フィッシング耐性のある多要素認証とは？証券口座乗っ取り被害から考える対策ポイント

by

証券口座の不正アクセス・不正取引が大きな問題になっています。

金融庁は、実在する証券会社のウェブサイトを装った偽サイトなどで、ログインIDやパスワード等を窃取し、インターネット取引サービスで不正アクセス・不正取引が行われる被害について注意喚起しています。金融庁の注意喚起ページは2026年5月14日にも更新されています。

この流れの中で注目されているのが、フィッシング耐性のある多要素認証です。

多要素認証というと、SMSで届く認証コード、ワンタイムパスワード、認証アプリなどを思い浮かべる方も多いかもしれません。しかし、近年のフィッシング攻撃では、ID・パスワードだけでなく、ワンタイムパスワードまでリアルタイムに盗み取ろうとする手口もあります。

そのため、金融・証券・決済・会員アプリを運営する企業にとっては、単に「多要素認証を入れているか」ではなく、その認証方式がフィッシングに強いかどうかを確認することが重要になっています。

この記事では、証券口座乗っ取り被害をきっかけに注目されているフィッシング耐性のある多要素認証について、SMS認証やワンタイムパスワードとの違い、パスキー認証が注目される理由、企業アプリ側で確認すべき対策ポイントを整理します。

証券口座の不正アクセス・不正取引で何が起きているのか

金融庁が公表している資料では、2025年1月から2026年4月までの累計で、インターネット取引サービスへの不正アクセス件数は18,688件、不正取引件数は10,362件とされています。売却金額は約4,339億円、買付金額は約3,816億円にのぼります。

金融庁は、不正取引の態様について、多くの場合、不正行為者が不正アクセスによって被害口座を操作し、口座内の株式等を売却し、その売却代金で国内外の小型株等を買い付けるものだと説明しています。

ここで重要なのは、問題が単なる「ログイン情報の漏えい」だけでは終わらないことです。

ID・パスワードが盗まれると、不正ログインにつながります。さらにログイン後に、売買、送金、出金先変更、登録情報変更などの重要操作が行われると、被害は一気に大きくなります。

つまり、企業側の対策としては、

  • ログインを守る
  • 重要操作を守る
  • 不審な端末や環境を検知する
  • 異常な取引や操作を検知する
  • 被害発生時にすぐ対応できる運用を整える

という複数の層で考える必要があります。

金融庁・警察庁・金融業界が注目する「フィッシング耐性」

金融庁は、金融機関を騙ったフィッシングによる不正送金・不正取引被害が増加しているとして、フィッシング耐性のある多要素認証の導入等を盛り込んだ監督指針・事務ガイドラインの改正を実施しています。また、銀行、信用金庫、信用組合、労働金庫、証券会社と金融庁・警察庁が連携し、フィッシングメールへの注意喚起やフィッシング耐性のある多要素認証を周知する広報コンテンツも作成しています。

さらに、金融庁が日本証券業協会との意見交換会で提起した論点では、証券口座の不正アクセス・不正取引について「依然として被害発生が継続している」とし、フィッシングに耐性のある多要素認証の必須化について、2026年6月末までの対応を求めていることが示されています。

この流れを見ると、金融・証券業界では、今後「多要素認証を導入しているか」だけでは不十分になっていく可能性があります。

問われるのは、フィッシングに強い認証方式を導入しているかです。

なぜID・パスワードだけでは危険なのか

ID・パスワード認証は、最も一般的な認証方式です。
しかし、フィッシングサイトに入力されてしまえば、その情報は攻撃者に渡ってしまいます。

特に金融機関や証券会社を装った偽サイトでは、見た目だけでは本物と区別しにくいケースがあります。利用者がメールやSMSのリンクから偽サイトにアクセスし、ログインIDやパスワードを入力してしまうと、攻撃者はその情報を使って正規サイトへログインできる可能性があります。

金融庁も、見覚えのある送信者からのメールやSMSであってもリンクを開かないこと、証券会社等のウェブサイトにはブックマークからアクセスすること、多要素認証や通知サービスなどのセキュリティ強化機能を有効にすることを呼びかけています。

つまり、ID・パスワードだけに依存した認証は、利用者の注意だけでは守り切れない段階に来ています。

SMS認証やワンタイムパスワードにも限界がある

多要素認証というと、SMS認証やワンタイムパスワードを導入していれば安心だと思われがちです。

もちろん、ID・パスワードだけよりは安全性が高まります。
しかし、SMS認証やワンタイムパスワードは、フィッシングに対して万能ではありません。

たとえば、攻撃者が本物そっくりの偽サイトを用意し、利用者にID・パスワードを入力させたあと、続けてSMSコードやワンタイムパスワードを入力させることがあります。攻撃者がそのコードをリアルタイムで正規サイトに入力すれば、認証を突破される可能性があります。

Microsoftも、SMSコード、メールベースのOTP、プッシュ通知などの従来型MFAは、現在の攻撃者に対して有効性が低下しており、二要素目が傍受・なりすましされる可能性があると説明しています。

つまり、SMS認証やワンタイムパスワードは「意味がない」のではありません。
しかし、フィッシングに強い認証方式とは限らないという点を理解する必要があります。

フィッシング耐性のある多要素認証とは

フィッシング耐性のある多要素認証とは、簡単にいえば、利用者が偽サイトに誘導されても、攻撃者が認証情報を盗んで再利用しにくい認証方式です。

代表的なものに、パスキー認証やFIDO2/WebAuthnに基づく認証があります。

従来の認証では、ユーザーがパスワードや認証コードを入力します。
この方式では、利用者が偽サイトに入力してしまうと、攻撃者がその情報を取得できます。

一方、パスキーのような方式では、サービス側と利用者の端末側で暗号鍵を使って認証します。認証に必要な秘密情報をユーザーが文字列として入力するのではなく、端末に保存された鍵を使って認証するため、攻撃者が偽サイトで入力情報を盗み取るという攻撃が成立しにくくなります。

FIDO Allianceは、パスキーについて、ユーザーが端末のロック解除と同じ方法、たとえば生体認証やPINなどでアプリやウェブサイトにサインインできるFIDO認証情報だと説明しています。また、FIDO標準は公開鍵暗号を用いてフィッシング耐性のある認証を提供するとしています。

パスキー認証が注目される理由

日本証券業協会は、パスキーによる認証について、公開鍵暗号方式を活用したフィッシングに耐性のあるオンライン認証方式であり、従来の多要素認証と比較してもフィッシングに耐性があると説明しています。

パスキー認証が注目される理由は、大きく3つあります。

1. パスワードを入力しない

パスキーでは、従来のように長いパスワードを入力する必要がありません。
利用者はスマートフォンやPCの生体認証、PINなどで本人確認を行います。

そのため、フィッシングサイトにパスワードを入力してしまうリスクを減らせます。

2. 認証情報を盗まれにくい

パスキーでは、認証に使う秘密鍵が利用者の端末側に保存されます。
サービス側には公開鍵が登録され、認証時には暗号学的なやり取りによって本人性を確認します。

FIDO Allianceも、パスキーはパスワードとは異なり、フィッシングに耐性があり、共有される秘密情報がない設計だと説明しています。

3. UXとセキュリティを両立しやすい

セキュリティを強化すると、ログインが面倒になり、ユーザー離脱が増えることがあります。

しかし、パスキーは生体認証やPINでログインできるため、うまく設計すれば、セキュリティを高めながらログイン体験を改善できる可能性があります。

金融アプリ、証券アプリ、決済アプリ、ECアプリ、会員アプリでは、セキュリティ強化とユーザー体験の両立が非常に重要です。

ただし、認証強化だけで不正被害を完全に防げるわけではない

ここが、モバイル不正対策ラボとして特に強調したいポイントです。

フィッシング耐性のある多要素認証は重要です。
しかし、認証を強化しただけで、すべての不正リスクを防げるわけではありません。

金融アプリや決済アプリでは、ログイン後に重要な操作が行われます。
たとえば、以下のような操作です。

  • 送金
  • 出金
  • 取引
  • 登録情報の変更
  • 出金先口座の変更
  • 端末変更
  • パスワード変更
  • 認証方式の再設定

これらの操作は、ログイン時だけでなく、操作時にもリスクを見て判断する必要があります。

たとえば、普段と違う端末からアクセスしている、Root化・Jailbreakされた端末を使っている、不審なアプリ環境から操作している、短時間に異常な操作が連続している、といった場合には、追加認証や操作制限、確認フローを入れる設計が必要です。

つまり、対策は「ログイン認証」だけではなく、ログイン後の重要操作をどう守るかまで含めて考える必要があります。

企業アプリ・金融アプリが確認すべき5つのポイント

金融・証券・決済・会員アプリを運営する企業は、今回の証券口座乗っ取り被害を、自社アプリのリスク確認に置き換えて考えるべきです。

1. ログイン時の認証方式は十分か

まず確認すべきは、ログイン時の認証方式です。

ID・パスワードだけに依存していないか。
SMS認証やワンタイムパスワードを導入している場合でも、それがフィッシングに弱い設計になっていないか。
パスキーなど、フィッシング耐性のある認証方式を導入できる余地があるか。

この点を整理する必要があります。

特に金融・決済・証券・高額取引を伴うサービスでは、認証方式の見直しは優先度の高いテーマです。

2. 重要操作時に追加認証を行っているか

ログイン時だけでなく、重要操作時にも認証を求める設計が必要です。

たとえば、出金先口座の変更、送金、取引、登録情報変更などは、攻撃者にとっても価値の高い操作です。

これらの操作時に、追加認証、端末確認、リスクベース認証、操作通知などを組み合わせることで、不正操作のリスクを下げられます。

3. 端末リスクを見ているか

モバイルアプリでは、端末そのものの状態も重要です。

たとえば、以下のような端末環境はリスクが高い可能性があります。

  • Root化端末
  • Jailbreak端末
  • エミュレーター
  • デバッグ環境
  • マルウェア感染が疑われる端末
  • 不審な画面オーバーレイがある環境
  • 不正ツールが動作している環境

ログインIDやパスワードが正しくても、端末環境が危険であれば、重要操作を制限する、追加確認を行う、警告を出すといった判断が必要です。

4. アプリ改ざんや不正実行環境を検知できるか

金融アプリや決済アプリでは、アプリそのものが解析・改ざんされるリスクもあります。

攻撃者は、アプリをリバースエンジニアリングしたり、改ざんしたアプリを再配布したり、Hookingなどによってアプリの挙動を操作しようとする場合があります。

そのため、アプリ改ざん検知、ランタイム保護、Hooking検知、Root/Jailbreak検知などの対策も検討対象になります。

認証だけを強化しても、アプリ実行環境が危険な状態であれば、不正操作や情報窃取につながる可能性があります。

5. 不審な取引・操作を検知できるか

最後に重要なのが、異常検知です。

たとえば、普段と違う時間帯、地域、端末、操作パターンでアクセスが行われていないか。短時間に複数の重要操作が行われていないか。過去の利用傾向と比べて不自然な取引がないか。

こうした情報をもとに、不審な操作を検知し、追加認証や一時停止、通知、有人確認につなげる設計が重要です。

不正対策は、入口であるログインだけでなく、ログイン後の行動まで含めて見なければなりません。

モバイル不正対策ラボの見解

今回の証券口座乗っ取り被害から見える重要なポイントは、認証情報が盗まれた後の防御です。

フィッシング対策として、偽サイトに注意する、怪しいリンクを開かない、ブックマークからアクセスする、といった利用者向けの注意喚起は重要です。

しかし、企業側は「利用者が必ず正しく判断してくれる」ことを前提にしてはいけません。

攻撃者は、実在する企業名、ロゴ、メール文面、SMS、広告、検索結果などを悪用し、利用者を巧妙に誘導します。利用者教育だけで防ぐには限界があります。

そのため、企業アプリ側では、

  • フィッシングに強い認証方式
  • 重要操作時の追加確認
  • 端末リスクの検知
  • アプリ改ざん・不正環境の検知
  • 異常操作・異常取引の検知
  • インシデント発生時の初動対応

を組み合わせて考える必要があります。

特に金融・証券・決済・会員アプリでは、認証、端末、アプリ、操作、検知を分けて整理することが重要です。

まとめ：多要素認証は「入れているか」ではなく「フィッシングに強いか」が問われる

証券口座の不正アクセス・不正取引被害をきっかけに、フィッシング耐性のある多要素認証への注目が高まっています。

ID・パスワードだけでは、フィッシングによる情報窃取に弱くなります。
SMS認証やワンタイムパスワードも、リアルタイムフィッシングや中間者攻撃に対して万能ではありません。

今後、金融・証券・決済・会員アプリを運営する企業では、単に多要素認証を導入しているかではなく、その認証方式がフィッシングに強いかを確認する必要があります。

また、認証強化だけでなく、端末リスク、アプリ改ざん、不正実行環境、重要操作時の追加認証、異常取引検知まで含めた多層的な対策が求められます。

モバイルアプリの不正対策は、ログイン画面だけで完結するものではありません。
ユーザーがログインした後、どの端末から、どのアプリ環境で、どのような操作をしているのかまで見ていくことが、これからの企業アプリに必要な視点です。