ここ数年、ネット証券やオンラインバンキングを狙った「口座乗っ取り」事件が相次ぎ、業界全体に大きな衝撃を与えました。

ネット証券やオンラインバンキングの口座乗っ取りは「個人が狙われる事件」と捉えられがちですが、実際には企業のセキュリティ管理体制とも深く関わっています。顧客管理や従業員データを扱っているシステムに侵入された結果、顧客や従業員の認証関連の情報(クレデンシャル情報)を一括で窃取されるかもしれません。こうしたデータを利用して「リスト型攻撃（Credential Stuffing）」を仕掛け、不正送金や証券口座の不正利用を行う手口も多数確認されています。

深刻な被害状況

組織化されたサイバー攻撃者の集団は、豊富な資金力を背景に高度で巧妙化された手口を次々と開発し、世界中で被害を拡大させています。特に資産の出入口となる口座の乗っ取りは、被害額も甚大になりやすく、企業の信用失墜に直結します。

2021年に発覚したSBI証券での不正送金事件では、攻撃者はフィッシングを通じて顧客のIDやパスワードを窃取し、国内外の銀行口座へ不正送金を実行しています。被害総額は約1億円を超え、金融庁も重大な事案として注意喚起を行いました。

その後も被害は続き、楽天証券やマネックス証券など他の大手ネット証券でも、顧客が偽サイトに誘導されて認証情報を盗まれる事例が確認されています。2025年4月金融庁が発表した注意喚起の資料によると、2025年１月から5月末までの期間における証券口座への不正アクセス件数は10,422件、不正取引件数は5,958件、不正売買額は5,240億円にもおよんでいます。

また、警察庁が発表した「サイバー空間における脅威の情勢」（2023年版）によれば、国内のフィッシング詐欺の通報件数は過去最多を更新し、2023年には100万件を大きく超える水準に達しました。そのうち金融機関関連の偽装が最も多く、特にブランド力のある証券会社、銀行、クレジットカード会社を装ったフィッシングが急増しています。

高度で巧妙なサイバー攻撃には”人”と”ツール”に対策が必要

これらの数字は、それぞれが単発で発生した事件ではなく、「金融業界全体を狙った継続的な攻撃」であることを示しています。

多数の口座乗っ取りの事案が発生したことで、金融機関だけでなく、他のオンラインサービスや一般企業でも多要素認証（MFA）の導入を強化し、不正検知システムの改善を進める動きが加速しています。

しかし、問題をさらに深刻化させているのは、被害者が多要素認証を設定していたにもかかわらず突破されたケースが存在することにあります。中間者攻撃（MITM）や偽アプリを用いたSMSワンタイムパスワードの窃取など、サイバー攻撃の手口は年々巧妙化しています。

いまや「多要素認証を入れているから安心」とは言えず、利用者個人のセキュリティリテラシーと企業側の追加防御策の両方を組み合わせなければ被害を防ぐことは難しい状況になっていると言えるでしょう。つまり、人とツールという二つの側面での対策が不可欠であるということです。

“人”への対策

セキュリティ対策でもっとも重要なのは、「人」によるリスク低減です。

口座の乗っ取りや不正送金の事件の大半は、「フィッシングメールに書かれたリンクにアクセスしてしまった」「SMSの偽メッセージに反応してしまった」「正規そっくりの偽サイトにID／パスワードを入力してしまった」といった「人の判断ミス」がきっかけになっています。

クレジットカード会社を騙って高額な買い物をしたようなメールで不安を煽る、口座に不正アクセスされたと嘘のメールを送って偽サイトに誘導する、ECサイトのタイムセールなど短い時間での行動を要求するなど人の心理の隙間を狙う巧妙な手口が散見されます。また、企業のメールアドレスには、取引先企業の名前を騙って請求書などを送付するビジネスメール詐欺の被害も多数報告されています。

当然のことながら、ユーザー側にリテラシーが高ければ、フィッシングなどの被害に遭う確率そのものを削減できます。しかし、座学中心のセキュリティ教育には限界があるため、より実践的な教育により効果を発揮する新しいセキュリティ教育・訓練のサービスが注目されています。

セキュリティアが提供する「セキュアプラクティス」も、こうした新しいセキュリティ教育・訓練のサービスの一つです。

セキュアプラクティスの特長は、なんといっても「疑似フィッシングメールの配信機能」です。管理者がシナリオを設定すると、従業員宛に実際の攻撃そっくりのメールが送信される仕組みになっており、従業員がリンクをクリックしたり、添付を開いたりすると「フィッシングの手口に騙された」というフィードバックが即座に表示されます。こうした訓練によって、「どのようなメールに注意すべきか」「実際にどう判断すべきか」などを実体験として学ぶことができるようになっています。

また、フィッシングに引っ掛かりやすい従業員を可視化することもできるため、個別に教育コンテンツを提示してリテラシーを底上げすることができます。つまり、管理者は組織全体の弱点を把握し、改善施策を講じやすくなるということです。従業員全員を対象に“継続的な訓練”を実施することで、組織文化としてセキュリティ意識を根付かせることもできます。

セキュアプラクティスについて

現在、多くのお客様より評価をいただいている、ハイパーのセキュアプラクティス。セキュリティ教育でお悩みのお客様は、お気軽にお問合せ下さい。

詳細はこちら
https://www.securitier.jp/security/ciso/cisosp/

%3Ciframe%20width%3D%22560%22%20height%3D%22315%22%20src%3D%22https%3A%2F%2Fwww.youtube.com%2Fembed%2FQxluIilm5uc%3Fsi%3DYiaN6dYvNDOW2Yl7%22%20title%3D%22YouTube%20video%20player%22%20frameborder%3D%220%22%20allow%3D%22accelerometer%3B%20autoplay%3B%20clipboard-write%3B%20encrypted-media%3B%20gyroscope%3B%20picture-in-picture%3B%20web-share%22%20referrerpolicy%3D%22strict-origin-when-cross-origin%22%20allowfullscreen%3D%22%22%3E%3C%2Fiframe%3E

“ツール”での対策

人の注意力には限界があります。そこで重要になってくるのが「ツールによる補完」です。

たとえばHPの「Sure Click Enterprise」では、Webブラウジングやメールの添付ファイルを仮想環境(マイクロVM)の中に隔離された状態で開くため、攻撃的なコードが含まれていてもOS本体や社内ネットワークには影響を与えません。

また、安全性の確認されていないサイトにアクセスした際、ユーザーに警告を表示します。特にログイン情報や個人情報の入力を求められる場面では、入力自体をブロックする機能を備えています。これにより、偽サイトに「クレデンシャル情報などをうっかり入力する」といったセキュリティ被害を防止します。

なお、Sure Click Enterpriseはエンドポイントで動作するため、リモートワークなど社内ネットワークに接続されていないデバイスも保護可能です。つまり、ユーザーがどこにいても、セキュリティ被害を発生させない “最後の砦”として活躍してくれるのです。

HP Sure Click Enterpriseについて

ハイパーは「HP Sure Click Enterprise」認定リセルパートナーです！お気軽にお問合せ下さい。

HP Sure Click Enterprise | 株式会社ハイパー
https://www.securitier.jp/products/cyber-attack/hpsce/

まとめ

口座乗っ取りなど高度で巧妙化されたサイバー攻撃が激化している
多要素認証があっても安心できない
“人”と“ツール”の両側から対策が必要