トップQs
タイムライン
チャット
視点
証券口座乗っ取り事件
2025年の日本のインターネット犯罪 ウィキペディアから
Remove ads
証券口座乗っ取り事件（しょうけんこうざのっとりじけん）とは、2025年に発覚した、日本の証券会社の顧客の口座が不正アクセスされ、その口座で不正な株式取引が行われた事件である。
 | このページ名「証券口座乗っ取り事件」は暫定的なものです。（2025年5月） |
概要
何者かが実在する証券会社を装ったフィッシングサイト等で窃取したとみられるログインIDやパスワードによる、インターネット上での不正アクセスを行い、不正アクセスした口座を勝手に操作して口座内の株式等を売却し、その売却代金で相場操縦とみられる目的で他の株式を買い付けた不正取引および事件である。警視庁が不正アクセス禁止法違反および金融商品取引法違反（相場操縦）の疑いで捜査を行っている[2][3]。
金融庁が各証券会社から受けた報告によると、2025年1月から6月までに、不正アクセス件数12,758件、不正取引件数7,139件、不正取引による売却金額約3044億円、買付金額約2666億円といった被害が確認されている[1]。なお、不正取引の複数の被害者がマスコミの取材に対してフィッシングの被害について否定的な見解を示す証言をしており、SNSではマルウェア感染などの別の可能性を指摘する声が上がり[4]、コンピュータウイルスによる個人情報の抜き取りが行われたとの見方をする専門家もいる[5]。マクニカは各種メディアにて、情報窃取に特化したマルウエア「インフォスティーラー (en:Infostealer)」[6]が用いられた可能性を指摘している[7][8][9][10]。
Remove ads
犯人像に対する推測
容疑者が逮捕されていないため、犯人像については明らかになっていないが、日本国外の犯罪組織の関与を指摘する意見が多数存在している。
犯罪ジャーナリストの多田文明は海外の犯罪グループが、国内の犯罪グループと手を組んでやったのではないかとの見方を示している[11]、週刊文春は、警察当局は海外もからんだ組織犯罪との見方を強めていると報じ、中国系の犯罪グループが関与している可能性を指摘した[12]。
証券会社の偽サイトを分析すると、プログラムの一部に運送会社の偽サイトに使われていたことを示す文字列が確認され、過去の偽サイトを転用していた可能性が指摘されている。プログラムには中国語の表示も確認された[10]。SNSの分析によると、中国語を話す人物による攻撃が増えていて、東南アジアに潜伏して活動しているとの見方がある[10]。
犯罪グループが闇サイトで口座情報を買い取るなどしたとの見方があり、マクニカの調査によると、ダークウェブに少なくとも約14万件の日本の証券口座の認証情報が掲載されていたことが確認されたと朝日新聞が報じている[13]。
東京都立大学教授の星周一郎はミャンマーで活動していた中国系特殊詐欺犯罪集団で働かされていた外国人が解放され始め、闇バイトのかけ子をしていた日本人が検挙されたタイミングと重なることを指摘し、ミャンマーを拠点とする中国系特殊詐欺犯罪集団による犯行ではないかとの見方を示している[14]。
5月30日、日本経済新聞は不正アクセスの発信元は中国だった疑いが強いことが複数の関係者への取材で分かったと報じた[2]。同日、警視庁は、警察庁サイバー特別捜査部[15]や証券取引等監視委員会[16]とも連携し、不正アクセス禁止法違反や金融商品取引法違反（相場操縦）の疑いで捜査を開始した[3]。
Remove ads
日本国外での類似事例
香港やマレーシアでも同様の手口と見られる不正アクセスと相場操縦事件が起きており、香港では2024年10月から11月にかけてハッキングされた証券口座を通して大量の買い付けが行われたことが確認されている[17]。
事件発覚の経緯
2025年3月、楽天証券の一部利用者が保有していた株式を勝手に売却され、中国株を買われる不正取引が多発したことがきっかけで発覚した[4]。3月21日、楽天証券はフィッシング詐欺によると見られる被害が相次いでいると公表[18]、利用者に向けた注意喚起と中国株11銘柄の買い注文を停止した[4]。3月25日、楽天証券は買い注文を停止した中国株を582銘柄に拡大した[19]。
3月26日以降、楽天証券とSBI証券が中国株の買付注文を停止したタイミングで、日本の株価が100円から200円程度の小型株の株価が不自然な乱高下を繰り返すようになったと東洋経済オンラインが報道している[20]。犯罪グループは大量に買い付けて相場をつり上げ、高値で売りつけたと見られている。また、不自然な値動きをした銘柄は100を超えると見られている[21]。
不正取引が確認された証券会社
2025年4月30日現在、SMBC日興証券、SBI証券、大和証券、野村證券、松井証券、マネックス証券、三菱UFJ eスマート証券、三菱UFJモルガン・スタンレー証券、楽天証券の9社[22]だったが、みずほ証券でも5月13日にも不正なログインによる取引が確認され、不正アクセスが確認された証券会社は10社となった[23]。5月16日までに、岩井コスモ証券、岡三証券、GMOクリック証券でも不正ログインによる取引が確認されている[24]。
5月28日までに、IG証券、SBIネオトレード証券、立花証券、内藤証券でも不正取引による被害が確認され、被害が確認された証券会社は17社となった[25]。翌5月29日、IG証券では被害は発生しておらず[26]、日本証券業協会は被害総数を16社へ訂正した[27]。
6月30日、インタラクティブ・ブローカーズ証券での被害が報じられ、被害総数は17社となった[28]。
Remove ads
証券会社の対応
要約
視点
ログイン時多要素認証の必須化
2020年9月にSBI証券で発生した不正送金事件[29]を機に、日本の証券会社各社は、証券口座から預金口座への「出金（送金）」に対しては多要素認証や郵送手続きを求める等の、一定のセキュリティ対策を講じていた[30]。一方で、証券口座自体へのログインに対する多要素認証導入は利用者の任意であった[31]。これは、利用者の中には簡便さを重視し複雑な方式を望まない者もおり、証券会社は顧客離れを懸念し[32]、全利用者への必須化までは踏み切れなかったものとされる[33][34]。しかし本件事件を受け、2025年4月25日、日本証券業協会は、証券会社58社がログインにおいて多要素認証を順次必須化すると発表した[35][36]。同年5月29日までに、ログイン時多要素認証必須化を決定した証券会社は76社へ拡大している[37]。
- 2025年
- 5月26日、三菱UFJモルガン・スタンレー証券が、ログイン時多要素認証必須化を開始[38]
- 5月27日、三菱UFJ eスマート証券が、ログイン時多要素認証必須化を開始[39]
- 5月30日、マネックス証券が、ログイン時多要素認証必須化を開始[40]。合わせて、自身の意思で多要素認証を解除した顧客に対する不正アクセス被害は免責とする約款改定を実施[41]
- 5月31日、SBI証券が、ログイン時多要素認証必須化を開始[42]。合わせて、自身の意思で多要素認証を解除した顧客に対する不正アクセス被害は免責とする約款改定を実施[43]
- 5月31日、松井証券が、ログイン時多要素認証必須化を開始[44]
- 6月1日、楽天証券が、ログイン時多要素認証必須化を開始[45]。合わせて、自身の意思で多要素認証を解除した顧客に対する不正アクセス被害は免責とする約款改定を実施[46]
- 6月上旬、SMBC日興証券が、ログイン時多要素認証必須化を開始（適用開始日は顧客によって異なる）[47]
- 7月6日、大和証券が、ログイン時多要素認証必須化を開始[48][49]。合わせて、自身の意思で多要素認証を解除した顧客に対する不正アクセス被害は免責とする約款改定を実施[50]
- 7月7日、みずほ証券が、ログイン時多要素認証必須化を開始[51][52]
上掲の各社が必須化した多要素認証は、その多くが電子メールやショートメッセージサービス (SMS) を用いたワンタイムパスワード方式である。この方式はリアルタイム型フィッシングでは突破されるとされ、パスキー等の生体認証を用いた多要素認証が望ましい[53][54]。
このような状況下、日本証券業協会は、ログイン時や出金時に生体認証等を必須とするようガイドラインを改訂する[55]。7月15日、「インターネット取引における不正アクセス等防止に向けたガイドライン」の改正案を公表した[56][57][58]。
日証協が発表したガイドラインでは、多要素認証の中でもフィッシング詐欺に耐性のある方式を求めている（ログイン・出金・出金先口座の変更では『必須』。取引時は『推奨』）。具体的には、パスキー、公開鍵基盤を用いた実装を求めている[59]。同日発表の金融庁監督指針と同水準の内容となっている（ #政府機関の対応 を参照）[60]。またフィッシングメール対策として自社のメールシステムへDMARCを導入し、検証失敗時のポリシーは「拒否 (reject) 」とすることを求めている（必須）。また自社が発信する電子メールについてはBIMI (en:Brand Indicators for Message Identification) を用いた公式アイコンの表示を推奨している[61]。
被害補償
証券会社による被害補償動向の概要
一連の不正利用に関し、当初、証券会社各社は下記の各点を理由に顧客への被害補償には消極的であった[62]。
- 証券会社側システムに過失が無く、正規のID・パスワードを用いたログインは本人からのものであるとみなす旨が規約に明記されている。オンライン取引利用者は、開始時に必ず同規約へ同意している
- そのため仮に被害補償を実施する場合も規約を超えた対応になり、証券会社が加入している損害保険が適用できない（損害保険会社からは、規約外で証券会社が自主判断によって実施したものとみなされる）。補償費用が証券会社側の純粋な持ち出しになってしまい、「経営陣の判断によって会社資産を棄損させた」とも解釈され、株主への説明責任が生じ株主代表訴訟のリスクがある
- 正規の売買と不正取引の区別が困難である。従って被害額・補償額が算定できない
- 証券業界の過去の各種事件[63][64]の経緯により、証券会社から顧客への損失補填は厳に禁じられている
- 任意とはいえ、証券会社は多要素認証の仕組みを提供していた。それを利用しなかったのは顧客側の判断と自己責任である
しかし、被害急拡大の社会情勢を鑑み、2025年5月2日、証券会社各社は被害補償へ応じるよう方針を転換した。日本証券業協会を通して、同日時点で被害が確認された9社を含む大手証券会社10社が被害の状況に応じて補償に応じる方針を明らかにした[65][66]。一方、被害補償の具体的方法は金融庁の意向も絡み調整が難航し、方針決定には6月下旬まで期間を要した[67]。
対面証券会社の対応
- 2025年
- 6月24日、大和証券とSMBC日興証券の被害補償方針が報じられた[68]。過失が無いと認められた顧客に対し、不正売却された株式等を返還し、不正購入した株式は取り除く原状回復措置を基本とする[69]。
- 6月26日、野村證券の被害補償方針が報じられた。上掲の2社と同様に原状回復措置を行なう[70][71]。
- 7月1日、三菱UFJモルガン・スタンレー証券の被害補償方針が報じられた。既報の他社と同様に原状回復措置を行なう[72][73]。
- 7月17日、みずほ証券が、被害補償方針を発表。既報の対面証券4社と同様に原状回復措置を行なう[74]。対面証券大手5社の被害補償方針は、全て原状回復措置となった[75][76]。
ネット証券会社の対応
その他の対応
Remove ads
政府機関の対応
- 2025年
- 金融担当大臣の加藤勝信は、4月22日の会見で、被害者への補償に関して、証券会社に対し「被害の回復に向けて誠実な対応を取るよう指示した」と発言した[82][83]。
- 6月20日、金融庁が、証券会社へセキュリティ強化を義務付け、対策不十分であれば業務改善命令を出せるよう監督指針を改定すると報じられた[84][85]。
- 7月15日、金融庁が「金融商品取引業者等向けの総合的な監督指針」の改正案を発表した[86]。多要素認証の中でもフィッシング詐欺に耐性のある方式を求めている。具体的には証券会社は自社サイトにおいて中間者攻撃やマン・イン・ザ・ブラウザ攻撃に耐えられる対策を講じ、例としてパスキー、公開鍵基盤を用いた実装を求めている[87][88]。同日発表の日証協ガイドラインと同水準の内容となっている（ #証券会社の対応 を参照）[89]。
顧客からの訴訟
2025年7月4日、私立大学講師の男性 (60) が、SBI証券に対し原状回復を求める訴訟を起こした[90]。同氏は4月22日に同証券で不正アクセスに遭い、数千万円の被害を受けたと述べている[91]。7月16日、同氏が代表となって「証券口座のっとり被害者の会」が発足した[92][93]。証券会社との団体交渉や集団訴訟を計画している[94]。
著名人の被害
5月1日、個人投資家のテスタが自身の楽天証券の口座が口座乗っ取りの被害にあったことをX（旧 Twitter）に投稿した[95]。その関連報道により個人投資家の防犯意識の向上や、証券会社のセキュリティ対策見直しの機運が強まった[96]。
二次的なフィッシング行為
不正取引の被害者や、不正アクセス対策をしようとする人を標的とした二次的なフィッシング行為も確認されている。不正アクセス対策として口座ロックをしようとする人を標的とした、真偽不明の電話番号を紹介するSNSの情報や、証券会社からのフィッシング詐欺の注意喚起メールを装った、フィッシング詐欺のメールが確認されている[97]。
また、日本証券業協会が被害者への補償に応じる方針を発表した翌日に、補償手続きの案内を装ったメールが送られた事例が確認されている[98][11]。
脚注
関連項目
外部リンク
Wikiwand - on
Seamless Wikipedia browsing. On steroids.
Remove ads