日本経済新聞インターネット証券のSBI証券は16日、顧客の6口座から約9864万円が流出したと発表した。第三者が証券口座に不正にログインし、ゆうちょ銀行と三菱UFJ銀行に作った偽の銀行口座に送金・出金したという。SBI証券は全額を補償する方針。業界をリードする証券会社で不正アクセスが起こったことは、私を含め、多くの利用者が驚いたことと思います。知らない間に資産が無くなるなんて・・・。何をすれば、証券口座に預けている資産のセキュリティは問題ないのかな・・・?こんな人のための記事です。証券でどのような事件が起こったのか確認した後、個人でできるセキュリティ対策についてまとめていきます。万円の資産が、顧客口座から流出したと発表しました。証券の顧客アカウントへ不正ログイン。証券口座に登録している顧客情報をコピー。証券と同一名義の銀行口座を開設。顧客アカウントが保有する有価証券を売却。並行して、出金先の銀行口座を、不正に開設した口座へ変更。売却して得られた資金を不正口座へ送金。その後、不正口座からお金を引き出し。いった流れで行われました。ここでのポイントは、一番最初の「顧客アカウントへ不正ログイン」の点です。証券が不正ログインを検出することは困難です。アドレスをモニタリングするくらいしか思いつかない・・・。事実、この被害は顧客申告により発覚しました。2020年9月7日に寄せられた身に覚えのない取引があったとのお客さまからのお申し出を端緒として、当該お客さまのログ調査等により、不審なアクセス元を特定し、そこからアクセスされたその他の口座や同様の特徴のある取引履歴等を分析いたしました。その結果、悪意のある第三者による不正アクセスが行われ、お客さまの有価証券の売却およびお客さま名義の出金先銀行口座への出金を複数件、確認いたしました。証券の顧客アカウントと同一名義で開設された「なりすまし口座」が使用されました。当社からの出金は、お客さま本人名義の出金先銀行口座のみに限定されておりますが、今回の事案では、悪意のある第三者が偽造した本人確認書類を利用するなどして、当該銀行口座そのものを不正に開設したことが判明しております。悪意のある第三者へ知られてしまった。悪意のある第三者は、本人確認書類を偽造して、銀行口座を不正に開設した。流出の原因このSBI証券のニュースリリースから、資産流出の直接的な原因は、顧客アカウントの不正流出にあると考えられます。証券口座の不正アクセスについて、SBI証券は社内システムに侵入された形跡はないとし、「リスト型アカウントハッキング」と呼ばれる手口だったとみている。記事によると、「リスト型アカウントハッキング」により、顧客アカウントが不正に流出した可能性があるとしています。サービスに対して不正ログインを試みる攻撃のことです。サービスで使いまわすことが多いという傾向を利用しています。サイトの脆弱性を利用する方法で、事前に入手したパスワードリストを使って、ログインの試行を繰り返します。顧客の個人情報を盗みます。対して、数百~数万回もの不正なログインが試行されます。回であることから、顧客のログイン思考と区別することが難しい特徴を持っています。サービス提供者側から「リスト型アカウントハッキング」を防ぐことは、非常に難しいです。かえるつまり、ユーザー側で犯行を防ぐ必要がある、ということ。サービスで、使いまわすことが多い傾向を利用された。正しいパスワードでログインされるため、証券会社は第三者の不正に気づけない。証券では以下の処置を行いました。不正アクセスの危険性があると考えられる顧客を幅広く特定して、「出金停止」「パスワード強制リセット」などの措置を実行。サイトでの出金先の銀行口座を変更する受付を停止。住所などの詳細な本人確認ができる郵送による変更手続きのみ受付。再発防止策として有効な施策を実施するとしています。顧客手持ちのスマートフォンなど、特定端末からのアクセスのみを許可する機能の導入などを検討しているようです。証券「悪意のある第三者による不正アクセスに関するお知らせ」かえる個人的には、素早い対応だと思うよ。事件発覚後すぐに、不正アクセスの可能性がある顧客の「出金停止」と「パスワード強制リセット」を実施。証券は「ログインパスワード」と「取引パスワード」を強制リセットする判断をしました。先般、当社からのプレスリリース(2020/9/16付「悪意のある第三者による不正アクセスに関するお知らせ」)にてご案内いたしましたように、第三者による不正アクセスが発生いたしました。当社では、これを受けまして、必要な対策を実施しております。9:00時点で、「ログインパスワード」のご変更を確認できない場合、誠に勝手ながら、当社にて「ログインパスワード」および「取引パスワード」を順次リセットさせていただくこととなります。(改めてログインパスワードの変更をお願いする画面を表示する際には、当社WEBサイトのほか、対象のお客さまには予めメッセージボックス>重要なお知らせにてご案内いたします。対象の顧客には、メッセージボックスを使って、事前に連絡がなされるとのことです。かえる推測だけど、パスワードを変更していない顧客全てが対象で、強制リセットをする判断みたい。証券が強制リセットした後は、顧客が郵送で再発行請求する必要があります。参考:SBI証券「【重要】パスワード変更のお願いとパスワードリセットについて」かえるパスワードの再発行まで、証券口座は凍結されるよね。証券は「ログインパスワード」と「取引パスワード」を強制リセット。強制リセットをされた場合、顧客は郵送で再発行請求する必要あり。今回の事案では、「リスト型アカウントハッキング」が、顧客アカウントへの不正ログインの推定原因です。「リスト型アカウントハッキング」は、サービスの利用者が複数のサービスにおいて、同じパスワードを使いまわすケースが多いことに着目した攻撃です。サービス提供者側から「リスト型アカウントハッキング」を防ぐことは非常に難しいため、利用者側での対策が重要となります。利用者側での対策には、以下のようなものがあります。ID・パスワードの使いまわしをしない。休眠アカウントを停止する。何らかの手段により、ID・パスワードがリスト化された場合を想定して、定期的なパスワードの更新を行う。ログインのメール通知など、ログイン履歴を把握できる環境を整える。ログインの二重認証を使用する。セキュリティ対策は、コストに対して効果が見えにくいため、まずは簡単なところから対策を進めたいところです。利用者側の対策が最も重要ID・パスワードの使いまわしをしない。休眠アカウントを停止する。定期的なパスワードの更新を行う。ログインのメール通知など、ログイン履歴を把握できる環境を整える。ログインの二重認証を使用する。証券で起こった、金融資産の流出事件を紹介しました。この事件で使われた「リスト型アカウントハッキング」は、サービスの利用者が複数のサービスにおいて、同じパスワードを使いまわすケースが多いことに着目した攻撃です。証券のようなサービス提供側で対策が難しく、顧客個人での対策が必要です。悪意のある第三者へ知られてしまった。悪意のある第三者は、本人確認書類を偽造して、銀行口座を不正に開設した。証券は第三者の不正に気づけなかった。証券は「ログインパスワード」と「取引パスワード」を強制リセットする判断をしました。その他、個人の対策としては、ID・パスワードの使いまわしをしない、休眠アカウントを停止する、などが挙げられます。一方で、セキュリティ対策は、コストに対して効果が見えにくいため、まずは簡単なところから対策を進めていきたいところです。かえる自分の資産を守るのは、自分自身!利用者側の対策が最も重要ID・パスワードの使いまわしをしない。休眠アカウントを停止する。定期的なパスワードの更新を行う。ログインのメール通知など、ログイン履歴を把握できる環境を整える。ログインの二重認証を使用する。ご参考になりましたら幸いです。記事を最後まで読んでいただきありがとうございます。「参考になった」「お疲れさま」という方がいらっしゃいましたら、クリックしてもらえるとうれしいです。今後のモチベーションにつながります。投資信託よりETFのほうがコスト安いと思っていませんか?この記事では投資信託とETFの違いをわかりやすく解説して、私がETFへ投資している理由を紹介します。資産運用の情報をもっと効率良く集めたいと思いませんか?この記事では、長期投資におすすめの無料ツールと情報サイトを紹介しています。シミュレーション】大学までの学費は平均いくら必要?小学校~大学・大学院までの学費をシミュレーションしました。簡単には準備できない金額の試算結果に対して、有効な学費の貯め方を紹介しています。長期投資が失敗するたった1つの理由について紹介しています。この記事では、失敗の理由を明らかにすることによって長期投資を成功に導きます。楽天証券の口座を開設したものの、設定が複雑で何をすれば良いか迷っていませんか?この記事では、楽天ポイントがザクザク貯まる、おすすめキャンペーンを紹介しています。円安とインフレが進みすぎていて、生活が苦しいと感じたことはないですか?この記事では、円安が起きている原因を分析したあと、個人ができる円安・インフレ対策を紹介しています。コメントをキャンセルメールアドレスが公開されることはありません。上に表示された文字を入力してください。おすすめETF比較2022.02.12【お金の不安】教育費はインフレしやすい?2020.08.19かえる会社員が資産1億円を貯める過程を発信しています。短期投資でリーマンショックと強制ロスカットを経験→長期投資で7000万円以上を運用中。大企業の電気系エンジニアを15年間勤務。技術士(電気電子部門)。再現性の高いお金の増やし方を紹介します。defined.")}))})()。