浜銀TT証券株式会社は、フィッシングによる不正アクセスおよび不正な取引被害が、同社のインターネット取引サービス「浜銀TT証券ダイレクト」において発生したことを受け、利用者に対しパスキーの設定を要請している。
事案の詳細
報道によると、浜銀TT証券ダイレクトにおいてフィッシングを起因とする不正アクセスが発生し、その結果として顧客口座における不正な取引被害が確認された。同社は9月3日付でこの不正アクセス・不正取引の発生について公表している。事案は「フィッシングによる不正アクセス・取引被害発生」とされており、証券会社を装った偽メール等からフィッシングサイトへ誘導され、利用者のログインIDやパスワードなど認証情報が窃取されたうえで、第三者が利用者になりすましてサービスにアクセスし、取引に至った被害が起きたことが示されている。
同社は、対策として「パスキー設定」を利用者に要請している。パスキーは、公開鍵暗号方式を活用し、従来のパスワード入力に依存した認証よりもフィッシングに強い多要素認証として位置付けられる仕組みであり、本人確認の強化を目的とした手段として案内されることが多い。本件では、被害の発生を受け、利用者側の認証手段を見直し、パスワードに依存しないパスキー認証へ切り替える必要があるという同社の姿勢が打ち出された。
なお、元記事のタイトルおよび概要から読み取れる範囲では、個別の被害件数、被害額、具体的な発生期間、侵入経路の詳細、詐欺サイトやメールの具体的な文面・デザイン、影響を受けた利用者の属性や地域などの個別情報は明示されていない。詳細は現時点で不明であり、確認できる事実は、フィッシングに起因した不正アクセスと不正取引が浜銀TT証券ダイレクトで発生し、同社がパスキー設定を利用者に要請している点である。
影響と背景
フィッシングは、正規の事業者を装ったメールやSMS、Webページなどの案内を通じて利用者の認証情報や個人情報を入力させ、第三者が不正にログインする被害につながり得る。本件は、証券会社のインターネット取引サービスにおいて、不正アクセスが実際の不正売買などの取引被害に結び付いた事案として位置付けられる。証券分野では、近年フィッシングを手口としたインターネット取引サービスへの不正アクセス事案が増加しており、金融庁や業界団体からも、フィッシングに耐性のある多要素認証（パスキーによる認証等）への切り替えを求める注意喚起が行われている。
元記事の範囲では、浜銀TT証券ダイレクトにおける個別の背景事情や攻撃グループ、被害の拡大経路などの詳細は示されていないが、事業者として認証強化の一手段であるパスキー設定を顧客に要請した点は、利用者側の認証対策が不正アクセス・不正取引の被害低減に直結する領域であることを示している。また、同社は別途、パスキー新規登録手順を公開し、2026年5月18日以降にパスキー登録を行った口座については、従来のログインIDとログインパスワードのみでのログインを不可とし、パスキーによるログインを必須とする運用を開始していることから、今回の事案を踏まえた強制的な認証方式の切り替え・強化が進められていると考えられる。
対策・今後の展望
同社が利用者へ要請しているのはパスキーの設定であり、まずは公式サイトや公式アプリの案内に従ってパスキーを登録し、ログイン手段を強化することが重要となる。パスキーは、端末の生体認証などを組み合わせて、秘密鍵を端末側に安全に保持することで認証を行う仕組みであり、フィッシングサイト上でID・パスワードを入力する従来型のログイン方式に比べて、認証情報の窃取に対する耐性が高いとされる。
- パスキー設定の実施：同社が要請する対策として、浜銀TT証券ダイレクトの利用環境でパスキーを設定し、ログイン方法をパスキー認証へ切り替える。2026年5月18日以降、いずれかの端末でパスキー登録した口座では、従来の「ログインID」と「ログインパスワード」を用いたログインはできなくなり、「パスキーでログイン」ボタンからの認証に統一されるため、早期に設定を完了しておくことが望ましい。
- 不審な導線の回避：メールやSMSなどの案内から安易に認証情報を入力しないようにし、真偽が判断できない場合は手続きを中断する。証券会社を名乗る案内であっても、ログインやパスキー登録は必ず公式サイトや公式アプリから行い、リンク経由で表示されたログイン画面や登録画面のURL・証明書を確認することが重要である。
- アカウント状況の確認：不正アクセスや不正取引の疑いがある場合に備え、取引やログインに関する通知・履歴を日頃から確認する。ログイン通知サービスなどが提供されている場合は「通知する」に設定し、身に覚えのないログインや取引がないかを定期的に確認することで、被害の早期発見につなげることができる。
CSRIからの現場アドバイス
【現場で何が起きているか】CSRIが支援する中小企業のMDR運用では、証券会社やクラウドサービスなどの偽ログイン画面へ誘導され、認証情報が抜かれた後に外部からのサインインが発生する流れが繰り返し観測される。診断でも「多要素認証やパスキーが未導入のまま」の環境が少なくなく、ID・パスワードに依存した認証方式が攻撃者に狙われ続けている。
【平易な解説】フィッシングは、例えるなら「本物そっくりの受付カウンター」に連れていかれ、社員証の番号や暗証番号を自分から渡してしまうようなものだ。つまり、攻撃者は技術的な脆弱性を突破するより先に、本人が入力した情報を使って正規の手順で内部に入り込む。パスキーのような仕組みは、この「情報を渡してしまう」状況そのものを減らし、偽画面上で秘密情報を入力させない構造にすることで被害を抑える。
【今週中にできること】まず全社で、ログイン方法にパスキーなど強い手段が用意されているサービスを洗い出し、使えるものは設定する。次に、総務や情報システム部門から「メールやSMSのリンクでログインしない」「パスキー登録時は必ず公式サイトや公式アプリから行う」ルールを周知し、疑わしい案内は担当窓口に相談する流れを決める。これにより、フィッシングによる認証情報窃取と、それに続く不正アクセス・不正取引のリスクを現場レベルで低減できる。