FRL 自由研究ラボ

資産形成の発想 — IDEA 02

金融資産を乗っ取りから守るチェックリスト

— 漏れても使えない・すぐ気づく・被害を小さく —

銀行などのサーバー（利用者の情報を預かっているコンピュータ）が攻撃されて情報が漏れること自体は、個人では防げません。 個人にできるのは、漏れても使えないようにしておくこと、使われたらすぐ気づくようにしておくこと、被害の上限を小さくしておくことの3つです。 この記事では、その3つを、メール・銀行・証券会社・カードなどの場所ごとのチェックリストにまとめます。

この記事を読むとできること

  • 口座が乗っ取られる代表的な手口を知り、守る順番を決められます
  • メール・銀行・証券会社・カードなどの設定を、チェックリストで1つずつ見直せます
  • 漏えいのニュースを見たとき・被害に気づいたときに、何をすればよいかが分かります

想定している読者

ネットバンキング・ネット証券・クレジットカードを使っていて、何から守ればよいのか分からない人を想定しています。 設定の名前や、選べる方式はサービスごとに違います。実際に設定するときは、各社の公式サイトや公式アプリで確かめてください。

この記事は身を守るための考え方の記録で、特定の金融機関やサービスをすすめるものでも、投資の助言でもありません。 補償の条件や設定のしかたは会社ごとに違い、変わることもあるので、最新の内容はご自身で確かめてください。

  1. 個人にできることは何か
  2. 口座はどう乗っ取られるか
  3. 全サービス共通の土台
  4. メールと Apple アカウント
  5. 銀行
  6. 証券会社
  7. クレジットカード
  8. QR決済・電子マネー・ポイント・通販
  9. 端末と回線
  10. 漏えいのニュースを見たとき・被害に気づいたとき
  11. 時間がなければ、この5つだけ
  12. 関連する項目

読む目安：約13分 ・ 資産形成の発想 IDEA 02 ・ 図3枚

個人にできることは何か ―― なぜ「漏れたあと」に備えるのか

個人が金融資産を守るためにできるのは、漏れても使えないようにする・使われたらすぐ気づく・被害の上限を小さくするの3つです。 サーバーへの攻撃そのものを止めることはできなくても、この3つが整っていれば、漏れたときの被害を小さく抑えられます。

銀行やお店のサーバーがどれだけ守られているかは、利用者からは見えませんし、口を出すこともできません。 そのため、「漏れないように気をつける」ことを目標にすると、何をすればよいのかが決まらなくなります。

そこで、情報はいつか漏れるものと考えて、漏れたあとに備えます。 漏れたパスワードがほかでは通用しなければ、被害はそこで止まります。通知が届けば、すぐに気づいて止められます。 振込や利用の限度額が小さければ、最悪の場合でも失う額に上限ができます。

✕ どこも同じパスワードにしていると よそのサービスから パスワードが漏れる 銀行・証券・カードに 次々入られ、気づくのも遅れる ○ 使い回さず、通知と限度額を整えておくと よそのサービスから パスワードが漏れる 漏れても、ほかでは使えない 使われたら、通知ですぐ気づく 被害には、限度額で上限がある 漏れること自体は防げなくても、漏れたあとの広がり方は自分で決められます。

図の見方：上の段は、どのサービスも同じパスワードにしている場合です。どこか1か所から漏れると、銀行・証券・カードにも次々に入られ、通知を切っていると気づくのも遅れます。 下の段は、パスワードを使い回さず、通知と限度額を整えている場合です。同じように漏れても、ほかでは使えず、使われればすぐ気づけて、被害にも上限があります。

口座はどう乗っ取られるか ―― 代表的な2つの手口

個人の口座が乗っ取られる代表的な手口は、サーバーへの攻撃そのものではなく、次の2つです。 1つはリスト型攻撃（よそで漏れたIDとパスワードの組を、別のサービスで機械的に次々ためす攻撃）です。パスワードを使い回していると、まったく関係のないサービスから漏れたものでも、金融サービスに入られてしまいます。

もう1つはフィッシング（本物そっくりの偽サイトへ誘い出し、IDやパスワードを入力させて盗む手口）です。 「不正利用を検知しました」「本人確認が必要です」のようなメールやSMS（携帯電話の番号あてに届く短いメッセージ）で急がせ、リンクから偽サイトを開かせます。 防ぎ方は、パスワードを使い回さないこと、リンクから開かないこと、そしてパスキー（パスワードの代わりに、端末の指紋や顔の認証、パスコードでログインする仕組み）にすることです。 このあとのチェックリストも、この2つの手口を重く見ています。

リスト型攻撃（使い回しを突く） よそで漏れた ID・パスワードの一覧 金融サービスで 機械が次々ためす → 使い回していた所にだけ入られる（防ぎ方：使い回さない） フィッシング（偽サイトへ誘う） 「本人確認が必要です」 のメール・SMS 本物そっくりの 偽サイト → 入力したものを横取りされる （防ぎ方：リンクから開かない・パスキーにする）

図2　代表的な2つの手口（考え方の図です）。上の段がリスト型攻撃、下の段がフィッシングです。どちらも、こちらが何もしなくても届く攻撃ですが、使い回さないこと・リンクから開かないことで、被害に遭う見込みをかなり減らせます。

全サービス共通の土台 ―― 最優先で整える

どのサービスにも当てはまる土台です。ここが整っていれば、2つの手口はかなり通じにくくなります。

メールと Apple アカウント ―― すべての「合鍵」を先に固める

多くのサービスは、パスワードを忘れたときの再設定をメールで受け付けます。 そのため、メールアカウントを乗っ取られると、パスワードの再設定を通じて、すべての口座に入られてしまいます。 Apple アカウント（以前の Apple ID。iPhone や Mac で使う、Apple のサービスの入口）も同じくらい大切です。Mac と iPhone に保存したパスワードやパスキーは、このアカウントを通じて同期されるので、乗っ取られると保存したものまで取られるおそれがあります。 どちらも金融機関より先に固める場所です。

メールアカウント・Apple アカウント すべての「合鍵」 再設定・保存したパスワード 銀行 証券会社 カード 合鍵を取られると、全部の扉が開く。だから、ここを先に固める

図3　メールと Apple アカウントは、すべての口座の「合鍵」（考え方の図です）。いちばん上の合鍵を取られると、メールでのパスワードの再設定や、Apple アカウントに保存したパスワードを通じて、下に並んだ銀行・証券会社・カードのどれにでも入られます。

銀行 ―― 一度に動かせる額を小さくしておく

証券会社 ―― 乗っ取り被害が急に増えた分野

2025年には、証券会社の口座が乗っ取られ、勝手に株を売買される被害が急に増えました。 主要な証券会社では、ログイン時の多要素認証（二段階認証とほぼ同じ意味で、パスワードのほかの確認を求める仕組み）の必須化が進んでいます。

クレジットカード ―― 小さな異変に早く気づく

QR決済・電子マネー・ポイント・通販 ―― 置きすぎない

端末と回線 ―― 手元の Mac と iPhone を固める

漏えいのニュースを見たとき・被害に気づいたとき

時間がなければ、この5つだけ ―― 今日できること

チェックリストを全部こなす時間がなければ、次の5つから始めてください。合鍵を固め、使い回しをやめ、被害の上限を下げ、すぐ気づけるようにする、という順番です。 設定したら、通知が本当に届くかを、少額の利用やログインで一度自分の目で確かめておくと安心です。