金融庁は11月13日、証券会社などのインターネット取引サービスで起きた不正アクセスと不正取引の件数を、10月分まで加えて更新した。10月の不正取引は139件で、9月の3件から大きく増えた。不正アクセスは168件（9月は43件）、不正取引が起きた証券会社等は10社（同3社）だった。乗っ取られた口座で行われた不正な売却の金額は約48億円、買い付けの金額は約32億円に上った。金融庁は、ログインIDやパスワードが偽サイトで盗まれる被害は「どの証券会社等でも発生し得る」として、利用者に改めて注意を求めている。
10月の不正取引139件、4カ月ぶりに100件超
金融庁の集計は、各証券会社等から報告を受けた件数を、被害が起きた月ごとにまとめたものだ。2026年は1月の不正取引が146件、2月が171件、3月が121件で、4〜6月も月100件余りが続いた。7月に5件へ急減し、8月は25件、9月は3件と少ない月が続いていた。
10月の139件は、6月の104件以来、4カ月ぶりに100件を超えた。2026年の月別では2月の171件、1月の146件に次ぐ多さになる。不正アクセスの168件は6月の171件以来の水準で、不正取引が起きた証券会社等の10社は4月の11社に次ぐ。不正な売却の約48億円は4月の約74億円以来の規模だった。9月の売却額は約2億円、買付額はゼロと記載されていた。
10月は不正アクセス168件に対し、不正取引が139件あった。9月は43件の不正アクセスに対して不正取引は3件で、侵入された口座で実際に売買まで行われた件数の多さが10月の特徴である。金融庁の資料は、10月に件数が増えた理由や、被害が出た証券会社の名前を示していない。
証券口座の不正アクセスと不正取引（2026年4〜10月）（件）
不正アクセス不正取引
数値で見る（単位: 件）
| 項目 | 不正アクセス | 不正取引 |
|---|---|---|
| 4月 | 340 | 101 |
| 5月 | 222 | 106 |
| 6月 | 171 | 104 |
| 7月 | 18 | 5 |
| 8月 | 42 | 25 |
| 9月 | 43 | 3 |
| 10月 | 168 | 139 |
被害の山は2025年4月、累計の売却は約4419億円
金融庁がこの集計を始めた2025年1月以降で、被害が最も大きかったのは2025年4月だった。この月の不正アクセスは5490件、不正取引は3033件、不正な売却は約1625億円、買い付けは約1423億円に上る。2025年1月の不正取引は69件だったが、3月に935件へ増え、4月と5月（2440件）に集中した。不正取引が起きた証券会社等は2025年5月に16社を数えた。
その後は減り、2025年12月の不正取引は116件だった。金融庁の表から2025年の12か月分を合計すると、不正アクセスは1万7718件、不正取引は9861件になる。2026年は10月までで不正アクセス1709件、不正取引921件で、件数の規模は2025年を大きく下回っている。
2025年1月から2026年10月までの合計は、不正アクセスが1万9427件、不正取引が1万782件、不正な売却が約4419億円、買い付けが約3869億円である。
| 月 | 不正取引が起きた社数 | 不正アクセス | 不正取引 | 売却金額 | 買付金額 |
|---|---|---|---|---|---|
| 2025年4月 | 10社 | 5490件 | 3033件 | 約1625億円 | 約1423億円 |
| 2026年4月 | 11社 | 340件 | 101件 | 約74億円 | 約72億円 |
| 2026年9月 | 3社 | 43件 | 3件 | 約2億円 | 0 |
| 2026年10月 | 10社 | 168件 | 139件 | 約48億円 | 約32億円 |
数字は暫定値、金額は損失額と一致しない
金融庁は数値の読み方に3つの注意を付けている。まず、件数は現時点で各社から報告を受けた発生日ベースの暫定値で、まだ判明していない不正アクセスや不正取引がある可能性がある。10月分を含め、今後の更新で数字が変わることがある。
次に、売却金額と買付金額は、被害口座の中で行われた不正取引の金額を足し合わせたものだ。同じ口座で不正な取引が繰り返された場合、売買の金額は積み上がる。
3つ目は手口と損失の関係である。金融庁によると、不正取引の多くは、不正行為者が乗っ取った口座を勝手に操作して株式などを売り、その売却代金で国内外の小型株などを買い付けるものだ。被害口座には、買い付けられた小型株などが残る。表の金額は不正な売買の代金の総額で、不正取引によって顧客に生じた損失額とは一致しない。売却額の約48億円がそのまま利用者の損失になったわけではない。
手口は「リアルタイムフィッシング」、対策はパスキー
日本証券業協会（日証協）によると、不正アクセスの主な手口は、証券会社を装った偽のメールやSMS（ショートメッセージ）で偽サイトや偽アプリへ誘導し、ログインIDやパスワードを入力させて盗むものだ。被害が広がっているのは「リアルタイムフィッシング」と呼ばれる手口で、利用者が偽サイトにIDとパスワードを入れると、さらに偽のワンタイムパスワード入力画面へ誘導する。入力されたワンタイムパスワードはすぐに悪用され、本物の証券会社のサイトから口座が乗っ取られる。
対策として日証協は、金融庁、日証協、警察庁が、フィッシングに耐性のある認証方式（パスキーによる認証など）の提供と必須化を、インターネット取引を提供するすべての証券会社に要請してきたと説明する。その結果、多くの証券会社で新しい認証方式の提供と必須化が進みつつあるという。パスキーは公開鍵暗号の仕組みを使う認証方式で、日証協は、ワンタイムパスワードなど従来の多要素認証と比べてもフィッシングに耐性があるとしている。米国のサイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）も、パスキーを「フィッシング耐性のある多要素認証」として扱っていると説明する。
金融庁は、フィッシング耐性のある多要素認証の導入などを盛り込んだ監督指針と事務ガイドラインの改正を進めている。2026年4月16日には、銀行、信用金庫、信用組合、労働金庫、証券会社と金融庁、警察庁が共同で、フィッシングへの注意とフィッシング耐性のある多要素認証を説明するチラシと動画を作ったと公表し、11月6日に内容を更新した。偽サイトの道具を売る闇市場への対策は国際的にも進んでおり、警察庁とマイクロソフトの連携はフィッシングの闇市場「YAM Store」停止 日本狙う偽サイトの道具、警察庁・マイクロソフト連携で伝えた。
利用者に求められる4つの備え
金融庁は、ネット取引を使うすべての人に次の点を求めている。
1つ目は、証券会社のサイトへは、あらかじめブックマークに登録した正しいURLから入ることだ。メールやSMSのリンクからはログインしない。2つ目は、各社が用意するセキュリティ機能を有効にすることで、ログイン時、取引時、出金時、出金先の銀行口座を変えるときの多要素認証や、取引の通知サービスを挙げている。利用する証券会社がパスキー認証などを提供し始めたら、速やかに設定するよう求めている。
3つ目は、口座の状況をこまめに確かめることだ。不審なサイトに情報を入れたおそれがあるときや、身に覚えのない取引が心配なときは、証券会社の問い合わせ窓口に連絡し、すぐにパスワードなどを変える。4つ目として、マルウェア（ウイルスなど）による情報の盗み取りを防ぐため、パソコンやスマートフォンの基本ソフト（OS）を最新に保ち、対策ソフトを入れて更新し続けることを挙げた。
日証協は、パスキーをクラウド上にバックアップする場合、AppleやGoogleのアカウントにも多要素認証を設定するなど厳重に管理するよう呼びかけている。口座で不審な点に気づいたときは、証券会社の窓口への確認に加え、警察への相談も求めている。金融庁は金融サービス利用者相談室でも相談を受けている。不正アクセスをめぐる国内の検挙の状況はサイバー犯罪の検挙1万5108件で過去最多 5年で2899件増 不正アクセスで検挙された248人のうち81人は14〜19歳 令和8年版警察白書にまとめている。