証券・FX口座を狙うフィッシング｜金融庁と日証協の注意点

2025年から、実在する証券会社を装った偽サイトで盗まれたIDとパスワードを使い、他人の口座で勝手に売買する被害が相次いでいます。金融庁の集計（暫定値）では、2025年1月〜2026年9月の合計で、インターネット取引サービスへの不正アクセスが19,252件、そのうち不正取引まで行われたものが10,642件です。この記事では、金融庁・日本証券業協会・フィッシング対策協議会の資料をもとに、手口と、口座を守るために利用者ができることを整理します。

（確認：金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」（令和8年10月9日更新）と被害状況の表、日本証券業協会「不正アクセス等にご注意ください！」、フィッシング対策協議会「フィッシングレポート2026」。確認日：2026年10月21日。資料は証券会社の事例です。FXの口座の被害の数字は、この記事では確認していません）

被害の大きさ（金融庁の表・暫定値）

月ごとの売却金額は、2025年4月の約1,625億円が最も大きく、2026年7月〜9月は約0.2億〜2億円まで減っています（表の月ごとの値を筆者が読み、合計と一致することを確かめました）。金融庁は、各証券会社などから報告を受けた発生日ベースの暫定値で、まだ分かっていない不正アクセスや不正取引がある可能性がある、と注記しています。また、ログインIDやパスワードの窃取、不正アクセス・不正取引の被害は、どの証券会社等でも起こりうるとしています。

手口：リアルタイムフィッシング

日本証券業協会は、主な手口を次のように説明しています。証券会社を装った偽のメールやSMSを送り、リンクから偽サイトや偽アプリに誘導して、ログインIDやパスワードなどを入力させる、というものです。協会はこれを「リアルタイムフィッシング」と呼び、対策として、フィッシングに耐性のある多要素認証（パスキーによる認証など）の必須化が進められているとしています。

フィッシング対策協議会のレポートでは、証券会社をかたる事例で、事業者側の対策の状況に合わせて「多要素認証の再設定」や「補償手続き」など、事業者の実際の案内に似せた文面が使われている、と書かれています。本物の注意喚起に似せたメールが来る、ということです。

利用者ができること（金融庁・日本証券業協会）

日本証券業協会は、PCやスマホで、いつもと違うログイン画面や、不自然なポップアップ、追加の個人情報の入力を求められても応じないこと、ブラウザから、普段は行わないキーボードの操作（特に Ctrl + V などのショートカット）を求められても実行しないことも呼びかけています。これは、マルウェアに感染させるための手口への注意です。

FXの口座・MT5で考えること

上の資料は証券会社の事例ですが、FXの業者の会員ページや取引口座も、IDとパスワードでログインする点は同じです。筆者は、次の点を同じように当てはめるのがよいと考えています。

• 業者の会員ページは、メールのリンクではなく、ブックマークから開く
• 会員ページに多要素認証があれば有効にする
• MT5の取引口座のパスワードと、会員ページのパスワードを別にする。スマホや2台目のPCで見るだけなら、取引のできない「投資家パスワード」を使う（MT5の投資家パスワード）
• 業者が金融庁に登録されているかは、別に確かめる（海外FX業者が金融庁に登録されているか調べる方法）

PCの保護をWindows標準で足りるとするか、有料のセキュリティソフトを使うかは、EA用PCにウイルスバスターは要るかにまとめています。有料のソフトは、詐欺サイトやフィッシングへの対策の機能で選ぶ、という考え方もそちらにあります。

この記事で確かめていないこと

• FXの業者を装ったフィッシングの件数や被害額
• 各FX業者の多要素認証やパスキーへの対応
• 2026年10月以降の新しい手口

まとめ

• 証券会社を装うフィッシングで、2025年1月〜2026年9月に不正アクセス19,252件・不正取引10,642件（金融庁の暫定値）。どの証券会社でも起こりうるとされている
• 手口は、偽メール・SMSのリンクから偽サイトに誘導して、IDやパスワードを入力させるもの。本物の注意喚起に似せた文面もある
• リンクから入らずブックマークか公式アプリで。パスキー・多要素認証を使い、パスワードを使い回さない。ブラウザに求められても Ctrl + V などの操作をしない

本記事は公的機関の公表資料の整理です。不審な取引があった場合は、利用している会社の窓口と、警察・金融庁金融サービス利用者相談室に相談してください。