 22 |
口座乗っ取りについて[B054] |
|---|
22 |
口座乗っ取りについて[B054] |
|---|
2025-08-23日経より ◆乗っ取り、生態認証で防ぐ 「リアルタイム」で続く被害 証券口座の乗っ取りを試みる犯罪の勢いが衰えない。証券各社はログイン時にＩＤやパスワード以外に複数の認証方法を組み合わせる「多要素認証」の対応を進めた。だがその後も続く被害に、日本証券業協会は、生体認証を備える認証方法などの必須化を求める方針だ。利用者は、犯罪の手口を知り、対策を講じる必要がある。「自分の証券口座の保有資産を見て、ただぼうぜんとした」。千葉県に住む無職の６０代男性Ａさんは４月下旬、ネット証券の口座のログイン通知をメールで受け取った。 身に覚えがなく、慌てて口座を開くとＪＴ株など保有していたはずの株は一切見当たらない。残っていたのは、購入した記憶のない個別株１銘柄だけだった。不正に売却された銘柄は、老後のために配当収入を得ようと数年前に買った。「年間６０万円程度の配当収入があった。これが消えてしまったのは厳しい」と話す。証券会社のインターネット取引のＩＤやパスワードなどが盗まれ、Ａさんのように、不正に取引される口座の乗っ取り被害。 金融庁によると、直近７月に発生した株式などの不正売買は約４６０億円と、最も多かった４月の約２９２１億円に比べ約８４％減った。だが、いまだ１００億円単位の不正売買があるともいえる。サイバーセキュリティー大手のトレンドマイクロによると、フィッシングサイトが検知された証券会社は７月に１２社と、これまで最多だった４、６月の１１社を上回る。 セキュリティエバンジェリストの岡本勝之氏は「犯罪者からの攻撃は全く減っておらず、証券会社が求めている多要素認証を設定しても被害にあうケースがある」と話す。フィッシングサイトで盗み取った情報を、犯罪者がすぐに本物のサイトに入力してログインする「リアルタイム型」の手口がある。日証協は４月にログイン時の「多要素認証」の必須化を促す方針を発表し、７月７日までに７９の証券会社が対応済みだが、この手口では多要素認証を突破されることがあるという。 リアルタイム型の場合、まず、利用者をショートメッセージサービス（ＳＭＳ）ゃメールのリンクから偽サイトに誘導し、ログインーＤやパスワードを入力させる。このとき犯罪者は正規のサイトにアクセスし、盗み取ったＩＤやパスワードを即座に入力する。利用者がＳＭＳやメールに届く数字などのワンタイムパスワードを多要素認証として使う場合、犯罪者は、利用者にワンタイムパスワードを求める偽のサイトを提示して入力させる。 犯罪者が偽サイトで盗んだワンタイムパスワードを本物のサイトに入力すれば、ログインができてしまう。被害が続く状況を受け、日証協は７月、ネット取引での対策を盛り込んだガイドライン案を公表し、秋に正式なとりまとめを目指す。主なポイントの一つが、ログイン時などに「フィッシングに耐性のある多要素認証」の採用を証券会社に求める点だ。具体的には指紋など生体認証を使う「パスキー」などを挙げる。 パスキーとは、スマホやパソコンの端末の中に「鍵」を保存して認証を受ける仕組み。利用者が自分の端末から口座ヘログインを試みたとき、証券口座のサーバーから認証が求められる。このとき端末にひもづけられた顔認証や指紋認証を使うと、暗号化された「秘密鍵」によって作成された署名がサーバーに送られる。サーバーでは、事前に登録した「公開鍵」で署名を検証し、本人と認証する。 現状の多要素認証では、多くの証券会社が、メールや携帯電話などにワンタイムパスワードとして、数字や文字列を送る方法を用いるが、数字や文字列は犯罪者に伝わりやすい。 一方、パスキーはパスワードが存在しないため、情報漏洩のリスクは大きく減る。ＳＢＩ証券や楽天証券、野村証券などが、秋にもパスキーを導入するとしている。ただ、顧客が利用する端末が古いなどで、パスキーに対応していないと使えない。 パスキーが使えない場合、日証協のガイドライン案は「代替的な多要素認証を提供する」などを証券会社に求める。例えばＳＢＩ証券では「取引時にも多要素認証を入れるなど、段階を分けたセキュリティー強化を図るなどが考えられる」という。ウイルス感染などで被害にあう可能性には注意が必要だが、パスキーを導入すれば「現状の主な犯罪手口はほぼ防げる」（岡本氏）。岡本氏は「もし端末が対応しない場合は購入も検討すべきだ」と助言している。 （川本和佳英）
2025-09-15・・・日経より ◆証券業界、補償に悩む 口座乗っ取り、統一基準は難しく 証券口座の乗っ取りの被害補償に業界が頭を悩ませている。統一基準をつくるのは難しく、補償は各社の方針に委ねられている。だが、口座乗っ取りの多くは相場操縦が目的で、株の銘柄が置き換わる形のため、必ずしも資産がなくなるわけではない。専門家からは補償の範囲を巡リトラブルが生じるリスクを指摘する声もある。 ●範囲を巡り紛争リスク 「顧客側と証券会社側にどの程度の過失があるか、様々なケースが考えられる中で、業界で統一的なルールを設けるのは難しい」。日本証券業協会はこう説明する。大規模な被害を受け、日証協は７月、「インターネット取引における不正アクセス等防上に向けたガイドライン」の改正案を公表した。 フィッシングに耐性のある多要素認証の必須化などの新たな対策を示したが、被害補償についての記載はほとんど変えず、統一基準は盛り込まなかった。証券口座の乗っ取りは、犯人が別口座で事前に買った株の価格をつり上げるのが目的だ。被害者の保有株を売り、犯人が買ったのと同じ銘柄の株を買う。銀行日座の不正利用で回座から金がなくなるのとは異なり、損害額の認定が難しい。証券会社は従来、約款で顧客のパスワード流出などによる不正取引は免責事項と定め、補償してこなかった。 金融商品取引法で、顧客の口座に生じた損失を補填することは禁じられ、違反すると刑事罰の対象にもなる。だが、今回は金融庁が「原状回復や金銭補償のために顧客への補填を行ったとしても損失補填禁上規定に違反するものではない」との考えを示した。日証協も５月、対面‥ネットの大手証券１０社が「各社の約款等の定めに関わらず、 一定の被害補償を行う」との方針を発表した。 ただ、あるネット証券幹部は「この申し合わせにあたって何％補償というルールをつくることも話題になったが、頓挫した」と打ち明ける。武蔵野大学の宍一戸善一教授は「日本では証券口座が乗っ取られる事態が予想されていなかった。被害の態様を類型化することは難しく、統一的な基準づくりが現時点では難しい」と話す。甲南大学の梅本剛正教授は「一律で補償基準を設けると中小の証券会社は経営が立ちゆかなくなる恐れが出てくる」と指摘する。 ●分かれる対応 現状ではいくらまで補償するかは各社の判断に委ねられる。対面大手は株式の原状回復、ネット大手は被害額の２分の１補償と対応は分かれている。各社は自社の方針に沿って補償を進めているが、戸惑いの声も聞かれる。大手ネット証券の幹部は「証券会社が顧客に損害を与えているわけではない。 どんな法的根拠に基づいて補償しなければならないのかが明確ではない」と話す。今後、新たな手口の乗っ取りが起きれば、過失の考え方なども変わる可能性がある。補償が各社に任されている状況でトラブルは起きないか。専門家から懸念の声が上がる。まず、補償範囲をめぐるリスクだ。同志社大学の船津浩司教授は「銀行口座の場合は預金者に過失がなければ原則として全額補償される。 ２分の１ の補償では足りないと顧客からいわれる恐れがある」と話す。実際に７月、ＳＢＩ証券に日座を開設していた男性が、数千万円相当の金融資産を失ったとして全面返還を求めて東京地裁に提訴した。補償が多すぎる場合にも問題になるとの指摘がある。神戸大学の行澤一人教授は「証券会社が合理的な経営判断を著しく逸脱したような場合には、株主代表訴訟を起こされる可能性がある」とみる。「裁判所が金融庁と同様に法律上禁上されている損失補填には当たらないと判断するかはわからない。補償は限定的な局面に限るべきだ」と話す。 ●株価は変動 乗っ取りから何日以内に補償しなければならないという基準もない。被害の確認から補償までには時間差が生じる。船津教授は「株価は上下する。金銭補償の場合、補償額の算定は乗っ取られた日を基準とするのか、補償する日を基準とするのかも朋確ではない。 また、被害補償の申し出をいっまでにしなければならなぃといった制限がなければ、被害者が置き換わった株の値動きの様子をみてから補償を求めるなど、実質的にリスクなしに投機をする可能性もある」と話す。深沢篤嗣弁護士は「迅速な補償のためには各社に任せる現時点での対応は合理的だ」としつつも、「将来的には、顧客に重大な過失がある場合に補償しないケースを例示するなど、証券会社にも顧客にもわかりやすいルールづくりが必要だろう」と提言する。 ネット取引の利用は広がっている。甲南大学の梅本教授は「被害を未然に防ぐためにインターネットのリテラシーが低い顧客は国座の開設を証券会社が断るといった対応も出てくる可能性がある」とみる。今後も新たな事案への対策に向けて各社が頭を悩ませる状況は続く。（片山志乃） ●対応強化後も続く不正 証券業界が対応強化に乗り出してからも、不正取引の作数はなお高水準だ。金融庁によるとフイッシングサイトなどで窃取した顧客情報による不正取引は８月に５６２件で、不正取引額は売却約２６１億円、買付約２５３億円の計約５１４億円だった。ピークの４月からは減少したものの、不正取引額は２カ月連続で増加。 被害のデータが確認できる１月からの累計は６７００億円を超えた。日本証券業協会の調査によると、２ ０２ ５年３月末時点のインターネット取引口座数は前年比８％増の４８９８ 万口座だった。個人の年代別口座数では６０代以上が約３割を占める。 被害の未然防止も課題だ。証券会社側も多要素認証や生体認証などの対策を進めているが、新たな手口とのいたちごっこが想定される。神戸大学の行澤一人教授は「顧客の側でも対策をとり、不正取引をモニタリングする必要があると考え、社会全体で被害を防ぐことが重要だ」と話す
|
