🎣 証券口座の乗っ取り（フィッシング→不正取引）——「注文を出す権利」を盗まれる仕組みと4つの防御手順

ある朝、証券会社から「注文確認のお知らせ」メールが届いた。覚えのない銘柄を売って、覚えのない株を買っている——。気づいたときにはすでに、コツコツ積み上げた資産が消えている。これが2025年から急増した「証券口座の乗っ取り」被害の典型的な体験です。

この被害の最大の特徴は、「現金を盗まれる」のではなく「注文を出す権利を盗まれる」ことです。攻撃者はあなたのIDとパスワードを使って証券口座にログインし、あなたの保有株を売却して、薄商い（出来高の少ない）銘柄を買い付けます。売った代金は一時的に口座内に残りますが、買い付けた銘柄の値段をつり上げるための「出口」として使われ、結果として口座から資金が流出したり、値を戻す見込みの乏しい株だけが残ったりするケースが報告されています。

本記事では、この手口の構造を5段階に分解し、「ブックマークからのみログイン」「多要素認証」「注文通知のオン」という、誰でも今日から実行できる3つの手順を中心に解説します。当サイトの総論：投資詐欺の見分け方とあわせてご覧ください。

1️⃣ 数字で見る規模——2025年に何が起きたか

金融庁は、各証券会社等から報告を受けた不正アクセス・不正取引の発生状況を定期的に公表しています。以下は公表データの概要です。

出典：金融庁「インターネット取引サービスでの不正アクセス・不正取引の被害状況」（同PDFは2026年8月10日版が公表済み。本記事掲載の数値は同PDF旧版（2025年11月10日時点公表分）より。確認日：2026年9月1日）。各証券会社から報告を受けた発生日ベースの暫定値であり、今後修正される可能性があります。最新値は金融庁公式ページでご確認ください。⚠️ 自己検証：9,348÷16,641≒56%（不正アクセスのうち不正取引に至った割合）、3,778億÷9,348件≒4,042万円（1件当たり平均売却額）の計算で数値の整合性を確認済み。

注目すべき点が2つあります。

第一に、2025年4月の一極集中。10か月間の不正アクセス（16,641件）のうち約33%が4月の1か月だけに発生しました。これは攻撃者グループが組織的・波状的に仕掛けた時期があったことを示唆しています。

第二に、売却金額と買付金額の差（約446億円）。被害者の口座から株式を売却した代金の約88%が、別の銘柄の買付に充てられています。残り12%相当の差額が、被害者口座から外部に流出した（または現金として待機している）金額の目安になります。ただしこれは統計上の集計値であり、個別の被害者が「差額分だけ被害を受けた」という意味ではありません——売却された保有株の価値が全損する可能性があります（後述）。

2025年10月に日本証券業協会がガイドラインを改正し、フィッシングに耐性を持つ多要素認証（パスキー等）の必須化を各社に求めた結果、以降は件数が減少傾向に転じたと報じられています。ただし2026年現在も被害がゼロになったわけではなく、手口は進化を続けています。

2️⃣ 「注文を出す権利を盗む」——被害の本質を理解する

銀行口座の不正送金と、証券口座の不正取引は、構造がまったく異なります。ここを理解しておくと、被害の深刻さと防御の方向性が見えてきます。

証券口座の攻撃者は「現金を盗む」のではなく、被害者の口座を「出口」として使って相場を操縦します。流れは次の通りです：攻撃者はあらかじめ薄商い（出来高の少ない）株を安く仕込んでおき → 乗っ取った被害者口座の保有株をすべて売却して現金化 → その現金で自分が仕込んだ薄商い銘柄を大量に買い付ける → 買付によって株価が急騰 → 攻撃者が自分の保有分を高値で売り抜ける。

被害者の口座には、売却代金で買わされた「価値が急落した薄商い株」が残ります。銀行口座と違い、株式は「振り込め詐欺救済法」の保護対象外であることも多く（国内金融機関口座への振込と異なる仕組みのため）、回復が困難になるケースがあります。

3️⃣ 手口の5段階分解

この攻撃は、大きく5つの段階で進行します。段階ごとに、攻撃者がどう動いているかを整理します。

各段階で起きていること

STEP 1（フィッシング誘導）：証券会社を装ったメール・SMS・偽広告で、本物そっくりの偽サイトへ誘導されます。URLは「英数字をひとつ変えた」「ドット区切りのサブドメインを増やした」などの細工がされており、メール本文のリンクを何となくクリックするだけで到達します。「ログイン異常を検知」「口座が一時停止」「重要なセキュリティアップデート」など、急がせる文言が多いのが特徴です。

STEP 2（認証情報窃取）：偽サイトは本物と見た目が同じため、利用者は通常通りID・パスワードを入力します。入力された情報は即時、攻撃者が管理するサーバーへ転送されます。この段階で多要素認証のワンタイムパスワード（OTP）も入力するよう求められることが増えており、入力されたOTPも同様に即時転送されます。

STEP 3（不正ログイン）：攻撃者はリアルタイムで受信したID・PW・OTPを使い、本物の証券会社のシステムへログインします。OTPの有効時間は通常30〜60秒。攻撃者はこの時間内に完了させるため、偽サイト側でユーザーに「確認中…」と表示して時間を稼ぎながら裏で高速処理します。

STEP 4（保有株売却）：ログイン後、攻撃者は被害者の保有するすべての株式・ETF・投資信託等を成行注文で売却します。1〜2分で完了することもあります。この時点で証券会社から「注文受付」のメール通知が届く場合がありますが、通知をオフにしている場合は気づかず、翌朝の口座確認まで被害に気づかないケースが多く報告されています。

STEP 5（薄商い株の買付）：売却で生じた現金で、攻撃者があらかじめ安値で仕込んでいた薄商い銘柄を大量に買い付けます。この買注文によって株価が急騰し、攻撃者はその値上がりを利用して自分の保有分を売り抜けます。その後、買い支えがなくなった薄商い銘柄は急落し、被害者の口座には「ほぼ無価値になった株」が残ります。

4️⃣ 「リアルタイムフィッシング」——多要素認証を突破する仕組み

「証券会社に多要素認証（MFA）を設定しているから大丈夫」——この認識が危険なのは、「リアルタイムフィッシング（中間者攻撃型フィッシング）」がMFAを前提として設計されているからです。

従来のフィッシングは、「まず認証情報を盗む → 後でログインを試みる」という手順でした。しかしワンタイムパスワードは有効期限（30〜60秒）があるため、「後で使う」ことができません。リアルタイムフィッシングは、この制約を解決するために登場した手口です。

日本証券業協会が2025年10月に改正したガイドラインでは、「リアルタイムフィッシングに耐性を持つ認証」としてパスキー（FIDO2/WebAuthn）の導入を各社に求めています。パスキーは、認証情報が「特定のデバイスとドメインにバインドされた秘密鍵」のため、偽サイトに対して秘密鍵を使っても本物のサイトの認証には使えない——という仕組みで、リアルタイムフィッシングを原理的に防げるとされています。

ただし、パスキー対応がすべての証券会社で完了しているわけではなく、移行期間中は利用者自身の行動が防御の要になります。

5️⃣ なぜ気づくのが遅れるのか——騙される側の心理

「フィッシングメールなんて怪しいとわかる」という自信がある方ほど、この攻撃に気をつける必要があります。理由は、この手口が人間の心理的な癖（認知バイアス）を段階的に突いてくるからです。

• 緊急性バイアス（STEP 1）：「口座が停止される」「不審なアクセスを検知」という文言は、人が冷静な判断より先にクリックするよう設計されています。緊急事態と認識すると、URLを確認するという手順が頭から消えます。
• 本物らしさへの過信（STEP 2）：偽サイトは本物のデザインを完全にコピーしているため、「見た目が本物と同じ＝本物のサイト」という視覚的な判断を誘います。この判断は実際には「本物のサイトかどうか」を確認していません。
• 作業慣性（STEP 2〜3）：「いつものログイン操作をするだけ」という慣れが、URLを毎回確認するコストを「省いていい作業」として学習させてしまいます。
• 通知への慣れ（STEP 4）：「注文確認メール」を受け取っても「また何かの確認か」と後回しにする習慣が、被害発覚を遅らせます。通知をオフにしている場合はさらに遅くなります。

「怪しいメールに引っかからなければいい」という防御は、この手口が緊急性をつくり出す仕組みを理解すると、条件がそろった瞬間に誰にでも起きうることがわかります。防御は「気をつける意志」より「手順」で作るほうが現実的です。

認知バイアスの仕組みは認知バイアス大全で詳しく整理しています。

6️⃣ 4つの防御手順（今日からできること）

防御の基本思想は、「本物のサイトかどうか」を視覚で判断しないことです。偽サイトは見た目で本物と区別できません。代わりに、「どういう経路でアクセスしたか」という経路の安全性で守ります。

手順①：証券会社のサイトへは「ブックマーク」からのみアクセスする

メール・SMS・検索結果・SNS広告のリンクからは絶対に証券口座のログイン画面にアクセスしない——これが最も効果的で、今すぐ実行できる防御です。

1. 利用中の証券会社のURLを今すぐブラウザにブックマーク登録する
2. ログインするときは常にそのブックマークから移動する（URLを直接打ち込むのも可）
3. メール・SMSに記載されたリンクは、ログイン用には使わない（確認したい場合はメールを閉じてからブックマークで移動）

フィッシングサイトへ到達するためには「何らかのリンクをクリックする」経路が必要になります。ブックマーク経由でのアクセスを徹底すれば、メール・SMS・広告のリンクを起点とする到達経路をふさぐことができます。ただし、端末がマルウェアに感染している場合など他の経路によるリスクをすべて解消するものではありません。

手順②：多要素認証を「パスキー」または「アプリ型OTP」に設定する

現在設定中の多要素認証が「SMS認証のみ」「メールOTP」の場合、リアルタイムフィッシングに対して弱い面があります。以下の優先順位で設定を確認してください。

1. パスキー（FIDO2/WebAuthn）——最も強力。対応している証券会社では優先的に設定する
2. アプリ型OTP（Google Authenticator・Microsoft Authenticator等）——SMS OTPより攻撃者がSIMスワップで迂回しにくい
3. SMS OTP——設定している場合はそのまま維持しつつ、手順①（ブックマーク限定）を徹底する

利用中の証券会社で提供されている認証方法は、各社の「セキュリティ設定」または「ログイン設定」のページで確認できます。

手順③：注文通知・ログイン通知をオンにする

不正ログインを自分で止めることはできなくても、「気づく速度」を上げることで被害の拡大を防げる可能性があります。

1. 証券口座の「ログイン通知」をオンにする（ログインのたびにメールまたはプッシュ通知が届く）
2. 「注文受付通知」をオンにする（自分が出していない注文に即座に気づける）
3. 通知メールの配信先は、証券口座のログインに使うメールアドレスとは別のアドレスを使うのが理想（攻撃者がメールアカウントにもアクセスしている場合に通知を消される可能性を下げる）

「覚えのない注文通知が届いた」と気づいた瞬間が、被害を最小化するための黄金の時間です。即座に証券会社のコールセンターに電話し、取引を停止するよう依頼してください（番号はブックマーク先の証券会社公式サイトから確認）。

手順④：「緊急」メール・SMSを受け取ったら、リンクをクリックする前に立ち止まる

どれほど本物らしいメール・SMSであっても、次のどれかに当てはまる場合はリンクをクリックせず、ブックマークから証券会社のサイトへ移動して、本当に問題がないか確認するという手順を徹底します。

「本物のメールだったのに無視してしまった」という損失と、「フィッシングにクリックして口座を失う」という損失を比べれば、後者のリスクが圧倒的に大きい。「立ち止まって確認する」コストは、クリックひとつでゼロになるリスクより格段に小さいのです。

7️⃣ 被害に気づいたときの初動

「覚えのない注文通知が届いた」または「口座を見たら保有株が消えて知らない株がある」——気づいた瞬間からの行動が被害規模を左右します。

1. 即座に証券会社のコールセンターへ電話する——口座の取引を停止・凍結してもらう。番号は証券会社の公式サイト（ブックマーク先）から確認。「不正アクセスが疑われます。取引停止をお願いします」とはっきり伝える。
2. パスワードを変更する——同じパスワードを他のサービスでも使い回していた場合は、そちらも変更する。変更作業は証券会社のサイトへブックマークからアクセスして行う。
3. 警察へ被害届を提出する——最寄りの警察署またはサイバー犯罪相談窓口（都道府県警察）へ。証拠保全のためにメール・SMS・通知のスクリーンショットを保存しておく。
4. 証券会社の補償窓口に相談する——日本証券業協会の申し合わせ（2025年5月2日付）により、大手・ネット証券10社が一定の補償を行う方針を決定しています（補償の範囲・条件は各社で確認）。ただし、補償を確約するものではなく、利用規約や個別事情によって判断が異なる場合があります。
5. 「被害金を取り戻します」という接触に注意する——被害後に「示談屋」「自称弁護士」「元警察官」などを名乗る者が接触してくる「二次被害詐欺」が、金融庁の注意喚起にも掲載されている定番の手口です。回復相談は公的窓口（警察・消費生活センター・弁護士会）経由で行います。

8️⃣ 相談窓口

不審なメール・SMS・アクセスに気づいた段階でも、被害が発生した後でも、公的な相談窓口があります。迷わず使ってください。

※上記窓口・受付時間は2026年9月1日時点でfsa.go.jpにて確認。変更になる場合があるため、利用時は公式サイトで最新情報をご確認ください。相談窓口の電話番号は、当サイトが生成したものではなく金融庁・警察庁等の公表情報から転記しています。

9️⃣ まとめ

• 被害の本質：証券口座フィッシングは「現金を盗む」ではなく「注文を出す権利を盗んで相場を操縦する」手口。被害者の口座には急落した薄商い株が残る。
• 規模：金融庁公表（2025年1〜10月）で不正アクセス16,641件・不正取引9,348件・売却金額約3,778億円。2025年4月がピーク、以降は多要素認証導入で減少傾向。
• 多要素認証の限界：「リアルタイムフィッシング」はOTPの有効時間（30〜60秒）内に不正ログインを完了させるため、SMS OTP型の多要素認証でも突破される。パスキー（FIDO2）が最も耐性が高い。
• 防御の3点セット：①ブックマークからのみログイン ②多要素認証をパスキーまたはアプリ型OTPに設定 ③注文・ログイン通知をオン。「本物らしさ」ではなく「経路の安全性」で守る。
• 被害後の初動：①証券会社コールセンターへ即電話（取引停止）②パスワード変更 ③警察へ被害届 ④証券会社の補償窓口へ相談 ⑤二次被害詐欺への警戒。

攻撃の巧妙さは今後も進化を続けます。しかし「経路を固定する（ブックマーク限定）」「通知を監視する」という防御の構造は、手口の変化に依存しません。手順を1つ今日の設定に落とし込むことが、最も確実な一歩です。

🔗 関連記事

⚠️ 当サイトは金融商品取引業者ではなく、投資助言・代理業の登録もしていません。本記事は証券口座フィッシング詐欺の手口と対策に関する一般的な情報を提供するものであり、特定銘柄・金融商品の売買推奨や投資助言ではありません。記載の統計値は金融庁の公表情報に基づきますが（2026年9月1日時点で確認・暫定値を含む）、今後修正される可能性があります。個別の被害・補償に関する判断は、警察・証券会社・消費生活センター・弁護士等の専門窓口にご相談ください。投資には元本割れのリスクが伴います。投資判断はご自身の責任で行ってください。