岩井コスモ証券の不正アクセスで何が起きた？｜被害と補償、利用者の対策

岩井コスモ証券の不正アクセスは、ネット取引のシステムを委託しているトレードワークスが2026年10月14日に攻撃を受けた事案です。7口座で意図しない売買注文が出され、うち5口座で約定しました。

約定した取引は同日中に取引前の状態へ戻され、利用者に金銭的な負担は生じていないと両社は公表しています。一方で、4,975人分の氏名・メールアドレスなどが漏えいしました。

2026年10月28日時点の両社の公表から、時系列、原因、損失の負担者、利用者がやることをまとめました。

3行要約

①委託先トレードワークスへの不正アクセスで7口座に意図しない注文、5口座で約定
②約定は同日中に取引前の状態へ復元、利用者の金銭負担はなしと公表
③氏名・メールアドレス等4,975人分が漏えい、対象者は不審メールに注意

岩井コスモ証券の不正アクセスの概要

2026年10月14日、岩井コスモ証券がネット取引のシステム運用・保守を委託しているトレードワークスのシステムに、第三者が不正にアクセスしました。利用者のお金の負担は公表上ゼロで、個人情報の漏えいは事実というのが全体像です。

両社の公表を項目ごとにまとめると、次のようになります。

項目	内容	公表日
検知と遮断	2026年10月14日に検知し、同日中に通信を遮断	10月16日・10月21日
攻撃された先	委託先トレードワークスのシステムの一部の管理機能	10月16日・10月23日
意図しない注文	7口座で発注、うち5口座で約定	10月20日
お金の被害	同日中に取引前の状態へ復元。利用者の金銭的な負担はなく、資金の不正な流出も未確認	10月20日・10月23日
情報漏えい	4,975人分の氏名・メールアドレス他（取引暗証番号は含まれない）	10月20日
損失の負担	トレードワークスが全額を負担する方針。損失は約5,000万円の見込み	10月16日・10月23日
取引の状況	ネット取引は通常どおり稼働	10月20日

意図しない注文が出た口座の利用者には、岩井コスモ証券が10月14日のうちに個別に連絡しました。漏えいの対象者にも個別の連絡が届いています。

人数などの数値は公表のたびに更新されてきました。この記事では、2026年10月28日時点で直近の公表にあたる、10月20日の岩井コスモ証券の第2報と10月23日のトレードワークスの開示の値を使います。

出典：岩井コスモ証券『2026年10月20日お知らせ（外部委託先への不正アクセスに伴う情報漏洩・第2報）』、トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』

発生から公表までの時系列

公表は岩井コスモ証券とトレードワークスの2社から出ています。報道で伝えられた内容は、発信者の列で公表と区別しました。

日付	発信者	出来事
10月14日	岩井コスモ証券・トレードワークス	不正アクセスを検知して遮断。意図しない注文が出た口座の利用者へ個別に連絡し、同日中に取引前の状態へ復元
10月16日	岩井コスモ証券	第1報。漏えいの対象は4,611人と公表
10月16日	トレードワークス	適時開示。原因は管理機能の設定の不備と公表
10月20日	岩井コスモ証券	第2報。7口座で意図しない注文、うち5口座で約定と公表。漏えいの対象は4,975人に
10月21日	岩井コスモ証券	ネット取引サイトで報告。パスキー認証は突破されていないと説明
10月21日	報道（時事通信）	金融庁が証券会社の実態把握を始めたと報道
10月23日	トレードワークス	経過の開示。損失は約5,000万円の見込みと公表
10月27日	報道（NHK）	日本取引所グループのCEOが、業界全体で再発防止に取り組む考えを示したと報道

不正な注文の公表が10月20日になった理由も、岩井コスモ証券は説明しています。10月16日の時点では対策を段階的に進めていたため、手口につながる情報の公表を控えていたという内容です。

出典：岩井コスモ証券『2026年10月16日ニュースリリース（外部委託先への不正アクセスに伴う情報漏洩）』、時事通信（Yahoo!ニュース配信）『金融庁、証券会社への影響調査 岩井コスモ攻撃、AIの可能性も 不正アクセス』、NHK『岩井コスモ問題受け業界全体で再発防止 日本取引所グループCEO』

原因はトレードワークスの管理機能の設定不備

今回の不正アクセスは、岩井コスモ証券の社内ではなく、委託先のシステムの一部の機能が狙われたものです。原因について、両社の公表は次の点で一致しています。

トレードワークスとは

トレードワークスは東証スタンダード市場に上場する会社で、証券コードは3997です。岩井コスモ証券は、ネット取引のシステム運用・保守業務を同社に委託しています。

同社は岩井コスモ証券のほかにも、他の金融機関にシステムを提供しています。

出典：岩井コスモ証券『2026年10月16日ニュースリリース（外部委託先への不正アクセスに伴う情報漏洩）』、トレードワークス『当社が提供するシステムへの不正アクセスに関するお知らせ』

悪用された管理機能の中身

トレードワークスは原因を、本来は限定された環境からのみ利用されるべき機能が、外部から利用できる状態にあったことと説明しています。第三者はこの管理機能を使って、不正な取引をしました。

同社は10月16日の開示で、これを当社の管理が不十分であったことによるものと認めています。岩井コスモ証券も、今回の不正取引に漏えいした個人情報は使われていないと説明しました。

出典：トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』、岩井コスモ証券『2026年10月20日お知らせ（外部委託先への不正アクセスに伴う情報漏洩・第2報）』

パスキー認証は突破されていない

岩井コスモ証券は10月21日の報告で、今回の不正取引はパスキー認証が突破されたものではないと説明しています。利用者の通常のログインには多要素認証・パスキー等の認証があり、通常の経路からの不正ログインは防がれていたとトレードワークスも開示しました。

悪用された管理機能を通じて、利用者のパスワードが取得されたことも確認されていません。取引に必要なパスワード等はマスキング処理されていて、攻撃者からは閲覧できない状態だったと岩井コスモ証券は説明しています。

出典：岩井コスモ証券ネット取引『不正アクセスによる個人情報漏洩および不正取引に関するご報告』、トレードワークス『当社が提供するシステムへの不正アクセスに関するお知らせ』

AIを使った攻撃という報道

時事通信は10月21日、攻撃にAI（人工知能）が使われた可能性があると報じました。記事の中で、この情報の発言者は特定されていません。

一方、10月28日時点の岩井コスモ証券の公表文は、攻撃を「悪意ある第三者がシステムの脆弱性を突き、総当たり攻撃を仕掛けてきたもの」と説明しています。この公表文にも、トレードワークスの2回の開示にも、AIという語はありません。

報道やまとめ記事の中には、同じ報告に「AIを用いて」という文言があったと引用するものもあります。現在の公表文の文言と報道の引用は一致しておらず、AIが使われたかどうかは公表では確定していません。

出典：岩井コスモ証券ネット取引『不正アクセスによる個人情報漏洩および不正取引に関するご報告』、トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』、時事通信（Yahoo!ニュース配信）『金融庁、証券会社への影響調査 岩井コスモ攻撃、AIの可能性も 不正アクセス』

不正取引の被害と補償

不正な注文によるお金の被害は、利用者の手元には残っていません。注文の件数、復元の方法、損失を誰が負担するのかを順に見ていきます。

意図しない注文は7口座・約定は5口座

不正アクセスがあった10月14日には、売買管理システムへの攻撃も発生しました。7口座で利用者の意図しない売買注文が発注され、そのうち約定したのは5口座です。

岩井コスモ証券は、対象の利用者に10月14日のうちに個別に連絡しました。10月21日の報告では、攻撃を遮断するまでの間に5件の不正な約定が発生したと説明しています。

出典：岩井コスモ証券『2026年10月20日お知らせ（外部委託先への不正アクセスに伴う情報漏洩・第2報）』、岩井コスモ証券ネット取引『不正アクセスによる個人情報漏洩および不正取引に関するご報告』

取引前の状態への復元と利用者の負担

約定した取引は、すでに取引前の状態に戻す措置が完了しています。利用者の負担は生じていないと、岩井コスモ証券は公表しました。

トレードワークスの10月23日の開示によると、復元は10月14日のうちに行われています。利用者の資金の不正な流出も確認されていません。

出典：岩井コスモ証券『2026年10月20日お知らせ（外部委託先への不正アクセスに伴う情報漏洩・第2報）』、トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』

損失を負担するのはトレードワークス

トレードワークスは10月16日の開示で、今回の件で生じた損失と対応費用を全額負担する方針を示しました。10月23日には、損失を現時点で約5,000万円と見込み、2026年12月期第4四半期に特別損失として計上する見込みと公表しています。

この金額は現時点の見込みで、確定した額ではありません。同社はサイバー保険の適用を見込んでおり、通期連結業績予想の修正は行っていません。

約5,000万円はトレードワークス側の損失の見込み額で、利用者の被害額ではありません。利用者に金銭的な負担が生じていないことは、前の見出しのとおり両社が公表した内容です。

出典：トレードワークス『当社が提供するシステムへの不正アクセスに関するお知らせ』、『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』

漏えいした個人情報の範囲

漏えいの対象は、10月16日の第1報では4,611人でした。10月20日の第2報で364人が加わり、4,975人になっています。

項目	10月16日の第1報	10月20日の第2報以降
対象人数	4,611人	4,975人（364人を追加）
追加の理由	—	アクセス記録に加えて通信記録も改めて精査した結果、判明
漏えいした内容	氏名、メールアドレス他	氏名、メールアドレス他（第1報の範囲内）
取引暗証番号	記載なし	含まれない
この情報だけでのログイン・取引	不正ログインや不正取引のリスクはないと説明	ログインや各種取引はできないと説明
連絡の方法	対象者へ個別に報告済み	追加の対象者へログイン後のお知らせ画面とメールで個別に連絡

追加の364人は、10月14日の不正アクセスの際にすでに生じていた漏えいを、再調査で把握したものです。その後に新たな不正アクセスや漏えいが起きたわけではないと、両社とも説明しています。

10月21日の報告によると、攻撃を遮断するまでの間、4,975件の情報が攻撃者から閲覧できる状態でした。第1報の時点で、二次被害は確認されていません。

出典：岩井コスモ証券『2026年10月20日お知らせ（外部委託先への不正アクセスに伴う情報漏洩・第2報）』、『2026年10月16日ニュースリリース（外部委託先への不正アクセスに伴う情報漏洩）』、トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』

岩井コスモ証券は危険？

岩井コスモ証券がやばい、危険と検索される背景には、情報漏えいと不正な約定という2つの事実があります。

判断の材料として、取引システムの今の状態、2025年に出した補償方針、他の導入先への影響を公表の範囲で整理します。

取引システムの稼働状況と再発防止策

岩井コスモ証券のネット取引システムは、10月20日の時点で安定して稼働しており、通常どおり取引できます。トレードワークスも、システムは本件の発生後も継続して稼働していると開示しました。

両社が公表した再発防止策は、次のとおりです。

• 管理機能を外部から利用できないよう恒久的に是正
• 接続元の制限と、管理機能へのアクセス制限
• 不正な通信を遮断する仕組みの強化と、ログインの異常を即時に検知する仕組みの追加
• 監視体制の強化（定時の点検と、異常があったときの即時対応）
• 第三者機関の知見を活用したシステム全体の点検

強化の後、新たな情報の漏えいは確認されていません。岩井コスモ証券は、トレードワークスと連携して監視と点検を続けると公表しています。

出典：岩井コスモ証券『2026年10月20日お知らせ（外部委託先への不正アクセスに伴う情報漏洩・第2報）』、トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』

2025年の不正取引と補償方針

2025年には、フィッシング詐欺等による不正アクセスで、第三者が口座の資産を使って売買する被害が証券各社で起きました。岩井コスモ証券は、ネット取引で被害に遭った利用者に約款の定めに関わらず全額補償を実施し、2025年7月15日に完了しています。

それ以降の被害については、利用状況や被害事情を精査し、協議の上で原状回復を含む一定の補償を行う方針です。補償の要件は、警察への被害届の提出となっています。

今回の件について岩井コスモ証券は、金融庁が毎月公表する不正取引の発生状況でも、2025年5月以降に同種の事案は発生していなかったと説明しています。2025年型の被害と今回の事案の違いは、次のとおりです。

項目	2025年の口座乗っ取り型	今回の事案
入り口	フィッシング詐欺等による口座への不正アクセス	委託先システムの管理機能の設定の不備
利用者のパスワード	第三者が悪用	取得は確認されていない
お金の扱い	全額補償（2025年7月15日に実施）。以降の被害は協議の上で一定の補償	同日中に取引前の状態へ復元し、利用者の負担なし
損失の負担	岩井コスモ証券が補償	トレードワークスが全額を負担する方針

出典：岩井コスモ証券『2025年7月28日お知らせ（不正アクセス等の被害に対する今後の補償対応）』、岩井コスモ証券ネット取引『不正アクセスによる個人情報漏洩および不正取引に関するご報告』、金融庁『インターネット取引サービスへの不正アクセス・不正取引にご注意ください』

トレードワークスの他の導入先への影響

トレードワークスは、他の金融機関に提供しているシステムも点検しました。本件と同様の事象は10月23日時点で確認されていないと開示しています。

金融庁が証券会社の実態把握を始め、トレードワークスのシステムを使う他の証券会社に聞き取り調査を行ったもようだと、時事通信が報じました。導入先の証券会社名は、両社の公表には出ていません。

出典：トレードワークス『（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ』、時事通信（Yahoo!ニュース配信）『金融庁、証券会社への影響調査 岩井コスモ攻撃、AIの可能性も 不正アクセス』

岩井コスモ証券の登録と加入協会

岩井コスモ証券は、近畿財務局長(金商)第15号の登録を受けた金融商品取引業者です。日本証券業協会、一般社団法人資産運用業協会、一般社団法人金融先物取引業協会に加入しています。

出典：岩井コスモ証券『2026年10月16日ニュースリリース（外部委託先への不正アクセスに伴う情報漏洩）』

岩井コスモ証券の利用者がやること

漏えいの対象者は1〜6のすべてを、対象ではない利用者も3〜6を確認してください。

1. 岩井コスモ証券からの個別の連絡（メール、ログイン後のお知らせ画面）が届いていないか確認してください
2. 登録したメールアドレスに届く不審なメールや、岩井コスモ証券を装った電話に注意してください
3. パスキーを設定し、多要素認証が未設定なら設定してください
4. ログインは事前に登録したブックマークから行い、メールやSMSに載ったリンクは開かないでください
5. ログイン時・取引時・出金時の多要素認証や通知サービスを有効にし、口座の状況をこまめに確認してください
6. 身に覚えのない取引や連絡があれば、岩井コスモ証券の相談窓口（電話0120-405-546、受付は平日9時〜17時）へ連絡してください

漏えいした情報だけではログインや取引はできないと、両社は説明しています。注意が必要なのは、漏えいしたメールアドレス宛てに届く不審なメールです。

パスワードを使う場合は、使い回しをせず、できる限り長く推測されにくい文字列にするよう金融庁は呼びかけています。

出典：岩井コスモ証券『2026年10月16日ニュースリリース（外部委託先への不正アクセスに伴う情報漏洩）』、岩井コスモ証券ネット取引『不正アクセスによる個人情報漏洩および不正取引に関するご報告』、金融庁『インターネット取引サービスへの不正アクセス・不正取引にご注意ください』

不安な人向けの別の証券会社

岩井コスモ証券のネット取引は通常どおり使えます。そのうえで、ログインの認証や補償方針を比べて口座を分けたい人向けに、パスキーへの対応を公表している4社を並べました。

証券会社	ログイン時のパスキー	補償に関する公表	詳しい記事	公式サイト
SBI証券	2026年6月30日から原則必須化	フィッシング詐欺等による被害の補償方針を公表	SBI証券の安全性	SBI証券公式サイト
松井証券	2026年6月から順次、登録を必須化	2025年9月29日以降の被害は個別の事情に応じて補償を決定	松井証券の安全性	松井証券公式サイト
三菱UFJ eスマート証券	必須化を予定（2026年9月14日の公表では10月末が目標、時期は移行状況を踏まえて判断）	個別の事情に応じて原状回復を含めて対応する方針	三菱UFJ eスマート証券の評判	三菱UFJ eスマート証券公式サイト
GMOクリック証券	2026年9月8日から順次必須化	身に覚えのない追加認証を拒否しなかった場合などは補償の対象外か限定的になる可能性を公表	GMOクリック証券の評判	GMOクリック証券公式サイト

SBI証券

SBI証券は、2026年6月30日からパスキー認証を原則必須化しました。補償の考え方を含む安全性の詳細はSBI証券はやばい？の記事で扱っています。口座開設はSBI証券の公式サイトから申し込めます。

出典：SBI証券『【パスキー認証】パスキー認証は必須になりますか？』、『今般のフィッシング詐欺等による不正アクセス等の補償対応について』

松井証券

松井証券は、2026年6月から順次、ログイン時のパスキー登録を必須化しています。安全性の詳細は松井証券は危ない？の記事にまとめました。口座開設は松井証券の公式サイトから申し込めます。

出典：松井証券『ログイン時のパスキー登録を順次、必須化します(6月～)』、『フィッシング詐欺等による不正取引での被害に関する今後の補償について』

三菱UFJ eスマート証券

三菱UFJ eスマート証券は、ログイン時のパスキー必須化を予定しています。必須化の後は、パスキー以外のログイン方法が使えなくなる予定です。評判は三菱UFJ eスマート証券の評判の記事で扱っています。口座開設は三菱UFJ eスマート証券の公式サイトから申し込めます。

出典：三菱UFJ eスマート証券『ログイン時のパスキー必須化について』、『今般のフィッシング詐欺等による不正取引に対する被害補償について』

GMOクリック証券

GMOクリック証券は、2026年11月28日から、パスキーを設定済みの人についてユーザIDとログインパスワードによるログインを終了します。評判はGMOクリック証券の評判の記事にまとめました。口座開設はGMOクリック証券の公式サイトから申し込めます。

出典：GMOクリック証券『2026年11月28日（土）よりログインはパスキー認証のみになります。』、『ログイン追加認証が必須化されます！』

よくある質問

自分が漏えいの対象者かを確認する方法は？

対象者には、岩井コスモ証券から個別の連絡が届いています。第2報で追加された364人には、ログイン後のお知らせ画面とメールで連絡しています。

不明な点は、岩井コスモ証券の相談窓口（電話0120-405-546）が平日9時〜17時に受け付けています。

岩井コスモ証券の口座は使い続けて大丈夫？

判断の材料になる公表は3点です。ネット取引は通常どおり稼働していること、約定した取引は復元済みで利用者の負担がないこと、パスキー認証は突破されていないことが両社から公表されています。

使い続けるかどうかは、これらの公表と、続報の有無を踏まえて利用者が判断することになるでしょう。

不正に売買された株はどうなった？

約定した5口座の取引は、10月14日のうちに取引前の状態へ戻されています。詳しくは「不正取引の被害と補償」の見出しで説明しました。

トレードワークスのシステムを使う他の証券会社は大丈夫？

トレードワークスは、他の金融機関に提供するシステムで本件と同様の事象は確認されていないと、10月23日に開示しています。導入先の社名は公表されていません。

今回の件で補償を受けるのに被害届は必要？

今回は取引前の状態へ戻す措置が完了し、利用者の負担は生じていないと公表されています。今回の件の公表文に、被害届の提出を求める記載はありません。

警察への被害届を要件とする補償方針は、2025年7月28日に公表された、今後の不正アクセス等による被害への方針です。フィッシング詐欺等による被害への全額補償とあわせて出されたもので、今回の件の公表文はこの方針に触れていません。

まとめ

岩井コスモ証券の不正アクセスは、委託先トレードワークスのシステムの管理機能の設定不備を突かれた事案です。7口座で意図しない注文が出され、5口座で約定しました。

2026年10月28日時点の公表では、約定した取引は同日中に取引前の状態へ戻され、利用者に金銭的な負担は生じていません。一方で4,975人分の氏名・メールアドレスなどが漏えいしており、対象者は不審なメールや電話への注意が必要です。

どの利用者にもできる対策は、パスキーの設定と、ブックマークからのログインです。続報が出たときは、岩井コスモ証券とトレードワークスの公表を確認してください。

口座を分けて持つ証券会社を探すなら、証券会社のおすすめ比較で手数料や取扱商品も含めて比べられます。パスキーのログイン必須化を進めているSBI証券や松井証券は、公式サイトから口座開設を申し込めます。