証券口座の乗っ取り対策、何をすればいい？投資家が実際に見直したいセキュリティ設定

私自身、ETFや投資信託などで運用していると、どうしても「何を買うか」「いつ売るか」に意識が向きます。でも、その資産が入っている口座を守る設定も、投資と同じくらい大事です。

最初に確認したいのは、パスキーなどの強い認証と、身に覚えのない操作に気付くための通知です。 さらに、登録メールやパスキーの保存先も含めて守る必要があります。

この記事では、ITエンジニア兼個人投資家の視点から、設定の確認ポイントと、怪しいメール・不正取引を見つけたときの動き方を整理します。

すでに認証情報を入力した、身に覚えのない取引がある場合は、被害の拡大を防ぐ対応が先です。 状況別の初動と公式窓口へ進む。これから対策する場合は、以下の順に設定を見直してください。

※設定・窓口情報は2026年11月3日確認。事件の記述は、本文に示した各発表時点の内容です。

出金されなくても、口座内の売買で被害が起きる

「出金先は本人名義の銀行口座だから、勝手にお金を持ち出されないのでは？」と思うかもしれません。

ただ、証券口座の乗っ取りでは、現金を外へ出す以外の手口もあります。金融庁が挙げているのは、保有株などを勝手に売却し、その代金で別の小型株などを買い付ける不正取引です。

出金を止められても、長く保有するつもりだった資産を売られ、知らない銘柄に置き換えられる可能性があります。出金対策に加え、ログインと売買そのものも守る必要があるわけです。

金融庁の2026年10月9日更新資料では、2025年1月～2026年9月の累計で、不正アクセス19,252件、不正取引10,642件が報告されています。不正な売却は約4,372億円、買付は約3,837億円です。

この売却額・買付額は、口座内で行われた取引金額の合計です。同じ資金が繰り返し売買される場合もあり、両方を足した数字を顧客の損失額として扱うことはできません。

出典：金融庁の注意喚起／発生状況の集計（2026年10月9日更新）

まずは「入られない・気付く・止める」を揃える

会社のITセキュリティでは、ひとつの対策だけを信用せず、複数の防御を重ねます。私は、家庭の資産防衛も同じように考えています。

強い認証で入りにくくする。突破された場合に通知で気付く。異常があれば利用停止と連絡ができる。この順で備えると、設定の目的が分かりやすくなります。

1．パスキーを設定し、ほかのログイン経路も確認する

利用中の証券会社がパスキーに対応しているなら、まず設定を確認します。

パスキーの強みは、顔認証や指紋認証を使うことだけではありません。正規のサービスに対応した鍵で認証するため、偽サイトにパスワードやワンタイムコードを入力させて盗む攻撃に強い仕組みです。

ワンタイムコードも、偽サイトに入力すれば、その有効時間内に悪用されるおそれがあります。「追加認証があるか」に加え、「偽サイトへ入力して盗まれる方式か」まで見ておきたいところです。

そして、パスキーを登録したことと、ほかの入口が制限されていることは別です。 証券会社によって、Web・スマホアプリ・PC用取引ツールの認証や制限が異なります。

例えばSBI証券には、パスキー設定者向けの「ログインパスワード無効設定」や、アプリ・ツールごとのログイン制限があります。無効設定を有効にするとアプリ・ツール側にも制限がかかるため、普段使う取引ツールへの影響まで確認が必要です。

私なら、使わない入口を減らしつつ、普段の売買に必要な経路を確認します。安全のために設定した結果、自分まで必要なときに入れなくなるのは避けたいからです。

出典：日本証券業協会の注意喚起／SBI証券の各種制限設定

2．登録メールと、パスキーを保存するアカウントを守る

証券口座だけ強くしても、登録メールやパスキーの保存先が弱いままでは、別の経路から影響を受けるおそれがあります。

ここは、役割を分けると分かりやすくなります。登録メールは、証券会社からの通知や、サービスによってはパスワード再設定に使う連絡先です。パスキーの保存先は、ログインの鍵を保管する場所です。

例えばGmailを連絡先にして、パスキーはiCloudキーチェーンに保存するなら、GoogleとAppleの両方が関係します。連絡先も保存先もGoogleにまとめているなら、そのGoogleアカウントの保護が特に重要です。自分が使っているメールと保存先を確認してください。

パスキーには、iCloudキーチェーンやGoogleパスワードマネージャーで同期するものと、特定の端末内に保存するものがあります。同期は、同じアカウントの別端末でも鍵を使えるようにする仕組みです。どこに保存したかで、故障や機種変更時の対応も変わります。

楽天証券は2026年10月14日、他社においてGoogle・Appleアカウントの情報が不正取得され、証券口座への不正ログイン・不正取引に悪用された疑いがあるとして注意喚起しました。同発表時点で、楽天証券自身の被害が確認されたという話ではありません。

確認したいのは、次の項目です。

• 登録メールと、利用しているパスキー保存先の多要素認証が有効か
• 見覚えのない端末が登録されていないか
• 復旧先の電話番号・メールアドレスを今も利用できるか
• ほかのサービスとパスワードを使い回していないか
• 身に覚えのない認証要求を承認していないか

多要素認証は、パスワードなどの「知っているもの」、端末などの「持っているもの」、指紋や顔などの「本人の特徴」を組み合わせる認証です。各サービスが提供する強い認証を有効にし、口座への連絡とログインの両方を守ります。

出典：楽天証券の注意喚起（2026年10月14日）

3．本物のメールを見分けるより、入る経路を決める

送信元の名前や日本語が自然かどうかを、毎回判定し続けるのは大変です。私は、この判断を繰り返すより、公式アプリや登録済みのブックマークから開く運用を優先したいと考えています。

「セキュリティ強化のために再登録してください」「口座を停止します」と連絡が来ても、そのリンクから手続きしない。自分で公式アプリを開き、お知らせや設定を確認します。

本物らしい連絡ほど迷いますが、メールの真偽をその場で決着させる必要はありません。公式経路から確認する、と決めておけばよいわけです。

4．通知を有効にし、実際に届くところまで確認する

通知は、設定画面が「有効」になっているだけでなく、自分が気付ける状態かまで見ます。

証券会社が提供しているログイン・約定・出金・登録情報変更などの通知を確認し、通常の自分の操作で届く通知については、受信先と迷惑メールへの振り分けも確認します。

広告や相場情報に重要な通知が埋もれるなら、メールの振り分けを分ける方法もあります。ただし、別フォルダに移したまま見なくなると意味がありません。

NISAの積立などで普段ログインしない口座も、資産がある限り対策の対象です。売買の頻度が低くても、不審な操作には気付ける状態にしておきたいです。

5．重要操作の認証と端末の保護も確認する

ログイン後の取引・出金・出金先変更などにも、証券会社が提供している追加認証を有効にします。

あわせて、OS・ブラウザ・アプリの更新、スマホの画面ロック、紛失時の探索・遠隔ロック機能も確認します。出所の分からないアプリや構成プロファイルを、メールの指示に従って入れないことも大切です。

セキュリティソフトは対策のひとつですが、それだけで偽サイトへの情報入力まで防げるわけではありません。

認証・通知・重要操作・端末を重ねて守る、という考え方です。

出典：金融庁の対策案内

自分の口座を見ながら使う設定確認表

ここまでの対策を、自分の口座で確認するための表にしました。「たぶん設定した」で終わらず、右側の状態まで確かめると、残った作業が分かります。

同じ確認を、昔作った証券口座にも行います。メイン口座だけ対策しても、資産が残った別口座の設定が古いままでは気になります。

口座一覧には、証券会社名・用途・資産の有無・登録メール・最後に設定を確認した日を残しておくと、次に見直すときに使えます。パスワードや認証コードを、この一覧に書く必要はありません。

楽天・SBI・マネックスは、何を確認すればよい？

同じ「利用停止」でも、ログインを止めるのか、取引を止めるのかで効果が違います。主な違いと、そのまま確認に進める公式案内をまとめました。

• 楽天証券：セキュリティ設定の案内／利用停止の方法・自動音声窓口
• SBI証券：不正アクセス防止の設定／不審なログイン・取引を発見した場合の連絡先
• マネックス証券：セキュリティ設定の案内／利用停止の方法・急ぐ場合の電話案内

特に、「ログイン停止」「取引停止」「出金停止」は同じではありません。 停止中も積立注文などが継続する場合があります。

楽天証券の「投信の買付を残す制限」と、SBI証券の「ログイン停止」は、できることが異なります。平時に使う制限を選ぶ場合と、不正利用の疑いで緊急停止する場合も分け、停止範囲と解除方法をセットで確認してください。

信用取引などの建玉がある場合も、ログイン停止で相場変動や追証・強制返済の可能性まで消えるわけではありません。不正利用への対応と、保有中の取引の管理をあわせて証券会社へ相談します。

怪しいメール・不審な操作を見つけたら

不審なメールが届いただけなのか、認証情報を入力したのか、すでに取引されたのかで対応は変わります。すべてを同じ緊急度で扱うより、どこまで操作したかを整理します。

口座を止める・連絡する場合は、証券会社別の公式案内へ進んでください。

IPAは、一般的なフィッシングでは、サイトへアクセスしても情報入力やアプリのインストールなどをしていなければ、基本的に被害は発生しないと案内しています。ただし、「何もしていないか自信がない」「ファイルを実行した」などの場合は、単にページを開いただけのケースと分けて相談してください。

一方、認証情報を入力した場合は、送信ボタンを押していないから大丈夫と自己判断せず、入力した内容を証券会社へ伝えます。

証券会社へ連絡するときは、気付いた時刻、入力した情報の種類、不審な売買や出金の内容、すでに行った変更をメモしておくと説明しやすくなります。認証コードやパスワードそのものをメモに残す必要はありません。

不審なメール・SMS・取引履歴は、画面や日時などを保存します。ただし、証拠集めに時間をかけて利用停止や連絡を後回しにはしません。被害があれば警察への相談も進めます。

出典：IPAの不正ログイン・フィッシング対策／IPAの情報セキュリティ安心相談窓口／警察庁のフィッシング対策／金融庁の注意喚起

楽天証券の情報漏えい発表は、口座の乗っ取りと分けて考える

ここまでの対策で防ぎたいのは、主に自分になりすました不正ログインや不正取引です。ただ、利用者の設定では防げない情報漏えいもあります。

楽天証券は2026年10月31日、NTTデータの委託先が提供するシステムへの不正アクセスにより、一部顧客の情報が漏えいした可能性を発表しました。楽天証券自身のシステムへの侵入ではありません。

発表の対象は、次のデジタル特典付き社債を購入した一部の顧客、延べ362件です。「362人」や「楽天証券の利用者全員」という意味ではありません。

同発表では、ログインID・パスワード・取引に必要な情報は漏えいの可能性がある情報に含まれないとの報告を受けており、本件に起因すると考えられる不正アクセス・不正取引も確認されていないとしています。対象者には個別連絡を行う方針です。

ここで利用者が確認したいのは、公式サイトやアプリ内の案内と、自分の購入履歴です。「特典の確認」「漏えいに伴う再認証」といった連絡が来ても、そのリンクや電話番号から手続きせず、公式経路で確認します。

取引内容を知っている相手からの連絡でも、それだけで本物とは判断しない。これは、情報漏えい後に考えておきたい備えです。今回、そうした二次被害が確認されたという意味ではありません。

パスキーは不正ログインへの対策になりますが、委託先のシステム侵害までは防げません。この発表だけで全利用者の認証情報が漏れたと判断する必要はなく、個別案内と口座内の異常の有無に応じて対応します。

出典：楽天証券の発表（2026年10月31日）／NTTデータの発表（2026年10月31日）

私なら、メイン口座を確認してから残りの口座へ広げる

私が優先したいのは、相場を見るたびに気を張ることより、普段の使い方に防御を組み込むことです。

まずは資産を多く置いている口座で、パスキーと通知、登録メール・保存先の保護を確認します。次に、使っていないログイン経路と、異常時に止める方法を確認する。その後、昔作った口座にも同じ確認を広げます。

ただし、すべての人が同じ制限を選べばよいとは思いません。使い方ごとに、次のように考えます。

• 積立が中心の人：積立を継続しながら使わない売買や出金を制限できるか確認する。各社の「停止」で積立が続くか、止まるかも確認する。
• ETFや株を普段から売買する人：利用するアプリやPCツールを強い認証で守り、使わない入口を制限する。制限を解除してから売買する運用を選ぶなら、解除方法と手間も把握する。
• 信用取引などの建玉がある人：利用停止中も相場変動や追証の可能性は残る。平時のログイン制限は建玉管理に必要な操作を踏まえて選ぶ。不正利用が疑われる場合は、停止と建玉への対応をあわせて証券会社へ至急相談する。

私自身はETFを売買するので、普段使う入口まで一律に止めるより、必要な入口を守り、使わない入口を減らす考え方が合います。制限を強めるときも、戻す方法まで揃えておきたいです。

家族には、利用している証券会社と、緊急時にたどる公式窓口を共有しておく。本人の代わりに勝手に売買するためのID・パスワード共有とは分けて考えています。

証券口座の対策は、強いパスワードをひとつ決めて終わりではありません。認証・通知・停止手段まで揃え、機種変更や使い方が変わったときに見直す。増やすための投資と一緒に、資産を守る仕組みも整えておきたいと思います。

補足Q&A

スマホを買い替えたら、必ずパスキーの再登録が必要？

保存先と端末の組み合わせによります。同じApple・Googleアカウントで同期したパスキーを引き継げる場合もあれば、端末内に保存した鍵など、再登録が必要な場合もあります。

マネックス証券のFAQでも、iCloudキーチェーン・Googleパスワードマネージャーを使う場合と、Windows Helloで端末に保存する場合を分けて案内しています。

私なら旧端末を初期化する前に、新端末で実際に証券口座へログインできるところまで確認します。OSを変える場合や引き継げない場合は、利用する証券会社の再登録手順を確認します。

出典：マネックス証券の機種変更・紛失時の案内

スマホをなくしてログインできない場合は？

端末の紛失対応と、証券口座への連絡・利用制限を並行して進めます。まず、別の端末や電話から公式サポートを確認します。

楽天証券には、パスキーを使えない場合に電話で本人確認を行い、一時的にログインを可能にする案内があります。ただし、登録電話番号からの発信など条件があるため、スマホと電話番号を同時に使えなくなった場合にそのまま利用できるとは限りません。その場合は通常の公式サポートへ相談します。

マネックス証券も、紛失などでパスキーを削除する場合に本人からの電話と所定の本人確認を案内しています。

「復旧方法の案内がある」だけでなく、自分が利用できる連絡手段かまで、平時に確認しておくと安心です。

出典：楽天証券のお客様サポート／マネックス証券の紛失時の案内

ログイン通知が来たら、すぐ乗っ取りと考えるべき？

通知の内容と口座の履歴を、公式アプリやブックマークから確認します。

SBI証券は、家計簿・資産管理アプリなどの自動連携によるアクセスもログイン履歴に表示されると案内しています。連携サービスの利用があるなら、その接続状況も確認対象です。

ただし、連携しているから全部それだろうと決め付けないことも大事です。説明できないアクセス、認証要求、売買・出金があれば、公式窓口に相談します。

出典：SBI証券の不審なログイン履歴に関するFAQ

不正取引は補償してもらえる？

自動的に全額補償されるとは言い切れません。

日本証券業協会が2025年5月に公表した10社の申し合わせは、当時のフィッシング等による被害について一定の補償を行う方針ですが、被害状況や認証情報の管理、各社の対策などを踏まえて個別に対応するとしています。将来のすべての被害に一律の補償を約束するものではありません。

被害に気付いたら、証券会社に申告し、必要な記録と手続きを確認します。補償される前提で対策を省くことは避けたいです。

出典：日本証券業協会の申し合わせ（2025年5月2日）