証券会社「補償はできません」…NISA資産1,200万円の38歳会社員、不正ログイン被害で資産が消えたのに、“補償ゼロ”。泣き寝入りになったワケ【経済産業省高度情報処理技術者が警鐘】

最近、FX自動売買ツールのログイン情報が窃取・悪用され多額の損失を被る事件が話題となっていますが、新NISAや株式投資で利用される大手ネット証券各社（SBI証券、楽天証券、マネックス証券、松井証券など）においても、フィッシング詐欺やID・パスワードの使い回しを狙った「口座乗っ取り・不正取引」の被害が相次いで確認されています。 PHPをはじめとするプログラムの脆弱性を悪用したサーバー攻撃が頻発しており、認証情報が窃取・悪用されるケースも。こうした手口による口座乗っ取りでは、相場操縦を目的とした不正買付などによる多額の損失が懸念される一方、「利用者側」に過失責任が問われる傾向も強まっています。本記事では、サイバー攻撃がもたらす資産運用のリスクと補償のボーダーライン、万が一の被害を防ぐための具体的な防衛策について、経済産業省・高度情報処理技術者である川淵ゆかりFPが解説します。※本記事に掲載している事例は、プライバシー保護および情報の一般化のため、実際の相談事例をベースに一部の数値や設定を変更・再構成したものです。

（※写真はイメージです／PIXTA）

補償の対象外と判断されるリスクを抑えるために

万が一被害に遭った場合に、利用者側の管理上の問題を理由として補償の対象外と判断されるリスクを下げ、なにより、不正アクセスを未然に防ぐために、いまからできる対策を実行しましょう。

1．パスワードマネージャーを活用する

人が記憶しやすいパスワードは、誕生日や電話番号、好きな言葉などを手がかりに推測されたり、別のサービスから漏れたパスワードを使い回されたりするリスクがあります。

パスワードマネージャーを活用し、サービスごとに、長く、推測されにくい固有のパスワードを自動生成・保存する運用に切り替えましょう。証券口座だけでなく、登録メールアドレスや資産管理アプリでも、同じパスワードを使わないことが重要です。IPAも、パスワードを長く複雑にし、サービス間で使い回さない対策を勧めています^（※1）。

パスワードマネージャーを利用する場合は、マスターパスワードをほかのサービスと共用しないこと、二要素認証を設定できる場合は有効にすることも忘れずに行ってください。

なお、パスワードを個別に管理し、多要素認証などのセキュリティ対策を講じたことが、補償を必ず受けられることを意味するわけではありません。補償の可否や範囲は、不正アクセスの経緯、利用者側の管理状況、証券会社側の対策、被害発覚後の対応などを踏まえ、個別に判断されます。

2．多要素認証はパスキーなどを優先する

多要素認証を設定する場合は、SMSによる認証だけに頼らず、サービスが対応していれば、パスキーや認証アプリ、物理セキュリティキーなど、フィッシングに強い方式を優先したいところです。

SMS認証は有効な防御手段の一つですが、電話番号の乗っ取りを伴うSIMスワップや、リアルタイムフィッシングによって認証コードを盗み取られる可能性もあります。一方、パスキーはパスワードを使わず、生体認証や端末のロック解除機能などを利用する仕組みで、フィッシングやSIMスワップへの耐性が期待されているからです。

3．取引通知・ログイン通知をすぐ確認できる状態にする

ログインや注文、出金、登録情報の変更などが行われた際に、メールやアプリで通知を受け取れる設定にしておきましょう。身に覚えのない通知に早く気づけば、証券会社への連絡、取引の停止、口座の保護など、被害の拡大を抑えるための対応を早められます。通知を受け取った場合は、メールやSMSに記載されたリンクからではなく、ブックマークや公式アプリから証券会社のサイトにアクセスして確認することが大切です。

金融庁も、通知サービスの活用と、正規のアプリやブックマークからのアクセスを呼びかけています。身に覚えのないログインや取引に気づいたら、証券会社へ速やかに連絡し、必要な手続きを確認しましょう。補償の可否や範囲は、被害発覚後の連絡時期、利用者側の認証情報の管理状況、証券会社側の対策などを踏まえて個別に判断されます。したがって、「何日以内なら必ず補償される」と一律に考えるのではなく、各社の約款や案内を平時から確認しておくことが重要です。

なお、身に覚えのないログインや取引を発見した場合は、メールやSMSのリンクではなく、公式アプリやブックマークから証券会社へ速やかに連絡し、必要な利用停止や口座保護の手続きを確認しましょう。あわせて、取引履歴やログイン通知、金融機関とのやりとりなどの記録を保存し、警察にも相談しておくと安心です。