要旨
2025年は日本の証券業界にとって「認証の転換点」となった年です。フィッシング詐欺によって証券口座が乗っ取られる被害が年間を通じて急増し、金融庁の集計では2025年1年間の不正売買額が約7,393億円、不正アクセス件数は17,559件に達しました1。
この前例のない規模の被害を受けて、金融庁・日本証券業協会が相次いでガイドラインを改正し、証券各社は「パスワード」から「パスキー（FIDO2）」への移行を一斉に進めることになりました。
本記事では、この動きの技術的背景・各社の対応状況・パスキーのフィッシング耐性の仕組み・移行に伴う課題を整理します。証券業界の対応を軸としながら、パスキーというテクノロジー自体の理解を深めることを目的とします。
記事本文
1. 何が起きたのか：2025年の証券口座乗っ取り事件
被害の時系列
2025年1月〜2月時点では月間の不正アクセス件数は100件に満たない水準でしたが、3月に1,420件、4月には5,279件と急増しました。4月単月の不正売買額は3,000億円を超え、業界関係者に衝撃を与えました2。
月別の不正アクセス件数推移（2025年）
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
1月 : 96件 ▏
2月 : 71件 ▏
3月 : 1,420件 ██████
4月 : 5,279件 █████████████████████████
5月 : 4,956件 ████████████████████████
↑ ここをピークに減少傾向へ
10月 : 693件 ███ ← パスキー導入後
12月 : 343件 ██ ← さらに減少
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
出典：金融庁 不正アクセス・不正取引被害状況3
攻撃手法：Hack, Pump and Dump
今回の事件で使われた手法は 「Hack, Pump and Dump（ハック・パンプ・アンド・ダンプ）」 と呼ばれます4。仕組みは以下の通りです。
① フィッシングサイトへ誘導
→ 証券会社を装ったメール・SMSでログインID・パスワードを窃取
② 窃取した認証情報で口座に不正ログイン
→ 被害者の保有株を売却（現金化）
③ 売却代金で特定の小型株を大量買い付け
→ 買い付けで当該株価を人為的に釣り上げ（Pump）
④ 事前に仕込んでいた同銘柄を高値で売り抜け
→ 利益確定（Dump）
⑤ 被害者の口座には流動性の低い小型株だけが残る
→ 直接的な現金流出がないため発見が遅れる
この手法の巧妙さは「不正出金ではなく不正取引」である点です。直接現金が引き出されるわけではないため、銀行口座への不正振込を検知するシステムでは捕捉できませんでした2。
また被害拡大の原因のひとつとして、インフォスティーラー（Infostealer） と呼ばれる情報窃取特化型マルウェアの関与も指摘されています。端末に感染したインフォスティーラーはWebブラウザに保存されたID・パスワードやCookieを大量に窃取し、それがダークウェブで売買されました4。
2. 規制当局の対応：業界ガイドラインの改正
2-1. 金融庁：監督指針の改正（2025年10月15日施行）
金融庁は2025年7月15日に「金融商品取引業者等向けの総合的な監督指針」の改正案を発表し、10月15日より正式適用を開始しました。主要な内容は以下のとおりです35。
- ログイン・出金・出金先口座変更におけるフィッシング耐性のある多要素認証の実装を必須化
- 具体的な実装例としてパスキー（FIDO2）・公開鍵基盤（PKI）を用いた認証を明示
- 中間者攻撃・マン・イン・ザ・ブラウザ攻撃への耐性確保を義務付け
2-2. 日本証券業協会：ガイドライン改正（2025年10月15日施行）
日本証券業協会も同日、「インターネット取引における不正アクセス等防止に向けたガイドライン」を改正・施行しました4。金融庁監督指針と同水準の内容で、特筆すべき点は：
- メール認証（DMARC）のrejectポリシー必須化：自社を騙るフィッシングメールの送信を物理的に遮断
- BIMI対応の推奨：メールクライアントに公式アイコンを表示させ、正規メールを視覚的に識別可能に
- ガイドライン施行後の2025年11月時点で、証券各社のDMARC適用率は一般企業（日経平均株価対象企業）を上回る水準に達している4
大和総研の研究員は「米国では日本に先立って証券口座乗っ取りが発生し、多要素認証が業界標準になった。日証協のパスキーなどの必須化は米国より安全性が強い規制だ」と評価しています5。
3. パスキー（FIDO2）の技術的仕組み
3-1. なぜ従来の多要素認証では不十分だったのか
証券口座への不正アクセスが急増する過程で、攻撃者は単純なID・パスワード盗取からより高度な手法に進化しました。SMS認証・メールOTPなどの従来型の多要素認証（MFA）が突破される典型的な手法が「リアルタイムフィッシング（AITM: Adversary In The Middle）」です6。
【リアルタイムフィッシングの流れ】
被害者 ──→ 偽サイト（攻撃者制御） ──→ 本物の証券会社サイト
↓ ①入力内容を中継 ↓ ②正規ログイン試行
↓ ③ OTPを要求 ↓ ④ OTPをリアルタイムで転送
↓ ⑤OTPを被害者から取得 ──→ ⑥ 正規サイトにOTP入力
⑦ 不正ログイン成功
OTPが有効な数十秒以内に被害者がOTPを入力・偽サイトが転送・正規サイトへ入力という処理を自動化することで、SMS認証やメールOTPは突破されます。これが「フィッシング耐性がない多要素認証」の限界です6。
3-2. FIDO2/WebAuthnの構成
パスキーは、FIDOアライアンスとW3C（World Wide Web Consortium）が共同で策定したFIDO2規格に基づいています7。FIDO2は以下の2つの仕様から構成されます：
| 仕様 | 正式名称 | 役割 |
|---|---|---|
| WebAuthn | Web Authentication API | ブラウザ〜認証サーバー間の通信標準（W3C勧告） |
| CTAP2 | Client to Authenticator Protocol 2 | ブラウザ〜デバイス間の通信プロトコル（FIDOアライアンス） |
3-3. パスキーの登録フロー
【パスキー登録時（初回設定）】
① ユーザーが証券会社サービスでパスキー登録を開始
↓
② デバイスが【公開鍵 + 秘密鍵】のペアを生成
・公開鍵 → 証券会社サーバーに送信・保存
・秘密鍵 → デバイス内のセキュアエレメントに保存（外部に出ない）
↓
③ サービス側は公開鍵のみを保持（秘密鍵は一切サーバーに届かない）
3-4. パスキーのログインフロー
【パスキーでのログイン時】
① ユーザーがサービスにアクセス
↓
② 証券会社サーバーが「チャレンジ（乱数）」を送信
+ 登録済みの relying party ID（ドメイン名）を含む
↓
③ デバイスが生体認証（指紋・顔・PIN）でユーザーを確認
↓
④ デバイスが秘密鍵でチャレンジに署名して応答
↓
⑤ サーバーが保持する公開鍵で署名を検証 → ログイン許可
この仕組みの最大の特徴は、秘密鍵がデバイスから外に出ない点と、認証がドメイン（relying party ID）に紐づいている点です8。
3-5. なぜフィッシングに耐性があるのか
パスキーがリアルタイムフィッシングに対して根本的に耐性を持つ理由は「ドメイン検証」にあります。
【フィッシングサイトに誘導された場合】
被害者 → フィッシングサイト（fake-securities.example.com）にアクセス
↓
デバイスがパスキーのログインを試みる
↓
デバイスは「登録済みのドメインと現在のドメインが一致するか」を検証
証券会社に登録されたドメイン : securities.example.com
現在アクセスしているドメイン : fake-securities.example.com
↓
【不一致のため署名を生成しない = ログイン不成立】
フィッシングサイトがどれだけ本物に似せていても、デバイスはドメインを偽装できないWebの仕組みを利用して本物かどうかを機械的に判定します78。人間の目で判断する必要がないため、見た目を完璧に模倣したフィッシングサイトも無力化されます。
3-6. シングルデバイス型 vs マルチデバイス型（クラウド同期型）
パスキーには2種類の保存形式があります9：
| 種類 | 説明 | メリット | デメリット |
|---|---|---|---|
| デバイスバウンドパスキー | 特定のデバイスに紐づき、外に出ない | セキュリティ最高。ハードウェアキーでも利用可 | デバイス紛失時に使えなくなる |
| マルチデバイスパスキー | クラウド経由で複数デバイスに同期 | 機種変更・紛失に強い | クラウドプロバイダー（Apple/Google/Microsoft）に依存 |
現在の証券会社が採用しているのは主に マルチデバイスパスキー（クラウド同期型） です。Apple KeychainやGoogle Password Manager経由で秘密鍵がクラウドに暗号化された状態で保管され、同一アカウントの複数端末で利用できます。
4. 各証券会社の対応状況
4-1. 主要証券会社のパスキー導入・必須化スケジュール
| 証券会社 | 導入時期 | 必須化 | 備考 |
|---|---|---|---|
| 野村證券 | 2025年内 | 2025年11月29日〜必須化済み | 業界最速の必須化。NOMURAアプリから設定 |
| SBI証券 | 2025年10月25日 | 未定（任意） | FIDO2認証として導入 |
| 楽天証券 | 2025年10月26日10 | 未定（任意） | パスキーまたは絵文字認証を選択式に |
| マネックス証券 | 2025年内 | 2026年1月末〜順次必須化11 | 必須化後はパスキー以外でのログイン不可 |
| SMBC日興証券 | 2026年1月30日 | 2026年2月下旬〜段階的必須化 | 必須化後は電話取引のみ可能に |
| 大和証券 | 2025年11月末まで | 必須化決定済み | Bloomberg報道12 |
出典：各社公式発表、Bloomberg12、Yahoo!ニュース13
4-2. 必須化する会社・しない会社の違い
2026年2月時点で、業界は大きく「必須化派」と「任意提供派」に分かれています13。
必須化派（野村、マネックス、SMBC日興ほか）の論拠
- パスキー未設定ユーザーがフィッシング被害を受けるリスクを排除できる
- 規制当局の要求レベルを確実に満たせる
- 口座数が相対的に少なく、移行の混乱をコントロールしやすい
任意提供派（楽天、SBI）の課題認識
- 楽天証券の楠雄治社長は「必須化できるものならやっていきたいが、必須化したとしても設定ができないお客様が結構な割合で残る」と言及13
- 楽天証券は2025年12月末時点でNISA口座が699万に達しており、数百万単位の顧客の移行を一斉に強制することには現実的な困難がある
- パスキー設定ができない顧客のフォールバック手段の確保が課題
楽天証券では2026年2月時点でパスキーの利用率が約6割に達しており、任意設定でも一定の普及が見られています13。
4-3. 注目：野村證券のマイナンバーカード連携
野村證券は2026年3月28日より、パスキーの新規または再登録においてマイナンバーカードの読取・認証（公的個人認証サービス）による手続きを必要とする仕組みを導入しました14。
これは「パスキーを設定するためのID確認」をマイナンバーカードで行うものです。攻撃者がパスキー登録を乗っ取ることを防ぐ多層防御として、政府のデジタルIDインフラと民間金融サービスを連携させた先進的な取り組みといえます。
5. 残された課題と今後の展望
5-1. リアルタイムフィッシングの進化
パスキー導入後も「パスキー設定の案内を装ったフィッシングメール」という新たな手口が確認されています6。これはパスキー移行を逆手に取り、ユーザーを偽の「パスキー設定ページ」に誘導して認証情報を盗もうとするものです。
また、Trend Microのレポートによれば、証券会社を装った不正SMSに含まれるドメインの85%以上が翌日までしか使用されておらず、短期間で使い捨てにされています6。攻撃者は検知を逃れるためにインフラを高速で入れ替えており、技術的な対策と並行してフィッシングURLの迅速な検知・遮断が依然として重要です。
5-2. デジタルデバイドの問題
パスキーの設定にはOS・ブラウザ・デバイスの一定以上のバージョンが必要です。SMBC日興証券の案内では、Windows 11（Windows 10は動作確認対象外）、最新のiOS/Androidが要件として示されています15。
高齢のユーザーや古いデバイスを使い続けているユーザーにとって、この要件は実質的な障壁になります。SMBC日興証券は「パスキー認証が設定できない場合は電話でのお取引をお願いします」としており、デジタルサービスへのアクセスが制限されるリスクがあります15。
5-3. 秘密鍵の管理をどこに委ねるか
マルチデバイスパスキーでは秘密鍵がApple/Google/Microsoftのクラウドに保管されます。つまり：
- Appleなら iCloud Keychain
- Googleなら Google Password Manager
- Microsoftなら Windows Hello
これは「セキュリティをプラットフォームに委ねる」という選択です。各プラットフォームのクラウドが侵害された場合のリスクや、プラットフォームをまたいだ移行（iOSからAndroidへの乗り換えなど）の煩雑さも課題として指摘されています9。
より高いセキュリティを求めるユーザーや企業向けには、YubiKeyなどの ハードウェアセキュリティキー（FIDO2デバイスバウンドパスキー） が選択肢となります。
5-4. 取引時のパスキー認証：利便性とのトレードオフ
日証協のガイドラインでは、取引時のパスキー認証は「推奨」レベルにとどめ、必須にはしていません5。その理由として日証協は「安全性と利便性はトレードオフで、デイトレーダーなどの頻繁な売買は難しい」と述べています。
数秒単位の高速売買を行う個人投資家にとって、取引のたびに生体認証を要求されることは実際のトレードに支障をきたします。ログイン時には高い認証強度を確保しつつ、取引時はセッションを維持するという運用上の妥協点が現在の業界標準です。
6. エンジニアとして考えるべきこと
今回の証券口座乗っ取り事件は、「MFAを入れれば安全」という認識の誤りを業界全体に突きつけました。SMS OTP・メール認証などの「フィッシング耐性のない多要素認証」はリアルタイムフィッシングの前では無力です。
パスキー（FIDO2/WebAuthn）の本質的な強みは「認証情報がサーバーに送られない」「秘密鍵がデバイスから出ない」「ドメイン検証が暗号学的に保証されている」という3点にあります。これらは人間の判断を排除した機械的なセキュリティ保証であり、ユーザー教育に依存しない防御層を実現します。
日本の証券業界が2025年という短期間でここまで業界全体でパスキー移行を進めたことは、規制と被害が並走した結果でした。ただ技術的な観点から見れば、FIDO2/WebAuthn自体は2018年に標準化されており、「7年間、採用を後回しにしてきた」とも言えます。
セキュリティ上の対応は「被害が出てから動く」ではなく「仕様が成熟した時点で評価・導入する」というサイクルへの移行が、今回の事件の最も重要な教訓かもしれません。
参考文献
フィデックス株式会社. "2025年7か月で6,200億円被害！日本証券業協会が新フィッシング対策." August 14, 2025.
https://www.fidx.co.jp/2025%E5%B9%B47%E3%81%8B%E6%9C%88%E3%81%A76200%E5%84%84%E5%86%86%E8%A2%AB%E5%AE%B3%EF%BC%81%E6%97%A5%E6%9C%AC%E8%A8%BC%E5%88%B8%E6%A5%AD%E5%8D%94%E4%BC%9A%E3%81%8C%E6%96%B0%E3%83%95%E3%82%A3%E3%83%83/
日立ソリューションズ. "パスキーとは？注目のパスワードレス認証「パスキー」導入ガイド."
https://www.hitachi-solutions.co.jp/security/sp/column/authentication/08.html
-
日本経済新聞. "2025年の被害額は7400億円、証券口座乗っ取りで－金融庁まとめ." January 14, 2026.
https://www.nikkei.com/article/DGXZQOUB134JM0T10C26A1000000/ ↩ -
NTTドコモビジネス Watch. "2025年に入り、口座乗っ取りが多発。なぜ起こるのか？" July 7, 2025.
https://www.ntt.com/bizon/hack-account.html ↩ ↩2 -
金融庁. "インターネット取引サービスへの不正アクセス・不正取引にご注意ください."
https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html ↩ ↩2 -
Wikipedia. "証券口座乗っ取り事件."
https://ja.wikipedia.org/wiki/%E8%A8%BC%E5%88%B8%E5%8F%A3%E5%BA%A7%E4%B9%97%E3%81%A3%E5%8F%96%E3%82%8A%E4%BA%8B%E4%BB%B6 ↩ ↩2 ↩3 ↩4 -
日本経済新聞. "証券口座の不正アクセス対策「パスキー認証」など必須に." December 15, 2025.
https://www.nikkei.com/article/DGXZQOUB128TL0S5A211C2000000/ ↩ ↩2 ↩3 -
Trend Micro. "多要素認証の必須化後も減っていない「証券口座乗っ取り」の現状." June 26, 2025.
https://www.trendmicro.com/ja_jp/research/25/f/mfa-securities-hacks.html ↩ ↩2 ↩3 ↩4 -
Microsoft Security. "FIDO2 とは？"
https://www.microsoft.com/ja-jp/security/business/security-101/what-is-fido2 ↩ ↩2 -
大和総研. "パスキーとは FIDO認証との違い、3つのメリットと課題."
https://www.dir.co.jp/world/entry/passkey ↩ ↩2 -
Qiita. "パスキー認証について調べてみた. #WebAuthn" February 28, 2025.
https://qiita.com/kandu/items/589f84a451c976a23fe1 ↩ ↩2 -
楽天証券. "2025年10月26日からパスキー認証（FIDO2）を導入予定です."
https://www.rakuten-sec.co.jp/web/info/info20250718-02.html ↩ -
マネックス証券. "ログイン時の「パスキー認証」必須化（順次適用）のお知らせ." January 20, 2026.
https://info.monex.co.jp/news/2026/20260120_03.html ↩ -
Bloomberg. "野村証など58社が多要素認証の必須化決定、不正取引受け－日証協." April 25, 2025.
https://www.bloomberg.com/jp/news/articles/2025-04-25/SV8VENT0AFB400 ↩ ↩2 -
Yahoo!ニュース（山口健太）. "楽天証券のパスキー利用率は6割 でも「必須化」しない理由." February 9, 2026.
https://news.yahoo.co.jp/expert/articles/ac8eff0c9d53ecea94be7c926923cb78d61d33e4 ↩ ↩2 ↩3 ↩4 -
野村證券. "パスキーの登録（マイナンバーカード連携）."
https://www.nomura.co.jp/support/procedure/online/passkey/ ↩ -
SMBC日興証券. "フィッシング詐欺等による不正アクセス防止のため、2026年1月末よりログイン時にパスキー認証を導入します." November 7, 2025.
https://www.smbcnikko.co.jp/news/customer/2025/n_20251107_02.html ↩ ↩2