証券会社をかたる「リアルタイムフィッシング」。乗っ取られた口座で、何が起きるのか

※アフィリエイトリンクを含みます。

証券会社から届いたメールをクリックしてログインしただけなのに、気づいたら口座の中身が、知らない銘柄に入れ替わっていた。当サイトのなりすましメール・偽サイト型の記事では、宅配便・税務署・カード会社・行政機関という4つのなりすまし先を紹介しましたが、2025年以降、これに証券会社が加わっています。金融庁と日本証券業協会が、それぞれ公式に注意を呼びかけている手口を整理します。

手口:偽サイトが「もう一段階」仕掛けてくる、リアルタイムフィッシング

証券会社等を装った偽のメールやSMSが届き、記載されたリンクから偽サイトや偽アプリへ誘導される、という入口は、他のなりすまし型と同じです。ただしこの手口には、それだけでは終わらない仕掛けがあります。

日本証券業協会の説明によると、利用者が偽サイトにID・パスワードを入力すると、続けて偽のワンタイムパスワード入力画面が表示されます。利用者がそこにワンタイムパスワードまで入力してしまうと、攻撃者はそれを即座に悪用し、証券会社の公式サイトからアカウントを乗っ取ります(出典:日本証券業協会)。この、二段階の入力をリアルタイムで中継する手口は「リアルタイムフィッシング」と呼ばれています。

従来のID・パスワードだけを盗む手口であれば、ワンタイムパスワードという追加の壁で被害を防げる場面もありました。ところがリアルタイムフィッシングは、その場でワンタイムパスワードそのものを横取りしてしまうため、二段階の認証を用意していても、タイミングが合えば突破されてしまいます。

乗っ取られた口座で、何が起きるのか

金融庁によると、実在する証券会社のウェブサイトを装った偽サイトなどで窃取したログインIDやパスワードを使い、口座を乗っ取った攻撃者は、口座内にあった株式等を売却し、その売却代金で国内外の小型株などを買い付ける、という手口が確認されています(出典:金融庁)。マルウェア(ウイルス等)による情報の窃取が原因となっている被害も確認されています。

持っていた株式を勝手に売られ、身に覚えのない銘柄が買われている。この不自然な値動きが、被害に気づくきっかけになるケースが多いようです。金融庁は、まだ判明していない不正アクセス・不正取引が存在する可能性もあるとしており、被害の全体像は今も更新され続けています。

見分けるポイントと、今日からできる備え

金融庁・日本証券業協会がそろって呼びかけているのは、次の2点です。

①メールやSMS内のリンクからログインしない

証券会社からの連絡だとしても、記載されたリンクは開かず、あらかじめ登録しておいた公式サイトのブックマークや、公式アプリからログインすることが推奨されています。リアルタイムフィッシングは、偽サイト経由でログインした場合にのみ機能する手口です。入口を使わなければ、この手口自体が成立しません。

②パスキーなど、フィッシングに強い認証への切り替え

金融庁・日本証券業協会は、フィッシングに耐性のある多要素認証、特に「パスキー」による認証への切り替えを呼びかけています。パスキーは、正規サイト以外では認証情報そのものが機能しない仕組みのため、偽サイトに誘導されても情報を渡してしまう心配がありません。証券口座をお持ちの方は、利用している証券会社がパスキーに対応しているか、一度確認してみてください。

そのほか、パスワードの使い回しを避けること、公共のフリーWi-Fiや不特定多数が使う端末でのログインを控えること、セキュリティソフトを最新の状態に保つことも、あわせて推奨されています。

「投資をしていない家族は関係ない」わけではありません

このサイトを読んでいる方の中には、「自分は証券口座を持っていないから関係ない」と感じる方もいるかもしれません。ですが、離れて暮らす親や家族がNISA等をきっかけに証券口座を開いているケースは、今の時代、決して珍しくありません。当サイトの敬老の日チェックリストでもお伝えした通り、離れて暮らす家族の備えを、代わりに気にかけてあげられるのは、身近な家族だけです。証券口座を持っている家族がいれば、この機会に、パスキーへの切り替えや、公式サイトのブックマーク登録ができているか、一緒に確認してみてください。

まとめ

証券会社になりすます手口は、偽サイトでID・パスワードを盗むだけでなく、その場でワンタイムパスワードまで横取りする「リアルタイムフィッシング」へと巧妙になっています。メール・SMS内のリンクからログインしないこと、パスキーなどフィッシングに強い認証へ切り替えることの2点が、金融庁・日本証券業協会がそろって呼びかけている、いちばん確実な備えです。なりすまし型の手口全体については、こちらのハブ記事でも整理しています。

宅配便、税務署、カード会社。あなたの生活に一番近いところからやってくる、なりすましメール・偽サイトの手口を整理しました →

（当サイトは個人が運営する情報サイトであり、警察・自治体などの公的機関とは関係ありません。記載内容は各種公的機関の公表資料をもとに整理したものです。）