フィッシュです🐟
証券口座の乗っ取り対策は、FIREを目指す人にとって「増やす」と同じくらい大事な仕事です。何年もかけて積み上げた資産も、ログインを乗っ取られたら一瞬で売られてしまいます。この記事では、乗っ取りの手口と、今日からできる5つの対策をまとめます。
先に結論です。いちばん効くのは「パスキーに切り替える」と「メールやSMSのリンクからログインしない」の2つ。どちらも10分あれば終わります。
目次
証券口座の乗っ取り、今どうなっている？
2025年から相次いだ証券口座の乗っ取りは、2025年1月から2026年9月までで不正アクセスが約1万9,000件、不正取引が1万件を超えました。件数は落ち着いてきたものの、2026年9月にも約2億円の不正売買が起きています。
2026年10月には、企業からの情報漏えいも続きました。
- ソースネクスト：不正アクセスで、最大約2,250万件の会員情報が流出した可能性（ログイン用パスワードも対象）
- 大和証券・内藤証券：委託先への不正アクセスで、顧客情報が漏れた可能性（不正な取引は確認されていない）
会社からの情報漏えいは、僕たちにはどうにもできません。でも、口座の乗っ取りは、自分の設定でかなり防げます。
乗っ取りの手口は「リアルタイムフィッシング」
最近の乗っ取りで多いのは、偽サイトに入力させたIDとパスワード、ワンタイムパスワードを、犯人がその場で使ってしまう手口です。
ポイントは、ワンタイムパスワードを使っていても防げないことです。入力した瞬間に犯人がそれを使うので、SMSのコードも認証アプリのコードも、偽サイトに入力してしまえば意味がありません。
また、AppleやGoogleのアカウントが乗っ取られ、そこから証券口座に入られたケースも報道されています。スマホのアカウントも、お金の入口のひとつです。
ログイン方法ごとの強さを比べる
| ログイン方法 | 偽サイトへの強さ | ひとこと |
|---|---|---|
| パスワードだけ | ✕ | 盗まれたら終わり |
| SMSのコード | △ | 偽サイトに入力すると、その場で使われる |
| 認証アプリのコード | △ | SMSよりは安全。ただし偽サイトに入力すれば同じ |
| パスキー | ◎ | 本物のサイトでしか使えないので、偽サイトでは働かない |
パスキーは、スマホの顔認証や指紋認証でログインする仕組みです。パスワードを入力しないので、偽サイトに「入力して盗まれる」ということが起きにくくなります。大手のネット証券を中心に、対応する会社が増えています。
証券口座の乗っ取り対策5つ
1. パスキーに切り替える
使っている証券会社がパスキーに対応していれば、まずこれです。設定は、各社のアプリやサイトのログイン設定から数分でできます。
2. パスワードはサービスごとに変える
同じパスワードを使い回していると、1か所の漏えいで全部の口座が危なくなります。ソースネクストの件のようにパスワードごと漏れることもあるので、パスワード管理アプリを使って、全部違うものにしておきましょう。
3. 2段階認証は、SMSより認証アプリ
パスキーに対応していないサービスでは、2段階認証をオンにします。選べるなら、SMSより認証アプリのほうが乗っ取りに強いとされています。
4. メールやSMSのリンクからログインしない
「不審なログインがありました」「本人確認が必要です」といった連絡は、偽物の入口になりがちです。リンクは押さず、ログインはいつもアプリかブックマークから。これだけで、リアルタイムフィッシングの入口をほぼふさげます。
5. お金を1か所に置かない
証券口座、銀行、仮想通貨の取引所などに分けておけば、どこか1つに何かあっても全部は消えません。投資先と同じで、置き場所も分散です。
🐟 フィッシュの場合
僕は、パスキー・1Password・認証アプリ（Google Authenticatorのようなもの）を使っています。資産は、仮想通貨の取引所、自分のウォレット、証券口座、銀行口座に分けています。
それでも、被害がゼロだったわけではありません。DeFi（分散型金融）のプロトコルがハッキングされたときは、僕のウォレットは無事でしたが、預けていた先がやられて約4,000ドルを失いました。クレジットカードを不正に使われ、Googleの広告サービスに約6万円分使われたこともあります。それからは、カードの明細をこまめに見るようにしています。
仮想通貨の取引所で、追加でやること
仮想通貨は、一度送られると取り戻すのがとても難しい資産です。取引所では、証券口座の対策に加えて次の2つもやっておきましょう。
- 出金先のアドレスを登録制にする：取引所によっては、事前に登録したアドレスにしか送金できない設定があります
- 1つの取引所に全部置かない：取引所そのものが狙われることもあります
ハードウェアウォレットもよく勧められますが、僕は手間に見合うメリットを感じず、使うのをやめました。合う人もいると思いますが、まずは上の基本を固めるのが先だと考えています。
もし乗っ取られたら、すぐにやること
- その会社のサポートにすぐ連絡する：取引や出金を止めてもらう
- パスワードを変える：同じパスワードを使っているほかのサービスも全部
- クレジットカードなら、カード会社に連絡して止めてもらう
- 警察に相談する：各都道府県警のサイバー犯罪相談窓口へ
「自分のミスかも」と後回しにしがちですが、時間がたつほど被害は広がります。気づいたら、すぐに動きましょう。
よくある質問
Q: ワンタイムパスワードを使っていれば安全ですか？
A: 安全とは言い切れません。偽サイトに入力してしまうと、犯人がその場で使えるからです。パスキーが使えるなら、パスキーに切り替えるのがおすすめです。
Q: 情報漏えいの対象になったら、何をすればいいですか？
A: まず、そのサービスのパスワードを変えましょう。同じパスワードをほかで使っていれば、そちらも変えます。漏えいを装った偽メールも届きやすくなるので、メールのリンクからはログインしないようにしてください。
Q: 証券口座の乗っ取りで売られた株は、補償されますか？
A: 証券会社によって対応が違います。不安な人は、使っている証券会社の補償方針を確認しておきましょう。
FIREは、何年も積み立ててやっと届くゴールです。増やすのと同じくらい、守ることも大事にしていきましょう。仮想通貨を資産の何割にするかも、守り方のひとつです。暴落したときの影響は「FIREするなら仮想通貨は何割まで？」で計算しています。
一緒に泳いでいきましょう。フィッシュでした。🐟
執筆者：フィッシュ
会社員（データサイエンティスト・AIエンジニア）として働きながら、FIREを目指す個人投資家。新NISA・米国株・仮想通貨・為替の動きを見ながら、資産形成の実践記録を正直に発信中。相場に振り回されず、淡々と資産を積み上げる方法を考えています。
※本記事は情報提供を目的としており、特定の金融商品やサービスを推奨するものではありません。セキュリティの設定方法や補償の内容は、各社の公式サイトでご確認ください。情報は2026年10月時点のものです。