memStock LifeStyle

証券口座、パスキーで防げないのは？

くらしの安全・お金memStock編集部
証券口座、パスキーで防げないのは？

証券口座の不正アクセス対策とは、ログインや出金時の認証を、証券会社が提供していればフィッシング耐性のある多要素認証に切り替えて「防ぐ」設定と、取引やログインの通知で異変を早く知る「気づく」設定の二段構えを指します。2026年10月には証券会社の委託先のシステムが不正アクセスを受け、7口座で顧客の意図しない注文が出たと公表されました。事業者側の侵入を利用者の認証で防げるかは公表資料で確かめられないため、家族名義の口座にも両方を設定しておきます。

パスキーで防げる経路と防げない経路

パスキーが強いのは偽のサイトに誘導されてログイン情報を入力してしまう、フィッシングの経路です。一方、証券会社やその委託先のシステムへの侵入までパスキーで防げるとする公的資料は、今回確認できませんでした。

日本証券業協会はパスキーによる認証を、公開鍵暗号方式を使う「フィッシングに耐性のあるオンライン認証方式」と説明しています。2026年3月の投資家向けの案内では、利用する証券会社がパスキー等を提供しているなら速やかに切り替えるよう求めました。金融庁も2026年4月、金融機関や警察庁と連携して、フィッシング耐性のある多要素認証を周知する広報を始めています。

業界のルールも同じ方向に動きました。日本証券業協会の改正ガイドラインはログイン時、出金時、出金先銀行口座の変更時などの重要な操作で、フィッシング耐性のある多要素認証を必須にしています。施行は2025年10月15日ですが、同日までの対応完了を各社に一律には求めておらず、段階的な導入もあり得るとされています。2026年10月時点の各社の対応状況は今回確認できていないため、自分の証券会社の案内で確かめます。

残る経路もあります。スマホやパソコンがマルウェア（不正なプログラム）に感染した場合にパスキーがどこまで守れるかは、今回確認した公的資料からは判断できませんでした。国内で相次ぐ不正アクセスについて、JPCERT/CCも把握している情報は「限定的かつ断片的」だとしています。

2026年10月に何が起きたか

岩井コスモ証券では証券会社の委託先のシステムが侵入を受け、お名前.com デスクトップクラウドでは利用者が契約したサーバー環境に不正なプログラムが置かれました。同じ月の事案でも、侵入を受けた場所が違います。

岩井コスモ証券 お名前.com デスクトップクラウド
侵入を受けた場所 委託先トレードワークスのシステム 一部の利用者のサーバー環境
公表 第1報 10月16日、第2報 10月20日 10月21日、第4報 10月24日
取引への影響 7口座で意図しない注文、うち5口座で約定 身に覚えのない取引の報告あり
会社の対応 対象口座を取引前の状態に戻す措置を完了 本件に起因すると認めた不正取引の実現損失を補償

岩井コスモ証券は2026年10月14日に不正アクセスを検知し、16日に委託先のトレードワークスのシステムが第三者の不正アクセスを受けたと公表しました。20日の第2報では、情報漏えいの対象が4,975名に増えています。漏えいした情報に取引暗証番号は含まれず、今回の不正取引は漏えいした個人情報を使ったものではないと会社は説明しました。利用者のパスキーが破られたという記述は、公表文にありません。

お名前.com デスクトップクラウドでは10月20日、一部の利用者のサーバー環境で不正なプログラムが確認されました。運営するGMOインターネットは24日の第4報で、利用者の情報が外部に持ち出されたことを確認し、身に覚えのない取引の報告があったと公表しています。利用者にはサーバー内の認証情報の変更と、同じパスワードを他のサービスで使っている場合の変更を求めました。

表の「会社の対応」はどちらもその事案に限った内容で、ほかの会社や今後の事案で同じ扱いになるとは限りません。金融庁は10月9日、委託先など外部の事業者に関わるリスク（サードパーティーリスク）を含めて対策を点検するよう、金融機関等に求めました。事業者向けの注意喚起で、利用者が何かを操作する指示ではありません。

家族名義の口座で今日設定する3つ

証券会社が提供していれば認証をパスキー等に切り替える、機能があれば取引とログインの通知を受け取る、出金と出金先変更の認証を確かめる、の3つです。設定する端末の決まりは確認できなかったため、ここでは名義人本人が設定し、家族は横で手順を確かめる形で書きます。

対策 誰が設定するか 主に備える経路 2026年10月の事案との関係
パスキーへの切り替え 名義人本人 偽サイトでのログイン情報の入力 委託先システムへの侵入まで防げるとは確認されていない
取引・ログインの通知 名義人本人（通知先も本人） 防ぐのでなく、覚えのない注文やログインに気づく 事業者側の侵入で通知が届くかは会社の仕組みによる
出金・出金先変更の認証 名義人本人 乗っ取られた口座からの出金 ガイドラインで強い認証が必須の操作
パスワードを使い回さない 家族それぞれ 他のサービスから漏れたパスワードの流用 お名前.comは使い回し先の変更も求めた
メールのリンクからログインしない 家族全員 偽メールから偽サイトへの誘導 漏えいを口実にした偽メールへの備え

パスキーは証券会社が提供していれば切り替え、設定する場所は各社の案内で確かめます。提供がまだなら、ほかのサービスと同じパスワードを使っていないかを先に見直します。警察庁も2026年10月の「サイバー警察局便り」で、安全なパスワードを使い回さないこと、多要素認証を使うことを呼びかけています。

通知は「防ぐ」でなく「気づく」ための設定です。注文やログインを知らせる機能があるか、名称や設定する場所は今回確認できていないため、各社のヘルプで確認します。出金先の銀行口座を変えるときにどんな認証が求められるかも、同じヘルプで確かめておきます。

家族の証券口座より先に、ログインに使うメールアドレスのパスワードが漏れていないかを見直したいなら、こちらの記事が順番を整理しています。

メールのパスワード漏れ、家族のアカウントも見直す
メールのパスワードが漏れたときは、そのアドレスを登録先にしている家族のアカウントまで見直します。2026年はプロバイダ向けメール基盤から7,616,173名分の…
memStock LifeStyle

通知が来たら何を見るか

通知メールにあるリンクは開かず、自分で開いた公式アプリかブックマークからログインして、注文履歴とログイン履歴に覚えのない記録がないかを見ます。通知そのものが偽物の場合もあるからです。

フィッシング対策協議会は2026年9月分の報告で、受信者の氏名が書かれたフィッシングメールを確認しています。各漏えい事故との関連は不明としつつ、覚えのない内容のリンクには不用意にアクセスしないよう求めました。警察庁も情報流出元の企業をかたる偽メールへの警戒として、「メール内のリンクを安易にクリックしない」と呼びかけています。

履歴に身に覚えのない注文や出金があれば、証券会社の公式サイトにある問い合わせ先の案内に沿って、すぐ会社へ知らせます。同じパスワードを使っていた他のサービスがあれば、そちらも変えます。被害の相談先には警察庁のサイバー事案に関する相談窓口と、金融庁の金融サービス利用者相談室があります。

漏えいの通知メールが届いたとき、どのパスワードから変えるかはこちらの記事で扱っています。

情報漏えい通知、使い回し先も変える
漏えいのお知らせが届いたら、メール内のリンクを安易にクリックせず、流出元の案内で漏れた項目を確かめます。パスワードが含まれていれば、同じパスワードを使い回してい…
memStock LifeStyle

子ども名義・親名義の口座の扱い

家族の操作範囲を定めた公的資料は確認できなかったため、親名義の口座では認証の登録やログインを親本人が行い、子は横で手順を一緒に確かめるところまでにします。子ども名義の口座を親が管理しているなら、認証と通知がどの端末と連絡先に届く設定になっているかを確かめます。

未成年の口座で誰がどこまで操作できるかは今回確認できていないため、口座を開いた会社の案内で確かめます。子ども名義の口座を家族でどう持つかは、こちらの記事で整理しています。

0歳から始められる「こどもNISA」を家族で考える
2027年1月にスタート予定の「こどもNISA」。年60万円・生涯600万円の非課税枠の使い方を、教育費データと家計の優先順位から整理。学資保険・新NISAとの…
memStock LifeStyle

銀行預金について、全国銀行協会は払出しには本人の意思確認が必要で「家族といえども預金者の預金を払い出すことはできない」という基本的な考え方を示しています。各行に一律の対応を求める文書ではありません。親の口座を見守りたいときは、親本人が登録して範囲を決める仕組みから探します。

親のネット口座を、誰のスマホでどう見守るかは同じテーマの記事で扱っています。

親のネット口座、誰のスマホで見守る？
高齢の親のネット口座は、IDを子が預かるより、親のスマホで入出金の通知を受け、親本人が登録する見守りサービスで子が残高を見る形にします。パスキーの登録方法は銀行…
memStock LifeStyle

次に親と会う日があるなら、親のスマホで証券会社のアプリを開いてもらい、ログインの設定にパスキーの選択肢が出てくるかを一緒に見るところから始められます。

出典

すべて2026-10-26に確認。

よくある質問

パスキーや生体認証にしても、証券口座は乗っ取られますか？
パスキーにすると、偽サイトでログイン情報を盗まれて口座を乗っ取られる経路には強くなり、日本証券業協会もフィッシングに耐性がある方式と説明しています。一方、証券会社や委託先のシステムへの侵入までパスキーで防げるとする公的資料は、今回確認できませんでした。2026年10月の岩井コスモ証券の事案でも、利用者のパスキーが破られたという公表はありません。
証券口座の乗っ取りを防ぐには、何をすればいいですか？
証券会社が提供していればログインをパスキーに切り替え、他のサービスとパスワードを使い回さないことです。メール内のリンクからはログインせず、取引やログインの通知機能があれば、異変に気づけるよう設定も加えます。
乗っ取り被害は証券会社側の問題ですか、フィッシングのせいですか？
経路はどちらもあります。利用者がフィッシングでログイン情報を盗まれる経路と、2026年10月の岩井コスモ証券のように委託先のシステムが侵入を受ける経路です。原状回復や補償の扱いは事案と会社ごとに異なります。
パスキーを設定した後にマルウェアに感染したら、口座は守られますか？
今回確認した公的資料からは、端末がマルウェアに感染した場合にパスキーがどこまで守れるかを判断できませんでした。認証だけに頼らず、通知と履歴の確認で早く気づく備えを重ねておきます。
m
この記事を書いた人

memStock編集部

memStock編集部は、家族の豊かな暮らしと家計管理を応援する記事制作チームです。ライフハック・節約・投資・保険など、日常生活とお金に関する実用的な情報を、確かな専門知識と多様な視点から分析・提供しています。読者の皆様が抱える日々の悩みや将来への不安を解消し、ワンランク上の生活を実現するためのヒントが詰まった記事をお届けします。 「家族の暮らしをより豊かに」をモットーに、わかりやすく実践的なコンテンツで皆様の人生設計をサポートします。