口座を守る対策につながります。取引は自宅の回線やモバイル回線など、信頼できるネットワーク環境から利用することが望ましいでしょう。

証券口座の乗っ取り被害に遭った場合の対処法と補償内容

万が一証券口座の乗っ取り被害に気づいたら、初動の速さが重要です。まず証券会社に連絡して証券口座の一時利用停止を依頼し、不正取引の日時や内容をスクリーンショット等で記録した上で、パスワードを変更する対策が考えられます。

使い回していたパスワードがあれば他のサービスも含めて変更し、警察のサイバー犯罪相談窓口へ相談する方法もあります。

補償については、日本証券業協会が大手証券やネット証券の10社と協議を実施し、各社の約款等の定めに関わらず一定の被害補償を行う方針とすることを申し合わせています。

ただし利用者側のセキュリティ対策の設定状況が考慮される場合もあるため、日頃から乗っ取り対策を講じておくことが結果的に自身を守ることにつながるでしょう。

証券口座の乗っ取りに関するよくある質問

証券口座の乗っ取りについては、対策を進めるなかで新たな疑問が生じることも少なくありません。ここでは、パスキーの限界や被害時の補償など、多くの方が気にされる点をまとめました。

パスキーを設定していれば乗っ取りは完全に防げますか？

パスキーはフィッシング耐性の高い認証方式ですが、端末の紛失や盗難、パスキーを同期しているGoogleアカウントやApple IDの乗っ取りといった経路が残るため、証券口座の乗っ取りを完全に防げるとは限りません。パスキーの設定に加えて、端末のロック設定や連携アカウントの保護もあわせて対策を見直しておきましょう。

乗っ取りの被害に遭った場合、損失は補償されますか？

補償の可否や割合は各社の判断や個別の状況によって異なります。詳細は利用中の証券会社の補償方針をご確認ください。

FX口座など証券以外のオンライン金融サービスでも同じ対策が必要ですか？

フィッシング詐欺やマルウェアによる認証情報の窃取は、証券口座に限らずFX口座や銀行口座など、オンラインの金融サービス全般に共通する脅威です。多要素認証の設定、パスワードの専用化、公式サイトやアプリからのアクセスといった対策は、オンラインで金融取引を行うすべての口座で実践することが望ましいと考えられます。

証券口座を乗っ取りから守るために早めに対策をしよう

証券口座の乗っ取りは、フィッシング詐欺やマルウェアによる認証情報の窃取を主な原因として、2025年に年間約7,393億円規模の不正取引が発生した問題です。証券業界ではパスキーをはじめとするフィッシング耐性のある認証の必須化が進んでおり、乗っ取りの被害は減少傾向にあるものの、手口の巧妙化は続いています。

優先度が高い証券口座の乗っ取り対策は、パスキーの設定や証券会社の公式サイトへのアクセス方法を登録したブックマークや公式アプリに限定する、メールやSMSのリンクからはログインしないといった方法です。

現段階で対策漏れがある場合は、設定状況を確認し、必要に応じて見直しを行うことが重要です。

レバレッジ取引は元本以上の損失につながる可能性があります。取引を行う際は、リスクを十分にご理解ください。FXGTでは、取引商品に応じて異なるレバレッジが設定されています。最大レバレッジは5,000倍です。取引は各商品の規定に応じた金額や数量から行えます。