岩井コスモ証券での総当たり攻撃が露呈した委託先と個人防衛の限界

口座乗っ取りとは異なる管理系侵害の重大性

岩井コスモ証券は、ネット取引システムの運用・保守を委託するトレードワークスのシステムへの不正アクセスを受け、顧客の意図しない売買注文が発生したと公表しました。7口座で注文が出され、うち5口座で約定が成立しています。

今回の重要点は、利用者のIDやパスワードを盗んで口座へ入る、従来型の「口座乗っ取り」とは別に、取引を支える管理システム側が攻撃対象になったことです。多要素認証を設定し、フィッシングを避けるという個人の対策だけでは、直接は防げない領域があります。

AIを使った攻撃の高度化にも関心が集まりますが、公開情報から具体的に確認できるのは、脆弱性を突く総当たり攻撃と、売買管理システムへの侵害です。AI利用の有無だけに目を奪われず、どの権限・通信経路・監視機能が侵害を許したのかを検証する視点が欠かせません。

7口座の不正注文が示す攻撃経路と被害範囲

十月十四日に起きた侵害と原状回復

岩井コスモ証券が10月20日に公表した第2報によると、不正アクセスと同じ10月14日、売買管理システムへの攻撃が発生しました。7口座分で顧客の意図しない売買注文が発注され、そのうち5口座で約定したとしています。

同社は対象顧客に10月14日のうちに連絡し、取引前の状態へ戻す措置を完了したと説明しています。このため、現時点で顧客負担は生じていないとされます。攻撃の検知から遮断、個別連絡、原状回復までを同日に進めた点は、被害拡大を抑えるうえで重要でした。

ただし、迅速な復旧と、侵入を許さなかったことは別の評価です。金融取引では、数分間の不正な注文でも市場価格や執行状況次第で損失が発生し得ます。取引を元に戻せた場合でも、監査ログの保全、約定相手方との処理、顧客説明、再発防止策の検証には継続的な対応が必要です。

4,975人分の情報漏えいと二次被害の懸念

情報漏えいについては、当初確認された4,611人分に364人分が追加され、対象は計4,975人分となりました。同社によれば、追加分は新たな侵害で発生したものではなく、アクセス記録と通信記録を再精査した結果、同じ事案の影響範囲として判明したものです。

漏えいした情報には氏名、メールアドレスなどが含まれます。一方で、取引暗証番号は含まれず、漏えい情報だけで証券口座へのログインや取引はできないと同社は説明しています。また、今回の不正取引は、漏えいした個人情報を利用して拡大したものではないとしています。

それでもメールアドレスと証券会社の利用情報は、標的型フィッシングの材料になり得ます。「不正利用の補償手続き」「口座停止の解除」「パスキー設定の確認」といった件名で、正規の案内に似せたメールを送ることは可能だからです。漏えい後は、技術的な侵入そのものだけでなく、顧客を狙う二次被害への備えが不可欠になります。

金融庁も、実在する証券会社を装う偽サイトで認証情報を盗む手口に注意を促しています。メールやSMSのリンクからログインせず、あらかじめ保存した公式サイトのブックマークや正規アプリからアクセスするという基本行動は、漏えい後ほど価値を増します。

総当たり攻撃の意味を狭く捉えない視点

総当たり攻撃は、一般に多数の候補を機械的に試し、認証情報や脆弱な入力点を突破しようとする手口を指します。しかし、今回の公開資料だけから、攻撃者がどの管理者アカウントを狙ったのか、どのソフトウエアの欠陥を悪用したのか、あるいはどの処理を自動化したのかまでは特定できません。

そのため、「パスワードを長くすれば防げた」「AIが勝手に取引した」といった単純化は避けるべきです。攻撃者がAIを使えば、探索や文面作成、攻撃の試行順序を高速化できる可能性はあります。しかし防御側が対処すべき本質は、攻撃者の道具ではなく、侵入後に高い権限へ到達できる設計や、異常な注文を止めきれない運用にあります。

顧客画面にログインする入口と、注文を処理する管理系の入口は同じではありません。後者が侵害された場合、利用者が多要素認証を有効にしていても、それだけで防御は完結しません。金融サービスでは、顧客向け認証、委託先の特権アクセス、取引管理、異常検知を別々の防壁として設計する必要があります。

多要素認証をすり抜ける委託先システムの死角

顧客向け認証と管理者認証の分離

岩井コスモ証券は、ログイン時の多要素認証を必須化し、重要情報のマスキングなども実施してきたとしています。これらは、フィッシングで盗まれたID・パスワードを悪用する口座乗っ取りへの有効な防御です。実際、金融庁はログイン、出金、出金先口座の変更といった重要操作で、フィッシング耐性を持つ多要素認証の実装・必須化を求めています。

パスキーは、利用するドメインにひも付く公開鍵暗号方式の認証です。利用者が偽サイトを開いた場合でも、正規サイト向けのパスキーを使えないように設計されるため、パスワード入力型のフィッシングへの耐性を高めます。個人投資家が設定すべき対策として、現時点で有力な選択肢です。

一方、パスキーは、委託先の保守用アカウント、システム間連携、管理コンソール、内部APIの認可設定まで自動的に守るものではありません。顧客の本人確認を強固にしても、バックエンド側の特権アクセスが広範囲に残っていれば、別の経路から注文処理に影響を与えられる余地が残ります。

管理者権限では、通常のログインとは異なる厳格さが必要です。常時有効な高権限アカウントを減らし、必要な時だけ権限を付与する仕組み、操作内容の記録、重要操作に対する追加承認、接続元の制限などを重ねることが基本になります。特権IDが侵害されたことを前提に、被害範囲を最小化する設計が重要です。

委託先を含む境界設計と監査責任

オンライン証券の利便性は、注文画面、本人確認、口座管理、売買管理、監視、通知といった多数のシステム連携で成り立っています。専門ベンダーへ運用・保守を委託すること自体は合理的ですが、攻撃者から見れば、委託先は複数の顧客企業へつながる高い価値を持つ入口になり得ます。

個人情報保護委員会の金融分野ガイドラインは、委託元に対し、委託先でも個人データの安全管理措置を確保することを求めています。再委託がある場合も、委託先を通じた定期的な監査などで、安全管理が実施されていることを確認するのが望ましいとしています。

確認すべき対象は、契約書上のセキュリティ条項だけではありません。どの委託先がどの顧客情報に接続できるのか、誰が管理者権限を持つのか、再委託先を含む通信経路は把握できているのか、脆弱性の発見から修正までの期限は定められているのかを、平時から可視化する必要があります。

金融庁のサイバーセキュリティ指針にも、サードパーティリスク管理が独立した項目として位置付けられています。委託先を「外部だから管理できない領域」とせず、サービス全体のリスクとして経営陣とシステム部門が把握することが求められます。顧客資産を扱う証券システムでは、委託先の管理水準も提供サービスの品質そのものです。

異常注文を止める取引監視の多層化

侵入を完全にゼロにすることは難しいため、次の防壁は不正な注文を発見し、約定前または被害拡大前に止める仕組みです。金融庁の監督指針は、ログイン時の振る舞い検知、アクセス元の遮断、取引上限や購入可能商品の範囲を設定できる機能、不正な取引を検知して利用者へ速やかに連絡する体制を重視しています。

売買管理システムでは、通常と異なる銘柄、時間帯、注文量、注文の連続性、過去の取引傾向からの乖離などを組み合わせて評価できます。単一のルールでは、正常な大口注文を誤検知したり、攻撃者の注文分割を見逃したりします。複数の信号を用い、高リスクの注文には追加確認や一時停止をかける設計が必要です。

AIは、こうした異常検知の補助にも使えます。ただし、AIに最終的な執行停止を一任するのではなく、検知根拠を追跡できるルール、人による緊急判断、取引再開の承認手順と組み合わせることが重要です。市場が開いている時間に起きる攻撃では、検知精度だけでなく、誰が何分以内に遮断を判断できるかが被害規模を左右します。

今回、同社は検知当日に通信を遮断し、原状回復まで進めたとしています。今後の検証で問われるのは、侵入をどの時点で把握したのか、なぜ注文処理に届いたのか、同種の操作を止める監視ルールをどこまで恒久対策として実装したのかです。

委託先統制と異常売買検知に残る実装課題

2025年に証券口座の不正アクセス被害が急増したことを受け、業界は認証強化を急いできました。国会での政府答弁によると、同年1月から10月までの不正売買金額は累計約7,000億円、不正取引件数は累計約9,300件でした。ただし、この売買金額は不正な売却と買い付けの合計であり、顧客の最終損失額と一致するわけではありません。

今回の事案は、こうしたフィッシング起点の口座乗っ取りとは攻撃面が異なります。にもかかわらず、攻撃者が顧客資産や注文処理に近づくという結果は共通しています。利用者認証の改善だけではなく、委託先を含む特権アクセス管理、注文段階での取引制御、監視ログの相関分析を一体で進めなければなりません。

補償の考え方も重要です。日本証券業協会と証券各社は、フィッシング等による不正取引で一定の被害補償を行う方針を示していますが、補償の具体的内容は個別事情や各社の方針に左右されます。今回のように迅速な原状回復ができた事例を、あらゆるサイバー被害で同様の対応が保証される根拠と受け止めるべきではありません。

企業は、被害の有無だけでなく、侵害経路、影響を受けた情報、注文への影響、遮断措置、顧客が取るべき行動を時系列で説明する必要があります。公開できない技術情報があるとしても、顧客が自らのリスクを判断できる粒度の説明は必要です。曖昧な説明は、二次的なフィッシングを見分けにくくし、金融サービス全体への信頼を損ないます。

個人投資家が今日から確認すべき防衛手順

個人が委託先システムの脆弱性を修正することはできません。しかし、漏えい後に起きやすいフィッシングと、不審な取引の見落としを減らすことはできます。まず、証券会社が提供するパスキーまたは多要素認証を有効にし、ログイン先はメール内のリンクではなく、公式アプリか登録済みブックマークに限定するべきです。

次に、ログイン通知、注文約定通知、出金通知を受け取れる設定にし、保有銘柄と取引履歴を定期的に確認します。身に覚えのない注文やメールを見つけた場合は、メールへの返信や記載番号への電話ではなく、公式サイトで確認した窓口へ直接連絡することが安全です。

今回の教訓は、利用者の注意不足だけで片付けられない点にあります。個人は認証と通知を整え、証券会社と委託先は管理系の侵入を前提に防壁を多層化する。この両方がそろって初めて、オンライン取引の利便性を損なわずに資産を守る基盤になります。

参考資料

• 不正アクセスによる個人情報漏洩および不正取引に関するご報告｜岩井コスモ証券
• 外部委託先への不正アクセスに伴うお客様情報の漏洩について（第2報）｜岩井コスモ証券
• 岩井コスモ証券、顧客口座で「意図しない売買」成立｜ITmedia NEWS
• 個人情報流出が判明、意図しない売買も｜Security NEXT
• インターネット取引サービスへの不正アクセス・不正取引にご注意ください｜金融庁
• 金融商品取引業者等向けの総合的な監督指針｜金融庁
• インターネット取引における不正アクセス等防止に向けたガイドライン｜日本証券業協会
• 金融分野におけるサイバーセキュリティに関するガイドライン｜金融庁
• 行政手続等での本人確認におけるデジタルアイデンティティの取扱いに関するガイドライン解説書｜デジタル庁
• 金融分野における個人情報保護に関するガイドライン｜個人情報保護委員会
• 情報セキュリティ10大脅威 2024 解説書｜IPA
• フィッシング詐欺等による証券口座への不正アクセス等による対応について｜日本証券業協会
• 第219回国会 財務金融委員会会議録｜衆議院