新NISAの普及に伴い、スマートフォン一つで手軽に資産管理ができる時代になりました。しかしその利便性の裏で、証券口座を狙った不正アクセスや不正取引のリスクは年々深刻化しています。2026年10月には、Webサービスの土台として世界中で広く使われるプログラミング言語「PHP」において、非常に重大な脆弱性（PHP2shell等）への注意喚起が公表されました。いまや投資家に求められるのは、資産を増やす知識だけではありません。資産を守る知識もまた、欠かせない時代になっています。――ある日突然、身に覚えのないログイン通知とパスワード変更に直面した38歳会社員の事例を通して、個人でできる具体的な防衛策と、国が進める「能動的サイバー防御（ACD）」の最新動向について、経済産業省・高度情報処理技術者である川淵ゆかりFPが解説します。※本記事に掲載している事例は、プライバシー保護および情報の一般化のため、実際の相談事例をベースに一部の数値や設定を変更・再構成したものです。
NISAで満額投資していた38歳独身会社員、資産は「1,200万円」に増えたが…毎日見ていたスマホの残高画面が一変。ある日の“ログイン”に血の気が引いたワケ【経済産業省 高度情報処理技術者が解説】 （※写真はイメージです／PIXTA）

 見えない場所が狙われる…「PHPの脆弱性」が突きつける周辺リスク

証券口座への不正アクセスと聞くと、偽のメールやSMSから誘導されるフィッシング被害やパソコンのウイルス感染に目が向きがちです。もちろんこれらへの対策も重要ですが、サイバーリスクはそれだけではありません。利用者には見えにくい場所で使われているソフトウェアの脆弱性が、サービス全体の安全性を揺るがすこともあります。

 

さらに深刻なのは、利用者側のミスだけが問題ではない点です。サービスを提供するシステム側の弱点が放置されれば、そこがサイバー攻撃の標的になるおそれもあります。

 

2026年10月、情報処理推進機構IPAなどは、Webサイト構築に広く使われているPHPについて、深刻な影響につながりうる脆弱性への注意喚起を行いました。IPAは対策版への更新を呼びかけており、JPCERT/CCも関連する注意喚起を公表しています（※1）。

 

これが意味するのは、証券会社本体が直接攻撃されなくても、個人が利用する周辺の資産管理サービスや情報収集サイトなどで使われているサーバーの弱点が突かれれば、サービス全体の安全性が揺らぐ可能性があるということです。場合によっては、そこで扱われる個人情報や認証情報が、不正アクセスの足がかりとして狙われる展開も否定できません。 

 

Aさんのように、家計や資産をひとまとめに管理するアプリを利用している場合、自分自身が気を付けていても、利用先のWebサービスの見えにくい弱点が不安の火種になりえます。利用者の手元だけでは守り切れないリスクがあることこそ、現代のデジタル資産管理の危うさといえるでしょう。

個人の自衛を超えた脅威…国が推進する「能動的サイバー防御（ACD）」とは？

パスワード管理や多要素認証の設定は大前提です。しかし、PHPのような基幹ソフトウェアの脆弱性を突く攻撃や、金融インフラを揺るがしかねない昨今のサイバー攻撃は、個人の自衛だけで被害を完全に防ぎ切るのは難しくなりつつあります。

 

そこで日本政府も、被害を受けてから対応するだけでなく、重大なサイバー攻撃の兆候を早い段階で捉え、被害の発生や拡大を防ぐ体制づくりを進めています。これが、いわゆる「能動的サイバー防御 （ACD）」と呼ばれる取り組みです（※2）。 

 

関連法が2025年5月16日に成立し、同月23日には公布され、主に次の3本柱で対策が進められています（※3）。

 

1．政府と民間企業の間で攻撃の兆候や関連情報を共有しやすくすること

2．重大な攻撃を早期に察知するため、一定の条件のもとで通信情報を分析すること

3．深刻な攻撃のおそれがある場合には、攻撃元のサーバーなどにアクセスし、被害を防ぐための無害化措置を講じること

 

これはたとえるなら、個人の家の鍵を強化するだけでなく、街全体で不審な動きを早く察知し、被害が出る前に食い止めようとする発想です。証券口座や資産管理アプリのように、暮らしやお金の基盤がデジタルに載る時代ほど、この考え方の重みは増しています。国がACDの導入を本格化させている背景には、個人の資産や社会基盤を狙う脅威が、それだけ深刻になっているということです。