ネット証券の不正アクセスはどこで起きた？社名が公表された証券会社の一覧と対策

ネット証券の不正アクセスで社名が公表されているのは、日本証券業協会が2025年5月に被害補償の方針を申し合わせた10社と、自社サイトで被害を公表した証券会社です。

金融庁の集計では、2025年1月〜2026年9月の不正取引は10,642件で、2026年9月は2件まで減りました。ただ、2026年8月以降に被害が出た証券会社の社名は公表されていません。

2026年10月の新しい事案、各社のパスキー対応と補償方針の違い、今日からできる対策まで整理しました。

3行要約

①日証協が補償方針を申し合わせた10社に加え、岩井コスモ証券などが自社で被害を公表
②不正取引は2025年1月〜2026年9月で10,642件、ピークは2025年4月の3,033件
③2026年9月は不正アクセス37件・不正取引2件まで減少、パスキーの保存先を狙う手口も発生

ネット証券の不正アクセスが起きた証券会社はどこ？

2026年10月28日時点の公表で社名が分かるのは、日本証券業協会（日証協）が2025年5月に顧客被害について協議し、補償方針を申し合わせた10社と、自社サイトで被害を公表した証券会社です。

金融庁の集計は月ごとの社数だけで、社名を出していません。2026年8月は4社、9月は2社で不正取引が起きていますが、どの証券会社かは集計から分かりません。

2025年に補償方針を申し合わせた10社

日証協は2025年5月2日、フィッシング詐欺などによる証券口座への不正アクセスの被害について、大手証券とネット証券の10社と協議した結果を公表しました。各社の約款の定めにかかわらず、一定の被害補償を行う方針です。

対象は2025年1月以降に発生した被害です。10社は次のとおりで、並びは日証協の公表どおりの50音順にしています。

• SMBC日興証券
• SBI証券
• 大和証券
• 野村證券
• 松井証券
• マネックス証券
• みずほ証券
• 三菱UFJ eスマート証券
• 三菱UFJモルガン・スタンレー証券
• 楽天証券

日証協の公表には、10社それぞれの被害件数は載っていません。

補償の中身は、被害の状況やIDとパスワードの管理状況などを見たうえで、個別の事情に応じて決めるとしています。各社がその後に公表した補償の内容は、後の見出しで比べています。

出典：日本証券業協会『フィッシング詐欺等による証券口座への不正アクセス等による対応について』

自社サイトで被害を公表した証券会社

10社のほかにも、自社の口座で不正取引を確認したと公表した証券会社があります。岩井コスモ証券とGMOクリック証券は、2025年5月に自社サイトで公表しています。

証券会社	公表日	公表した内容
岩井コスモ証券	2025年5月12日	フィッシング詐欺などによるとみられる不正なログインや取引を自社でも確認。2025年7月15日に、インターネット取引で被害に遭った利用者への全額補償を実施
GMOクリック証券	2025年5月2日	同社をかたるフィッシング詐欺などによるとみられる、口座への不正アクセスと不正取引を確認

この表は2026年10月28日時点で、各社が自社サイトで被害を公表している会社だけを載せています。報道で社名が挙がった会社でも、自社の公表を確認できない会社は入れていません。

出典：岩井コスモ証券『不正ログイン・不正取引が確認されておりますのでご注意ください』、『不正アクセス等で被害に遭われた方への補償対応のお知らせ（2025年7月28日）』、GMOクリック証券『GMOクリック証券を装ったフィッシングサイトにご注意ください！』

2026年10月に公表された3つの事案

2026年10月には、証券会社の利用者のIDやパスワードが盗まれた2025年の事案とは違い、委託先のシステムや周辺サービスが攻撃された事案が続けて公表されました。

事案	公表日	公表された内容	詳しい記事
岩井コスモ証券	2026年10月16日（第2報は10月20日）	委託先トレードワークスのシステムへの不正アクセスで4,975名の氏名・メールアドレスなどが漏えい。7口座で本人の意図しない注文が出され、うち5口座で約定。取引前の状態に戻す措置は完了	岩井コスモ証券の不正アクセス
マネックス証券	2026年10月20日	口座開設システムのうち外部委託先が管理するシステムで、第三者がアクセスを試みた形跡を確認。予防的措置として10月19日から新規口座開設の受付を一時停止	マネックス証券の口座開設停止
お名前.com デスクトップクラウド（GMOインターネット）	2026年10月26日（GMOクリック証券の回答）	GMOインターネットが提供するサービスが不正アクセスを受けた事案。GMOクリック証券は、自社の取引サービスで起きたものではないと回答	―

岩井コスモ証券は、漏えいした情報では口座へのログインや取引はできないと説明しています。7口座の不正な注文は売買管理システムへの攻撃によるもので、漏えいした個人情報が使われたものではありません。

マネックス証券の口座開設システムは、開設後の口座情報・残高・取引を管理するシステムとは別のシステムです。停止の対象は、ウェブサイトとアプリからの証券総合取引口座の新規開設となっています。

お名前.com デスクトップクラウドの件で、GMOクリック証券の口座では、この件に関連した不正な操作は確認されていません。同社が2026年10月26日に出した回答による内容です。

出典：岩井コスモ証券『外部委託先への不正アクセスに伴う情報漏洩のお知らせ（第2報）』、マネックス証券『「証券総合取引口座」の新規開設受付の一時停止について』、GMOクリック証券『「お名前.com デスクトップクラウド」への不正アクセスに関するお問い合わせについて』

金融庁が公表した被害件数の推移

金融庁は2025年4月3日から、インターネット取引サービスへの不正アクセスと不正取引の件数を公表しています。直近の更新は2026年10月9日で、2026年9月分までが載っています。

2025年1月〜2026年9月の累計

21か月の合計は、不正アクセスが19,252件、不正取引が10,642件です。不正取引による売却金額は約4,372億円、買付金額は約3,837億円でした。

売却金額と買付金額は、被害口座の中で行われた不正な売買の代金を足し合わせた額です。この金額は、利用者の損失額と一致するものではありません。

よくある手口は、乗っ取った口座の株式などを売却し、その代金で国内外の小型株などを買い付けるものです。件数は各証券会社からの報告を発生日ごとに集めた暫定値で、まだ判明していない被害がある可能性も示されています。

出典：金融庁『インターネット取引サービスへの不正アクセス・不正取引にご注意ください』

月別の推移とピーク

月別に見ると、ピークは2025年4月の不正アクセス5,490件・不正取引3,033件でした。不正取引が起きた証券会社の数で見ると、多かったのは2025年5月の16社です。

月	不正取引が起きた証券会社等の数	不正アクセス件数	不正取引件数	売却金額	買付金額
2025年1月	2社	144件	69件	約2億円	約0.8億円
2025年2月	2社	97件	34件	約0.8億円	約0.8億円
2025年3月	5社	2,321件	935件	約175億円	約147億円
2025年4月	10社	5,490件	3,033件	約1,625億円	約1,423億円
2025年5月	16社	3,404件	2,440件	約1,151億円	約1,032億円
2025年6月	7社	1,865件	920件	約233億円	約178億円
2025年7月	6社	1,099件	930件	約255億円	約228億円
2025年8月	7社	1,448件	654件	約271億円	約262億円
2025年9月	8社	326件	196件	約59億円	約50億円
2025年10月	8社	778件	377件	約111億円	約100億円
2025年11月	7社	363件	157件	約43億円	約27億円
2025年12月	7社	382件	116件	約23億円	約19億円
2026年1月	9社	330件	146件	約49億円	約32億円
2026年2月	5社	217件	171件	約115億円	約100億円
2026年3月	8社	158件	121件	約159億円	約145億円
2026年4月	11社	339件	101件	約74億円	約72億円
2026年5月	8社	222件	106件	約14億円	約13億円
2026年6月	8社	171件	104件	約8億円	約4億円
2026年7月	1社	18件	5件	約0.2億円	約0.2億円
2026年8月	4社	43件	25件	約2億円	約2億円
2026年9月	2社	37件	2件	約2億円	0億円
合計	―	19,252件	10,642件	約4,372億円	約3,837億円

2025年9月に不正アクセスは326件まで下がりましたが、10月は778件に戻りました。2025年11月から2026年6月までは、月に158件〜382件の不正アクセスが続いています。

出典：金融庁『インターネット取引サービスへの不正アクセス・不正取引の発生状況』（2026年10月9日更新）

2026年7月〜9月の状況

2026年7月は1社で不正アクセス18件・不正取引5件となり、21か月の中で件数が少ない月でした。8月は4社で43件・25件、9月は2社で37件・2件です。

9月は不正アクセス37件のうち、売買まで行われたのは2件でした。社名が集計に載っていない点は、よくある質問で扱っています。

出典：金融庁『インターネット取引サービスへの不正アクセス・不正取引の発生状況』（2026年10月9日更新）

証券口座が乗っ取られた主な手口

2025年の被害の多くは、利用者が偽サイトに入力したログイン情報を使われたものです。2026年に入ると、パスキーを保存しているアカウントを狙う手口も注意喚起の対象になりました。

偽サイトでIDとパスワードを盗む手口

金融庁が注意を促しているのは、実在する証券会社のウェブサイトを装った偽サイトでログインIDやパスワードを盗む手口です。盗まれた情報で第三者がログインし、口座内で取引を行います。

偽サイトへの入り口は、メールやSMSに書かれたリンクです。金融庁は、見覚えのある送信者からのメッセージであっても、リンクを開かないよう呼びかけています。

出典：金融庁『インターネット取引サービスへの不正アクセス・不正取引にご注意ください』

ワンタイムパスワードを中継するリアルタイムフィッシング

ワンタイムパスワードを設定していても防げない手口があります。

日証協は、偽サイトでIDとパスワードを入力させた後に偽のワンタイムパスワード入力画面へ誘導し、入力された値をすぐに使って公式サイトから口座を乗っ取る手口を「リアルタイムフィッシング」として説明しています。

三菱UFJ eスマート証券も2026年10月15日の注意喚起で、メールによるワンタイムパスワードの認証方式が悪用されるケースを確認したと公表しました。同社が確認したフィッシングメールは、パスキーへの移行を求める件名で偽サイトへ誘導するものでした。

出典：日本証券業協会『不正アクセス等にご注意ください！』、三菱UFJ eスマート証券『【注意喚起】不正アクセス被害防止のためのお願い』

GoogleやAppleのアカウントを経由した不正ログイン

2026年10月には、SBI証券とSMBC日興証券が、GoogleやAppleのアカウントの乗っ取りについて注意喚起を出しました。アカウントに保存されたパスキーやパスワードのメモが悪用され、証券口座へ不正ログインされた疑いのある事案です。

SBI証券の10月2日の注意喚起は、日証協からの会員向け通知をもとにしたものです。同社の口座での被害は確認されていません。同社のシステムからログイン情報が不正に取得されたものではない、とも説明しています。

SMBC日興証券も、自社システムへの不正侵入ではなく、第三者が利用者のGoogleやAppleのアカウントに不正にアクセスすることで起きる事象だと説明しています。

証券会社のログイン情報を偽サイトに入れていなくても、保存先のアカウントを乗っ取られると被害が及ぶおそれがあるという点が、2025年の手口との違いです。

出典：SBI証券『GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください』、SMBC日興証券『パスキー等を保存している「Apple Account」や「Google アカウント」の乗っ取り被害にご注意ください』

委託先や周辺サービスへの攻撃

岩井コスモ証券の委託先システムへの不正アクセスと、マネックス証券の口座開設システムへのアクセス試行は、どちらも利用者のログイン情報ではなく事業者側のシステムが狙われた事案です。経緯は前の見出しの表にまとめています。

証券業界が進めるパスキーの必須化

日証協は2025年10月15日に「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正しました。主な改正点は、ログイン時・出金時・出金先銀行口座の変更時など重要な操作で、フィッシングに耐性のある多要素認証を実装して必須にすることです。

金融庁・日証協・警察庁は、インターネット取引を提供するすべての証券会社に対して、パスキーによる認証などの提供と必須化を要請してきました。パスキーは公開鍵暗号方式を使う認証で、偽サイトでは認証が使えません。

各社の公式発表から、主な動きを時系列で並べると次のとおりです。

1. 2025年5月2日：日証協が10社の被害補償の申し合わせを公表
2. 2025年5月31日：SBI証券が多要素認証を必須化
3. 2025年10月15日：日証協がガイドラインを改正
4. 2025年10月25日：SBI証券がパスキー認証を導入
5. 2026年6月以降：松井証券と楽天証券が、ログイン時のパスキー登録・認証を順次必須化
6. 2026年6月30日：SBI証券がパスキー認証を原則必須化、マネックス証券がログイン時のパスキー認証を必須化
7. 2026年9月8日：GMOクリック証券がパスキー認証を順次必須化
8. 2026年10月22日：三菱UFJ eスマート証券でログイン時のパスキー利用が必須に
9. 2026年11月28日：GMOクリック証券がパスキー設定済みの利用者のIDとパスワードによるログインを終了（予定）

必須化の進め方は各社で違います。SBI証券は必須化後もIDとパスワードでのログインが可能で、パスキーを設定するまで案内が表示され続けます。マネックス証券はパスキー登録済みの利用者のログインを、パスキーだけに切り替えました。

出典：日本証券業協会『インターネット取引における不正アクセス等防止に向けたガイドライン』、SBI証券『今般のフィッシング詐欺等による不正アクセス等の補償対応について』、マネックス証券『パスキー以外でのログインを制限・許可することは可能ですか？』

主要ネット証券のパスキー対応と補償方針

主要ネット証券6社のパスキー対応を、各社の公式発表で比べました。どの社もパスキーの必須化を進めていて、差が出るのはパスキー以外のログインを止められるかどうかです。

下の表は2026年10月28日時点の公表内容です。

証券会社	パスキーの必須化	パスキー以外のログインを止める設定	公式サイト
SBI証券	2026年6月30日から原則必須。未設定でもIDとパスワードでログイン可	ログインパスワード無効化設定で、パスキーだけのログインにできる	SBI証券
松井証券	2026年6月から順次、ログイン時のパスキー登録を必須化	2026年7月25日から「パスキーでのみログイン」を選べる	松井証券
三菱UFJ eスマート証券	2026年10月22日からログイン時のパスキー利用が必須	パスキー設定後は、メールのワンタイムパスワードなどパスキー以外の認証を無効にできる	三菱UFJ eスマート証券
GMOクリック証券	2026年9月8日から順次必須化	2026年11月28日から、パスキー設定済みの利用者はIDとパスワードでのログインが終了	GMOクリック証券
マネックス証券	2026年6月30日に必須化	パスキー登録済みの利用者は、パスキーでのみログイン	マネックス証券（新規口座開設の受付は停止中）
楽天証券	2026年6月から順次必須化。時期は利用者ごとに個別に案内	パスキー認証のページに記載なし	楽天証券

GMOクリック証券では、パスキーを設定していない利用者は引き続きIDとパスワードでログインできます。ただし設定するまで、取引や出金などに制限がかかります。

出典：SBI証券『パスキー認証を設定しても、ユーザーネーム/ログインパスワードでログインはできますか？』、松井証券『ログイン方法を「パスキー」に限定できるようになります(7/25～)』、三菱UFJ eスマート証券『安心・安全な取引のために（セキュリティ対策）』

補償方針の違い

2025年の被害への補償は、全額を補償した会社と、被害額の50％を基本にした会社に分かれました。その後は、パスキーなどの設定状況を見て個別に決める方針へ改めた会社があります。

証券会社	2025年の被害への補償	その後の方針
SBI証券	原則、被害の50％を金銭で補償。売買手数料などの費用は全額補償し、一律の見舞金も支払う	2025年10月26日以降の被害は、ID・パスワードの管理やセキュリティ機能の利用状況に応じて個々に検証して決める
松井証券	一律に2分の1を金銭で補償	2025年9月29日以降の被害は個別の事情に応じて決める。パスキー未登録で損失が出た場合は補償しない可能性がある
楽天証券	被害額の50％を基本に金銭で補償。被害に遭った利用者に一律10,000円の見舞金	―
三菱UFJ eスマート証券	被害状況を精査し、個別の事情に応じて原状回復を含めて対応	―
岩井コスモ証券	インターネット取引で被害に遭った利用者に全額補償（2025年7月15日実施）	原状回復させる全額補償を含めた一定の補償。警察への被害届の提出が要件
GMOクリック証券	―	身に覚えのない追加認証を拒否しなかった場合や、追加認証をメールにしていた場合は、補償の対象外または限定的になる可能性がある

「―」は、2026年10月28日時点で該当する公表を確認できなかった欄です。SBI証券は、補償の判断で利用者のセキュリティ機能の利用状況を見ると明記しています。

個人が受け取った補償金は、SBI証券・松井証券・楽天証券とも所得税は非課税で、確定申告は不要と案内しています。

出典：SBI証券『今般のフィッシング詐欺等による不正アクセス等の補償対応について』、松井証券『フィッシング詐欺等による不正取引での被害に関する今後の補償について』、楽天証券『フィッシング詐欺等による不正アクセス被害に関する補償方針について』

1社ごとの解説記事

1社ごとの安全性や評判は、各社の解説記事で扱っています。不正アクセスへの備えを含めて口座を見直すときの参考にしてください。

• SBI証券はやばい？評判で言われる理由と安全性
• 松井証券は危ない？評判の傾向と安全性
• 三菱UFJ eスマート証券の評判
• GMOクリック証券の評判
• マネックス証券はやばい？潰れる噂と悪い評判
• 楽天証券はやめたほうがいい？デメリットと評判

証券口座の不正アクセス対策

金融庁・日証協・各証券会社が呼びかけている対策を、設定する場所と防げる手口で整理しました。まず取り組みたいのは、パスキーの登録とパスキー以外のログインを止める設定です。

対策	設定する場所	防げる手口
パスキーを登録する	証券会社の公式サイト・公式アプリのセキュリティ設定	偽サイトでのID・パスワードの盗み取り、リアルタイムフィッシング
パスキー以外のログインを止める	証券会社のセキュリティ設定（各社の機能名は前の見出しの表）	盗まれたIDとパスワードでのログイン
ログイン・取引・出金の通知を有効にする	証券会社の通知サービス	不審な取引の見落とし
GoogleやAppleのアカウントに2段階認証を設定する	Googleアカウント・Apple Account	保存したパスキーやパスワードのメモの悪用
アカウントの復旧用メール・電話番号と登録端末を確認する	Googleアカウント・Apple Account	アカウントの乗っ取り
身に覚えのない認証要求やログイン通知は承認しない	スマートフォンなどの端末	第三者によるログインの試み
証券会社のサイトはブックマークから開く	ブラウザ	メールやSMSのリンクからの偽サイトへの誘導
パスワードを使い回さない	各サービスのパスワード	他のサービスから漏れたパスワードでのログイン
OSを更新し、ウイルス対策ソフトを入れる	パソコン・スマートフォン	マルウェアによる情報の盗み取り

パスキーの登録そのものを狙うフィッシングもあります。SBI証券は、「パスキーを再登録してください」といったSMSのリンクを開かず、電話で登録を求められても手続きしないよう呼びかけています。

日証協も、パスキーの登録は証券会社の公式サイトか公式アプリから行うよう案内しています。パスキーをクラウドに保存する場合は、GoogleやAppleのアカウントにも多要素認証を設定してください。

出典：金融庁『インターネット取引サービスへの不正アクセス・不正取引にご注意ください』、日本証券業協会『不正アクセス等にご注意ください！』、SMBC日興証券『パスキー等を保存している「Apple Account」や「Google アカウント」の乗っ取り被害にご注意ください』

不正アクセスに気づいたときの連絡先

身に覚えのないログインや取引に気づいたら、まず連絡するのは、口座のある証券会社の問い合わせ窓口です。金融庁も、不審な点があれば各証券会社の窓口へ確認するよう案内しています。

1. 証券会社の問い合わせ窓口へ連絡する（電話番号は各社の公式サイトで確認）
2. ログインパスワードと取引パスワードを変更し、パスキーの登録状況を見直す
3. 警察へ相談し、被害届の提出が必要か確認する
4. 対応に迷ったら、金融庁 金融サービス利用者相談室（0570-016811、平日10時〜17時）に相談する

金融サービス利用者相談室は、IP電話からは03-5251-6811にかけます。偽サイトに情報を入力してしまった場合、SBI証券はユーザーネームやパスワード類をすぐに変更し、身に覚えのない取引や出金があれば直ちに連絡するよう案内しています。

補償の手続きで警察への届出を求める会社もあり、岩井コスモ証券は被害届の提出を補償の要件にしています。

出典：金融庁『インターネット取引サービスへの不正アクセス・不正取引にご注意ください』、SBI証券『フィッシングメールのサイトで、ユーザーネーム・ログインパスワード・取引パスワード等を入力してしまったがどうすればいいですか？』、岩井コスモ証券『不正アクセス等で被害に遭われた方への補償対応のお知らせ（2025年7月28日）』

よくある質問

不正アクセスの被害は補償される？

補償するかどうかと補償の額は、証券会社ごとの方針で決まります。2025年の被害では全額補償や50％補償が公表されましたが、その後はパスキーなどの設定状況を見て個別に決める会社が出ています。各社の内容は補償方針の表で比べています。

2026年8月以降に被害が出た証券会社はどこ？

金融庁の集計では、2026年8月は4社、9月は2社で不正取引が起きています。集計には社名が載っていないため、どの証券会社かは公表資料から分かりません。

パスキーを設定すれば安全？

パスキーは偽サイトでは認証が使えない仕組みのため、SBI証券はフィッシングに強い特徴があると説明しています。ただしパスキーを保存したGoogleやAppleのアカウントが乗っ取られた事案について、2026年10月に注意喚起が出ています。

GMOクリック証券も、パスキーを同期している場合はその安全性がGoogleアカウントやApple IDの安全性に左右されると案内しています。パスキーの登録とあわせて、保存先のアカウントにも2段階認証を設定してください。

出典：SBI証券『パスキー認証を設定しても、ユーザーネーム/ログインパスワードでログインはできますか？』、GMOクリック証券『2026年11月28日（土）よりログインはパスキー認証のみになります。』

証券会社を名乗るメールの見分け方は？

松井証券は、パスキーに関するメールにパスキー設定画面やログイン画面への直接リンクを載せないとしています。三菱UFJ eスマート証券も、同社からのメールにログインのリンクは掲載していないと案内しています。

リンク付きでログインや再登録を求めるメールは、本物の証券会社からの案内ではない可能性があります。リンクは開かず、ブックマークした公式サイトから自分の口座を確認してください。

出典：松井証券『ログイン時のパスキー登録を順次、必須化します(6月～)』、三菱UFJ eスマート証券『【注意喚起】不正アクセス被害防止のためのお願い』

まとめ

2026年10月28日時点で社名が分かるのは、2025年5月に日証協が補償方針を申し合わせた10社と、岩井コスモ証券・GMOクリック証券のように自社で被害を公表した会社です。2026年8月以降に被害が出た証券会社は、金融庁の集計では社数しか分かりません。

不正取引は2025年4月の3,033件から、2026年9月には2件まで減りました。一方で、パスキーの保存先のアカウントや委託先のシステムを狙う事案が2026年10月に相次いで公表されています。

これから口座を作る、または今の口座を見直すなら、パスキー以外のログインを止められる証券会社を選んでください。盗まれたIDとパスワードだけではログインされない状態にできるからです。

SBI証券、松井証券、三菱UFJ eスマート証券はこの設定を用意しています。GMOクリック証券は2026年11月28日から、パスキー設定済みの利用者のIDとパスワードでのログインを終了します。

手数料や取扱商品まで含めて証券会社を比べたいときは、ネット証券8社の比較と目的別の選び方を参考にしてください。