証券口座の乗っ取り対策、何をすればいい？投資家が実際に見直したいセキュリティ設定

※2026年9月16日時点の公式情報を確認して執筆しています。証券会社ごとに認証方式や設定項目は異なるため、実際の設定時は利用中の証券会社の最新案内を確認してください。

投資をしていると、どうしても「何を買うか」に意識が向きます。

どの株を買うか。
どのETFを積み立てるか。
いつ売るか。

私自身も個別株やETF、投資信託を保有しているので、普段考えているのはほとんどこちらです。

ただ、証券口座には数百万円、場合によっては数千万円単位の資産が入ります。銀行預金より証券口座のほうが大きな資産になっている人も珍しくありません。

そう考えると、もう一つ確認しておきたいことがあります。

「そもそも、この証券口座そのものを奪われないか？」

です。

パスワードを複雑にしたから大丈夫。
出金先口座は本人名義だから大丈夫。
ワンタイムパスワードを設定しているから大丈夫。

このどれか一つだけで安心するのは、2026年時点では少し危険です。

会社のITセキュリティでは、一つの対策だけを信用せず、複数の防御を重ねます。家庭の資産防衛も同じで、

強い認証を使う
↓
メールや端末を守る
↓
怪しい入口を使わない
↓
異常を通知で検知する
↓
侵入されても重要操作を簡単に通さない
↓
問題が起きたらすぐ止める

という多層防御で考えるほうが現実的です。

今回は、証券口座の乗っ取り対策として「結局、どこまでやればいいのか」を、ITエンジニア兼個人投資家の視点から整理します。

証券口座の乗っ取りでは何が起きているのか

まず、問題は「口座から現金をそのまま出金される」だけではありません。

金融庁が2026年9月9日に更新した集計では、2025年1月から2026年8月までの累計で、

• 不正アクセス：19,207件
• 不正取引：10,639件
• 不正な売却：約4,368億円
• 不正な買付：約3,837億円

が報告されています。

ここで注意したいのは、約4,368億円と約3,837億円を足して「約8,205億円の被害」と考えてはいけないことです。

金融庁によると、これらは不正アクセスされた口座内で行われた売却・買付の総額です。同じ口座で不正取引が繰り返されれば、その金額も累積します。顧客が最終的に失った金額そのものではありません。

実際の典型例として金融庁は、

保有している株式などを勝手に売却
↓
その売却代金で国内外の小型株などを買い付ける

という不正取引を挙げています。

つまり、「出金先銀行口座を固定しているから大丈夫」とは限りません。

口座の中で保有資産を勝手に売られ、別の銘柄を買われるだけでも問題は起きます。

証券口座の防犯は、「出金されないようにする」だけでなく、「ログインされない」「勝手に取引されない」「異常に早く気付く」をセットで考える必要があります。

結論：複雑なパスワードだけでは十分ではない

2026年時点で、最初に見直したいのはパスワードの文字数ではなく、ログイン方法そのものです。

金融庁と日本証券業協会は、パスキーなど「フィッシングに耐性のある多要素認証」への切り替えを強く案内しています。

背景にあるのが、リアルタイムフィッシングです。

偽サイトにIDとパスワードを入力させるだけでなく、続けてワンタイムパスワードまで入力させ、そのコードが有効な短い時間のうちに正規サイトへログインする手口があります。

つまり、

「パスワード + 追加コードなら二段階だから安全」

とも言い切れません。

大事なのは、認証の数ではなく、攻撃者に盗まれて再利用されにくい方式かどうかです。

対策① パスワードより先に「ログイン方法」を確認する

利用している証券会社がパスキー認証などを提供しているなら、まずそこから確認したいです。

2026年には主要証券会社でもパスキー必須化が進みました。

例として、SBI証券は2026年6月30日からパスキー認証を原則必須化。楽天証券は2026年6月以降、利用者ごとに段階的に必須化。マネックス証券も2026年6月30日からログイン時のパスキー認証を必須化しています。

ただし、「必須化」の内容は会社ごとに同じではありません。

SBI証券では従来のユーザーネーム・パスワードによるログインも残っています。一方、楽天証券はパスキー設定後の通常のパスワードログインを停止する仕様があり、マネックス証券も登録済み利用者をパスキーのみのログインへ切り替えています。

このため、「証券会社はもう全部パスキーだから安心」と一括りにせず、自分の口座が実際にどの状態になっているか確認する必要があります。

パスキーは「顔認証だから安全」なのではない

パスキーを説明するとき、「Face IDや指紋認証でログインするもの」と言われることがあります。

間違いではありませんが、本質はそこではありません。

パスキーは公開鍵暗号を使い、認証情報が特定のサービスのドメインに結び付いています。

そのため、見た目がそっくりな偽サイトを作られても、正規の証券会社用のパスキーをその偽サイトで成立させにくい設計になっています。

パスワードやワンタイムパスワードのように、「人間が秘密情報を画面へ入力し、それを攻撃者が盗んで正規サイトで再利用する」という構造を避けやすいのが強みです。

もちろん、パスキーにすれば絶対安全という意味ではありません。

クラウド同期型のパスキーを使う場合、AppleアカウントやGoogleアカウントなど、パスキーを保存・同期する側のアカウントも重要になります。日本証券業協会も、これらのアカウント側で多要素認証などを設定して厳重に管理するよう案内しています。

SMS、メール、認証アプリ、パスキーは同じ強さではない

追加認証があるだけでも、パスワードだけよりは防御が増えます。

ただし、方式によって弱点は違います。

• メール認証：メールアカウント自体が乗っ取られると影響を受ける
• SMS認証：電話番号側の攻撃や、リアルタイムフィッシングの影響を受ける余地がある
• 認証アプリのワンタイムコード：SMSより経路を分離できるが、コードを偽サイトへ入力すれば盗まれる余地はある
• パスキー：正規サービスのドメインに結び付くため、フィッシング耐性が高い

証券会社がフィッシング耐性のある認証を提供しているなら、私はそちらを優先します。

対策② 証券口座だけでなく「登録メール」を守る

証券口座だけを強くしても、登録メールが弱ければ別の入口になります。

証券会社からは、

• ログイン通知
• 取引通知
• パスワード変更
• 登録情報変更
• 本人確認や重要なお知らせ

などがメールで届きます。

メールアカウントを乗っ取られると、通知を見られるだけでなく、場合によってはパスワード再設定や本人確認の流れに影響する可能性があります。異常通知を攻撃者に先に読まれ、削除されれば、本人が気付くのも遅れます。

最低限、登録メール側でも、

• 証券口座と同じパスワードを使わない
• 多要素認証を有効にする
• 可能ならパスキーを使う
• 復旧用メールアドレスや電話番号が現在も自分のものか確認する
• 見覚えのないログイン端末が残っていないか確認する

くらいは見直したいところです。

証券口座のセキュリティ設定を見直すなら、登録メールもセットです。

対策③ メールやSMSのリンクから証券会社へ入らない

これは、かなり効果の大きい運用ルールです。

金融庁と日本証券業協会はいずれも、メールやSMSに書かれたリンクから証券会社へログインしないよう案内しています。

私はこの対策を、「本物のメールを見抜く訓練」より優先したいと考えています。

毎回、

送信元は本物か。
ドメインは正しいか。
日本語は不自然ではないか。
リンク先は正しいか。

と人間が判定し続ける運用は、いつかミスします。

それより、

• スマホは公式アプリから開く
• Webは自分で登録したブックマークから開く
• メールやSMSのリンクは使わない

と最初から決めてしまうほうが簡単です。

「怪しいリンクを見破る」のではなく、「リンクを使う場面をなくす」。

効率家ラボ的には、こちらのほうが好みです。

対策④ ログイン・取引・出金・登録変更の通知を有効にする

侵入を100％防ぐことは難しい以上、次に重要なのは「異常に早く気付く仕組み」です。

金融庁も、証券会社が提供している通知サービスの活用を案内しています。

証券会社によって名称は異なりますが、確認したいのは主に次の4種類です。

• ログイン通知
• 約定、取引通知
• 入出金通知
• 登録情報や出金先銀行口座の変更通知

全部のメールを読む必要はありません。

重要なのは、「自分が何もしていないのに発生した操作」が目に入る状態を作ることです。

特に、普段ほとんど売買しない長期投資用口座なら、身に覚えのない約定通知はかなり目立ちます。

通知を増やしすぎて全部無視するようになると逆効果なので、広告やマーケット情報のメールとは分けて考えたいところです。

対策⑤ 重要操作にも認証をかけ、侵入後の被害を広げにくくする

多層防御では、「ログインされたら終わり」にしないことも重要です。

金融庁は、ログイン時だけでなく、

• 取引時
• 出金時
• 出金先銀行口座の変更時

などに証券会社が提供する多要素認証を有効にするよう案内しています。

利用している証券会社に個別設定があるなら、重要操作側の認証も確認しておきたいです。

ここで、「出金先銀行口座を固定しているから安全」と考えすぎないことも大切です。

今回問題になっている不正取引では、口座内の株式を勝手に売却し、その資金で別の株を買う手口も確認されています。

出金防止は重要ですが、それだけでは不正売買までは防げません。

理想は、

ログインを突破されにくくする
+ 重要操作にも追加の壁を置く
+ 操作されたら通知で気付く

の三段構えです。

対策⑥ スマホ・PCそのものを守る

証券会社側の認証が強くても、スマートフォンやPC自体が危険な状態なら意味がありません。

最低限、

• OSとブラウザを最新にする
• スマホには画面ロックを設定する
• 紛失時の「探す」「遠隔ロック」機能を有効にする
• 提供元が不明なアプリや構成プロファイルを安易に入れない
• 共用PCやホテルなどの不特定多数が触る端末から証券口座へログインしない

は確認しておきたいです。

金融庁や日本証券業協会は、マルウェア対策ソフトの導入や更新も有効な対策として案内しています。

ただし、セキュリティソフトを入れればフィッシングまで全部防げるわけではありません。

偽サイトへ自分で認証情報を入力してしまうタイプの攻撃は、端末側のウイルス対策だけでは防ぎ切れません。

端末保護も「一つの層」と考えるのが現実的です。

対策⑦ 不正アクセスされたときの行動を決めておく

異常を見つけてから、

「証券会社ってどこに電話すればいいんだっけ？」

と検索し始めるのは遅い可能性があります。

事前に、利用中の証券会社の公式問い合わせ窓口を確認しておくと初動が速くなります。

身に覚えのないログインや取引、出金、登録情報変更を見つけた場合は、まず利用中の証券会社へ速やかに連絡し、口座の利用停止や必要な対応を相談します。

そのうえで、状況に応じて、

1. 証券会社の公式窓口へ連絡する
2. パスワードや認証情報を変更する
3. 登録メール、電話番号、出金先口座、認証端末などに変更がないか確認する
4. 登録メールアカウント側も不正ログインがないか確認する
5. 同じパスワードを他サービスで使っていた場合はそちらも変更する
6. 不審なメール、SMS、取引履歴などの記録を保存する
7. 必要に応じて警察へ相談する

という流れを想定しておくと動きやすくなります。

なお、実際に被害が発生した場合は、各証券会社の案内を優先してください。

日本証券業協会では、2025年に大手・ネット証券10社が一定の被害補償を行う方針を申し合わせていますが、補償は被害状況やID・パスワードの管理状況、各社の対策などを踏まえて個別に判断されます。

「最終的には補償されるだろう」と考えて対策を省くのは危険です。

証券会社を複数使う人ほど「昔作った口座」まで棚卸しする

個人投資家では、用途ごとに証券会社を分けている人も多いと思います。

NISAはA社。
国内株はB社。
米国株はC社。
IPOのためにD社も作った。

私自身も投資を続けていると、証券会社ごとに得意分野が違うので口座が増えやすいと感じます。

ただ、口座が増えれば守る入口も増えます。

特に危ないのは、残高が少なくなって長期間ログインしていない口座です。

認証方式が古いまま。
登録メールが昔のもの。
通知を見ていない。
電話番号も変わっている。

という状態になりやすいからです。

一度、次のような一覧を作って棚卸しするだけでもかなり違います。

• 証券会社名
• 何のために使っている口座か
• 現在も資産があるか
• パスキーなど強固な認証が設定済みか
• 登録メールはどれか
• ログイン、取引、出金通知が有効か
• 緊急時の公式問い合わせ先を確認したか

使っていない口座は、放置ではなく「残すのか、閉じるのか」を決める対象にしたいところです。

私ならこの順番で確認する

全部を一気にやるのが面倒なら、私は次の順で確認します。

1. パスキーなどフィッシング耐性のあるログイン認証へ切り替える

利用中の証券会社が対応しているなら最優先です。

2. 証券会社へ入る経路を公式アプリ・ブックマークに固定する

メールやSMSのリンクを使わないルールにします。

3. 登録メールとApple・Googleアカウントを守る

メールの多要素認証、パスキー、復旧設定を確認します。同期型パスキーを使うならApple・Googleアカウントも対象です。

4. ログイン・取引・出金・登録変更通知を有効にする

侵入を完全に防げなかったときの検知手段です。

5. 取引・出金・出金先変更など重要操作の認証を確認する

ログイン後にも壁を残します。

6. パスワード使い回しと復旧方法を確認する

パスワードが残るサービスでは長く、他サービスと違うものにします。

7. スマホ・PCを更新し、紛失時の遠隔ロックを確認する

証券会社だけでなく利用端末も守ります。

8. 昔作った証券口座と緊急時の問い合わせ先を棚卸しする

使っていない口座を含め、入口を把握します。

この順番にしたのは、「人間が注意する」より先に「仕組みで防ぐ」部分を片付けたいからです。

家庭では「パスワード」ではなく「どこに資産があるか」を共有する

証券口座は本人名義なので、夫婦でIDやパスワードを共有すればよい、という話ではありません。

むしろ認証情報の共有は管理を複雑にし、別のリスクを増やします。

一方で、家庭全体で見たときに、

「夫がどこの証券会社に資産を持っているのか妻が全く知らない」

という状態も別のリスクがあります。

病気や事故などで本人が操作できなくなったとき、資産の所在すら分からないと家族が困ります。

最低限、

• 利用している証券会社名
• どの証券会社がメインか
• 資産一覧をどこで確認できるか
• 緊急時はどこへ連絡するか

くらいは、家族がたどれる状態にしておくと安心です。

共有するのは「資産の所在」であって、「ログイン秘密情報」ではない。

この線引きは、家庭のデジタル防犯ではかなり重要だと思います。

まとめ：増やした資産を守るところまでが資産運用

証券口座の乗っ取り対策というと、

「怪しいメールに気をつける」
「パスワードを複雑にする」

で終わりがちです。

しかし、2026年時点ではそれだけでは十分とは言えません。

必要なのは、

• フィッシング耐性のある認証
• 登録メールやApple・Googleアカウントの保護
• 公式アプリ、ブックマークにアクセス経路を固定
• ログイン、取引、出金、変更通知
• 重要操作への追加認証
• スマホ、PCの保護
• 不正アクセス時の初動

を組み合わせることです。

会社のITセキュリティと同じで、一つの対策だけを信用しない。

そして、人間が毎回注意し続けなくても、多少ミスしても被害につながりにくい仕組みにする。

投資では、どうしても「どう増やすか」に意識が向きます。

でも、増やした資産を守るところまで含めて資産運用です。

一度設定すれば毎日気にする必要はありません。

だからこそ、相場を見る前に一度だけでも、自分の証券口座のセキュリティ設定を棚卸ししておく価値はあると思います。

---

参考資料（2026年9月16日確認）

金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html

金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」（2026年9月9日更新PDF）
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing/20260909.pdf

日本証券業協会「不正アクセス等にご注意ください！」
https://www.jsda.or.jp/about/hatten/inv_alerts/alearts04/index.html

日本証券業協会「フィッシング詐欺等による証券口座への不正アクセス等による対応について」
https://www.jsda.or.jp/about/hatten/inv_alerts/alearts04/higai/index.html

SBI証券「パスキー認証は必須になりますか？」
https://faq.sbisec.co.jp/answer/6937e6e3b14749ed0cd6062a/

楽天証券「ログイン時のパスキー認証を段階的に必須化」
https://www.rakuten-sec.co.jp/web/info/info20260529-01.html

マネックス証券「ログイン時のパスキー認証必須化のお知らせ」
https://info.monex.co.jp/news/2026/20260625_01.html

FIDO Alliance「User Authentication Specifications」
https://fidoalliance.org/specifications/