ネット証券のログイン画面を開いた瞬間、保有しているはずのない見知らぬ銘柄が約定していたり、長年積み立ててきた投資信託やETFが勝手に売却されていたりしたら、誰しもパニックに陥るはずです。
近年、フィッシング詐欺やマルウェアによってログイン情報が窃取され、証券口座へ不正にアクセスされて勝手に売買が行われる被害が相次ぎました。銀行口座の不正送金とは異なり、「出金先が自分名義の銀行口座に限定されているから安心」と思い込んでいた個人投資家にとって、口座内で資産が勝手に換金・売買される事態は大きな衝撃を与えています。
私自身、ITエンジニアとしてシステムの設計や保守に携わりつつ、2004年から20年以上にわたってネット証券をメインに投資を続けてきました。現在では約1億円の資産を運用していますが、その大半はデジタルのログイン画面の向こう側にあります。もし口座が乗っ取られたらどうなるのか、そして万が一の被害時に補償は受けられるのかという問題は、資産形成を続ける上で決して他人事ではありません。
この記事では、証券口座で発生している不正売買の手口から、業界の補償方針の現実、不正取引を発見した直後に取るべき初動手順、そして被害を最小限に抑えるための多層防御までを整理します。
1. ネット証券で相次ぐ「不正売買（保有株の無断売却と小型株買い付け）」の仕組み
銀行口座への不正アクセスの場合、攻撃者の目的は「預金を第三者の別名義口座へ送金すること」です。しかし、証券口座では少し手口が異なります。
出金口座が本人名義限定でも安心できない理由
一般的なネット証券では、証券口座から資金を出金する際の振込先口座として、口座名義人と完全に一致する本人名義の銀行口座しか登録できない仕組みになっています。
そのため、「第三者が勝手に自分の証券口座へログインできたとしても、見知らぬ他人の口座へお金を直接出金することはできないのだから、実質的な金銭被害は出ないのではないか」と考えがちです。
しかし、攻撃者は出金ではなく、「口座内の資金を使った不正な相場操縦」を目的として口座を乗っ取ります。
保有ETFや株式を勝手に売られ、見知らぬ株を買われる相場操縦の手口
不正売買の典型的な手口は以下の通りです。
- 攻撃者がフィッシング詐欺やマルウェア等を通じて、被害者の証券口座のログインIDやパスワードを不正に入手します。
- 被害者の口座にログインし、保有している優良な株式、インデックス投資信託、ETF（全世界株式やTOPIX連動型など）を市場価格で成行売却して現金化します。
- 売却によって口座内に生じた現金買付余力を使い、流動性が低く取引高の少ない特定の小型株を、あらかじめ攻撃者自身が高値で売り注文を出している板にぶつける形で買い付けます。
この手口によって、攻撃者は自分が安値で仕込んでいた小型株を高値で被害者の資金に買い取らせ、利益を確定させて市場から吸い上げます。一方の被害者の口座には、価値に見合わない高値で掴まされた見知らぬ株式だけが残り、その株価が暴落することで多額の資産価値が瞬時に失われます。
直接預金が引き出されるわけではないものの、資産が勝手に売買されて損失を押し付けられるという点で、極めて悪質な金融犯罪です。
2. 証券口座の不正アクセス被害は補償されるのか？
大切な資産が不正に売買されてしまった場合、証券会社は損失を補償してくれるのでしょうか。この点については、過去の金融慣行と近年の動きを知っておく必要があります。
日本証券業協会と主要証券10社による「一定の被害補償」申し合わせ
従来、多くの証券会社における取引約款では、「登録された正しいID・パスワード等を用いて行われた取引は、名義人本人による有効な取引とみなす」という免責条項が規定されていました。そのため、パスワード等が第三者に盗まれて不正利用された場合であっても、原則として自己責任とされ、証券会社側が損失を補填することは原則的に困難とされてきました。
金融商品取引法において、証券会社が顧客の取引上の損失を後から穴埋めする「損失補塡」が固く禁じられていることも、補償のハードルとなっていました。
しかし、2025年に不正アクセスと不正売買の被害が急増した事態を受け、状況は大きく動きました。日本証券業協会および主要な証券10社（SBI証券、楽天証券、マネックス証券、松井証券、三菱UFJ eスマート証券、野村證券、大和証券、SMBC日興証券、みずほ証券、三菱UFJモルガン・スタンレー証券）は協議を行い、「各社の約款等の定めに関わらず、不正アクセス等により発生した被害について、一定の被害補償を行う方針」とする申し合わせを公表しました。
また、金融庁も、第三者による犯罪被害に伴う損失の補填については、金融商品取引法が禁止する損失補塡には当たらないとの見解を示し、業界による救済の枠組みを容認しました。
一律の全額補償ではない：利用者側の認証設定や管理状況が見られる理由
ここで最も注意しなければならないのは、「申し合わせが行われたからといって、無条件かつ自動的に全額が補償されるわけではない」という点です。
各社の方針において示されている通り、補償の可否や補償割合は、以下の要素を総合的に勘案して個別事案ごとに審査・判断されます。
- 被害者側のログインIDやパスワードの管理状況（他社サービスと同じパスワードを使い回していなかったか、他人に教えたり推測されやすい単純な文字列にしていなかったか）
- 証券会社が推奨・提供している多要素認証（認証アプリやパスキーなど）を適切に設定していたかどうか
- フィッシング対策の警告や不審なログイン通知に対して、適切な確認や対応を行っていたかどうか
- 証券会社側における不正アクセス検知やシステム上の防御措置の実施状況
補償の基準や対応方針は証券会社によってグラデーションがあります。大手対面証券などでは原状回復（不正取引前の保有資産状態への復元）を基本とする姿勢が示される一方で、ネット証券の一部などでは利用者側の過失度合いに応じて損害額の一定割合（例えば2分の1など）の補償にとどまるケースや、補償の前提条件が細かく設定されている場合があります。
補償審査で不利にならないために最低限やっておくべき設定
利用者の立場として重要なのは、「万が一の際に、自分に重大な過失がなかったと証明できる状態を作っておくこと」です。
具体的には、以下の3点は最低限の防衛ラインとなります。
- 証券会社のパスワードを他サービス（通販サイトやSNS等）と一切使い回さないこと
- 証券会社が提供している「パスキー」や「ワンタイムパスワード（認証アプリ）」などの多要素認証を必ず有効にしておくこと
- ログイン通知や約定通知のメール設定を有効にし、受信を確認できるようにしておくこと
これらを放置した状態で被害に遭った場合、「顧客側に重大な過失または過失があった」とみなされ、補償が減額されたり受けられなくなったりするリスクが生じます。認証設定は、単なる不正アクセスの防止策であるだけでなく、「万が一の補償を受けるための法的・実務的な前提条件」でもあると認識しておく必要があります。
3. 不正な売買やログインを見つけた直後の初動チェックリスト
もし自分の証券口座で身に覚えのないログイン通知が届いたり、見知らぬ約定履歴を発見したりした場合は、一刻を争います。パニックを起こさず、以下の順序で機械的に対応を進めることが被害の最小化につながります。
ステップ1：直ちに証券会社の緊急窓口へ連絡し取引・出金を停止する
最初にやるべきことは、証券会社の緊急連絡窓口（不正アクセス専用ダイヤルやカスタマーサポート）へ電話し、口座の一時停止（取引停止および出金停止）を依頼することです。
攻撃者がまだ口座に侵入中である場合、残っている現金のすべてを使って追加の不正売買を行ったり、出金先口座の変更を試みたりする可能性があります。何よりも先に「システムの権限を物理的に遮断する」ことが最優先です。
主要なネット証券では、夜間や休日であっても不正アクセス・紛失盗難に関する緊急受付窓口を設けています。普段から証券会社の緊急連絡先電話番号を控えておくことが推奨されます。
ステップ2：勝手に買われた株を自己判断で売却・買い戻ししない
不正売買を発見した際、多くの人が慌ててやってしまいがちなのが「勝手に買われた見知らぬ株を、慌てて成行で売却してしまうこと」や「勝手に売られた元の株を慌てて買い戻すこと」です。
しかし、自己判断で追加の売買注文を発注することは避けるべきです。
証券会社や警察が後から取引履歴を調査する際、どこまでが攻撃者による不正注文で、どこからが名義人本人の自己判断による正規注文なのかの境界線が曖昧になってしまいます。損害額の算定や原状回復の手続きが極めて複雑化し、補償の交渉において不利に働く恐れがあります。
画面の操作は行わず、まずは証券会社の担当者の指示を仰ぐのが鉄則です。
ステップ3：約定履歴・ログイン履歴・受信メールの証跡を保存する
証券会社へ連絡するとともに、客観的な証拠（ログ）を確実に保全します。
- 不審なログインの日時、IPアドレス（確認できる場合）
- 不正に売買された銘柄名、株数、約定単価、約定日時
- 証券会社から届いたログイン通知メールや約定通知メール
- パソコンやスマートフォンの画面キャプチャ（スクリーンショット）
これらの記録は、証券会社への被害申告だけでなく、警察へ被害届を提出する際や、後述する紛争解決機関への相談時にも極めて重要な証拠となります。
ステップ4：警察への相談・被害届と外部相談窓口（FINMAC等）の確認
口座の停止措置と証拠の保全が完了したら、最寄りの警察署の生活安全課（またはサイバー犯罪相談窓口、警察相談専用電話「#9110」）へ連絡し、不正アクセスおよび不正売買の被害について相談します。
公的な補償手続きや法的な救済を進めるにあたって、警察への届出（受理番号の取得）が求められるケースが一般的です。
また、証券会社との間で補償内容や過失割合について見解が分かれ、当事者間での解決が困難になった場合の公的な窓口として、「特定非営利活動法人 証券・金融商品あっせん相談センター（FINMAC）」が存在します。公正・中立な立場から苦情解決やあっせん手続きを行ってくれる機関があることも知っておくと冷静に対処できます。
4. 資産1億円をネット証券で管理する私の「被害最小化」設計
私は現在、約1億円の資産のうちリスク資産（ETFなど）のほぼすべてを1社のネット証券に集約して運用しています。
一般的に「1社に集中させるのはセキュリティ上危険ではないか」と言われることもありますが、私は管理対象をいたずらに増やすよりも、管理する窓口を1つに絞り込み、そこに最高レベルの防衛線を敷く方が安全だと考えています。
システム設計の観点から、私が実践している資産防衛の仕組みを紹介します。
ログインパスワードと取引暗証番号の完全分離とパスキー必須化
多くのネット証券では、ログイン時に使用する「ログインパスワード」と、実際に株式の売買や出金指示を行う際に要求される「取引暗証番号（取引パスワード）」が別々に設定できるようになっています。
ここでの致命的なミスは、両方に同じ文字列や似たような数字を設定してしまうことです。それでは多層防御の意味がありません。
私の運用ルール：
- ログインにはパスキー（Passkey）または強固な多要素認証を必須化し、パスワードの入力をそもそも排除する
- 取引暗証番号は、ログイン情報とは全く規則性のないランダムな文字列を設定し、パスワードマネージャーで完全に分離管理する
仮に万が一、巧妙な手法でログインを突破されたとしても、取引暗証番号の壁が残っていれば、攻撃者は保有株式を勝手に売却することができません。
証券口座がロックされても生活が止まらない「生活防衛資金」の別銀行配置
万が一不正アクセスが発生し、証券口座を緊急凍結・ロックした場合、調査や原状回復の手続きが完了するまでに数週間から数か月を要する可能性があります。
もし生活費の全額や日常の決済口座を証券口座と直結（自動スイープ設定など）させて一本化していた場合、証券口座の凍結に巻き込まれて日々の家計決済まで完全に麻痺してしまいます。
そのため、私は生活防衛資金（生活費2年分＋家電等の買い替え費用＝約650万円）を、メインのネット銀行2行に半分ずつ（350万円と300万円）分散して保管しています。
システムの世界でいう「冗長化」と「疎結合（システムの構成要素同士が過度に依存しない状態）」を家計設計に取り入れることで、万が一証券口座や連携する一方の銀行口座でインシデントが発生してロックされたとしても、もう一方の独立した銀行口座から日々の生活費を平然と維持できる構造にしています。
生活防衛資金の具体的な配分や考え方については、以下の記事で詳しく整理しています。
約定通知・ログイン通知メールのリアルタイム監視
不正売買の被害を最小限に食い止める最大の武器は「検知の早さ」です。
朝の寄り付き（9:00）直後に不審な売買が行われた場合、それに9:05に気づいて口座を止められるか、夕方や数日後に気づくかで被害規模は天と地ほど変わります。
- ログイン通知メールを即時受信できるようにする
- 注文約定通知メールを即時受信できるようにする
- 金融機関専用の重要通知が届くメールアドレスを日常的にチェックする端末へプッシュ通知設定しておく
通知を煩わしく感じてオフにしてしまうのは、警報装置の電源を切って眠るようなものです。リアルタイムの検知体制を維持することが、日頃の最大の防衛策になります。
個人情報流出全般から資産を守る認証強化の全体像については、以下の記事でもまとめています。
まとめ：認証強化は「侵入防止」だけでなく「補償の前提条件」になる
ネット証券における不正アクセスや不正売買は、もはや「怪しいサイトを見ないように気をつける」という個人の注意力だけで防げるレベルを超えつつあります。
しかし、業界の動向として「一定の被害補償方針」が確立されてきたことは、真面目に資産形成に取り組む個人投資家にとって大きな前進です。
だからこそ、利用者側に求められる意識の転換があります。パスキーの登録やパスワードマネージャーによる使い回し排除、取引暗証番号の分離といったセキュリティ対策は、単に「不正ログインを防ぐため」だけのものではありません。
「万が一突破されて被害が生じた際に、証券会社や公的救済制度から正当な補償を受けるための必須の前提条件」です。
利用している証券会社のセキュリティ設定画面で、多要素認証や通知機能がすべて有効になっているか、取引暗証番号が分離されているかを日頃から点検しておくことが、長年かけて積み上げた大切な資産を守り切る最後の砦になります。
次に読むおすすめ記事
