はじめに
夜、スマホで残高を眺めた。 数字は変わっていない。 それでも指が止まった——この画面に入れるのは、本当に私だけだろうか。
資産の話は、たいてい増やす側から始まる。 利回り、コスト、積立の続け方。 私もずっと、そちら側だけを見ていた。
増える箱は、狙われる箱でもある
市場の下落は、ある程度覚悟している。 下がっても売らない、積立も止めない。 そう決めてあるから、慌てずにいられる。
だが自分の口座に他人が入るという事態は、リスク許容度の話に一度も出てこなかったのだ。
金融庁が公表している集計では、インターネット取引サービスへの不正アクセスは2025年1月から2026年7月までで19,142件。そのうち不正な取引まで行われたものが10,607件あり、勝手に売られた金額は約4,365億円にのぼる。ピークだった2025年4月は、その一か月だけで不正アクセスが5,490件、売られた金額が約1,625億円だった。
現金をそのまま抜くのではない。金融庁が典型例として挙げているのは、口座の中の株式などを売り、その代金で国内外の小型株などを買い付けるという形だ。 気づいたときには、中身が入れ替わっている。
暴落は数字が減る。 乗っ取りは、中身が変わる。
破られたのは、二段階認証のほうだった
二段階認証さえ入れてあれば大丈夫——そう思っている人は、少なくないのではないだろうか。
だが、日本証券業協会が注意を促しているのは、その二段階認証を狙う手口のほうだ。攻撃者はまず、利用者を証券会社の偽サイトへ誘導する。そこでID・パスワードを入力させ、さらに偽のワンタイムパスワード入力画面へ送る。入力された数字を直ちに悪用して、本物のサイトへログインする。「リアルタイムフィッシング」と呼ばれる手口だ。
偽サイトに自分で打ち込んでしまえば、SMSやメールに届いた数字も、そのまま鍵として使われる。 鍵を二つにしても、二つとも同じ玄関先で手渡していれば、同じことだった。
だから対策も、認証の数ではなく種類のほうへ動いた。業界の自主規制団体である日本証券業協会は、2025年10月15日施行のガイドライン改正で、認証の水準を引き上げた。ログイン時・出金時・出金先銀行口座の変更時など重要な操作について、フィッシングに耐性のある多要素認証を実装し、必須化するよう求めている。例に挙がっているのは、パスキーによる認証と、PKI（公開鍵基盤）をベースとした認証。しかも初期状態で有効になっていること、まで含まれている。
数字は落ちた。それでも、ゼロにはなっていない
同じ金融庁の集計で、2026年7月の不正アクセスは14件、不正な取引は1件。売られた金額は約0.01億円、およそ100万円だ。売却額で比べると、約1,625億円だった2025年4月とは桁がいくつも違う。
なぜここまで落ちたのかは、集計には書かれていない。不正アクセスの件数が減り始めたのは2025年5月からで、先ほどのガイドライン改正よりも前だ。 分かるのは、いま起きている件数がこの水準だということと、それでもゼロではないということだけだ。
ガイドラインには、スマートフォンなどを持っていない等の理由でやむを得ず設定を解除する顧客への対応も書かれている。代わりの多要素認証を提供することとセットではあるが、求められている水準が上がっても、そこから外れる道は残っている。
・使っている証券会社が、パスキーによる認証を提供しているか
・自分の口座で、それが実際に有効になっているか
・提供されていないなら、いまは何で守られているのか
設定した記憶と、いま有効になっている状態は、別のものだ。
出金先と、通知の宛先
出金先は本人名義の口座に限られていることが多い。 それでも、登録されている中身は見ておきたい。 先ほどのガイドラインも、ログイン時と並べて「出金先銀行口座の変更時」を、強い認証を求める重要な操作に挙げている。 強い認証がかかるほどの操作なら、いま何が登録されているかは、自分で知っておきたい。
もう使っていない銀行口座が残っていないだろうか。 登録したメールアドレスや電話番号は、今のものだろうか。
通知が届かなければ、異変は起きても知らされない。 気づくのが早いほど、打てる手は残る。
守る力も、選択肢のひとつ
経済的自由という言葉を、私は長いあいだ「増やした先にあるもの」として考えていた。 だが積み上げたものが知らないうちに入れ替わるなら、増やした年月ごと揺らぐ。
増やす設定は何度も見直してきた。 守る設定を、同じ回数だけ見直しただろうか。 守れているという静けさがあって、はじめて選べる。
まとめ
不安をあおられて動くのは、あまり気持ちのいいものではない。 それでも、この点検は数分で終わる。
今日ひとつだけ、証券口座にログインして、パスキーの設定欄を見てみてほしい。 使えるのに設定していないなら、いま効くのはそこだ。 提供されていないなら、いまは何で守られているのかだけでも確かめておきたい。 そのログインは、検索結果からではなく、ブックマークか公式アプリから。
数字を見て安心していたつもりだった。 本当に効いていたのは、入口が自分の手にあるという感覚のほうだ。
