証券口座の2段階認証をも突破してしまう乗っ取りの手口とは？

最近、証券口座の乗っ取り被害が急増しており、特に2段階認証（2FA）を突破する巧妙な手口が問題となっています。以下に、2025年4月時点で報告されている、楽天証券やSBI証券などで発生している「保有株を売却され、中国株を買われる」手口を中心に説明します。

1. 主な手口：フィッシング詐欺による認証情報窃取

概要: 犯罪者は証券会社を装った偽メール、SMS、または偽ウェブサイト（フィッシングサイト）を利用し、ユーザーを誘導してログインID、パスワード、2段階認証コードを入力させる。
2FA突破の仕組み:
- リアルタイム中間者攻撃（MITM）: ユーザーが偽サイトにログイン情報を入力すると、犯罪者は即座に本物の証券会社サイトにその情報を使ってログイン。2FAコードも、ユーザーが偽サイトに入力したものをリアルタイムで取得し、本物サイトに転送。
- セッションハイジャック: 偽サイト経由で取得したセッション情報を利用し、2FAを回避して口座にアクセス。
具体例: 楽天証券やSBI証券のユーザーが、偽の「セキュリティ警告」や「口座確認」メールのリンクをクリックし、偽サイトで認証情報を入力。犯罪者はこれを使って口座に侵入し、保有株を売却後、流動性の低い中国株を大量購入。
特徴: 偽サイトは本物の証券会社サイトとほぼ同一のデザインで、文面も精巧なため見分けが難しい。金融庁や日本証券業協会も注意喚起を発出。

概要: ユーザーのデバイスにマルウェアやキーロガーを仕込み、ログイン情報や2FAコードを盗む。
2FA突破の仕組み:
- マルウェアがデバイス上で入力情報をリアルタイムで記録。
- リモートアクセスツール（RAT）を使い、ユーザーのデバイスを遠隔操作し、2FAコードを含むセッション情報を直接取得。
具体例: 不正アプリや偽の投資ツールをインストールしたユーザーのデバイスから情報が盗まれ、証券口座に不正アクセス。楽天証券では、こうした手口で中国株購入の被害が報告されている。
特徴: マルウェアはメールの添付ファイルや偽アプリ経由で感染し、セキュリティソフトで検知されにくい場合も。

概要: 犯罪者がユーザーの電話番号を乗っ取り、SMS経由の2FAコードを傍受。
2FA突破の仕組み:
- ソーシャルエンジニアリングで携帯キャリアを騙り、ユーザーのSIMカードを再発行。
- 再発行されたSIMでSMSを受信し、2FAコードを取得。
具体例: 証券口座乗っ取りでは、SIMスワッピングが直接報告された事例は少ないが、2FA突破の可能性として専門家が指摘。
特徴: ユーザーの個人情報（氏名、住所、電話番号など）が事前に漏洩している場合に実行されやすい。

概要: 犯罪者が架空人物や盗んだ個人情報で銀行口座や証券口座を新規開設し、乗っ取った口座から資金を移す。
2FA突破の仕組み:
- フィッシングやマルウェアで取得した情報を使い、既存口座から不正送金先として新口座を登録。
- 2FAコードは上記の手口（リアルタイムMITMやマルウェア）で突破。
具体例: Xの投稿で、銀行口座を不正開設し、それを証券口座の出金先に設定する手口が指摘されている。乗っ取った口座の資金で中国株を購入後、株価操作で利益を得る。
特徴: 犯罪グループが組織的に動いており、闇サイトで個人情報が売買されている可能性。

手口の詳細:
- 乗っ取った口座でユーザーの保有株（特にNISA口座の株）を勝手に売却。
- 売却資金を使い、流動性の低い中国株（低位株）を大量購入し、株価をつり上げる。
- 犯罪者は事前にこれらの株を安値で保有しており、つり上げ後に高値で売却して利益を得る。
被害状況:
- 金融庁によると、2025年2月～4月16日で不正アクセス3,312件、不正取引1,454件（楽天証券、SBI証券、野村証券など6社）。
- 被害額は数百万円規模の個人投資家も。楽天証券は中国株582銘柄の買い注文を一時停止。
背景: ハッカーが国内・海外の低流動性株を標的にし、総額1,000億円規模の不正取引が進行中と推定。

技術的要因:
- 2FAコードのSMS送信は、SIMスワッピングやフィッシングで傍受可能。
- リアルタイムMITM攻撃は、ユーザーの入力タイミングを悪用。
人的要因:
- ユーザーが偽サイトで2FAコードを入力してしまう。
- パスワードの使い回しや、セキュリティ意識の低さが悪用される。
システム的要因:
- 一部の証券会社（例：SBI証券のバックアップサイト）では、2FAが無効な状態でログイン可能な期間が存在した（2025年5月閉鎖）。

2FAの強化:
- SMS認証より、認証アプリ（Google Authenticatorなど）を使用。
- 楽天証券の「ログイン追加認証」やデバイス認証を設定。
フィッシング対策:
- 公式サイトのURLをブックマークし、メールやSMSのリンクはクリックしない。
- 疑わしいメールは証券会社に直接確認。
デバイスセキュリティ:
- セキュリティソフトを導入し、最新状態に保つ。
- 知らないアプリや添付ファイルを開かない。
定期的な監視:
- 取引履歴や口座残高を頻繁にチェック。
- パスワードを定期的に変更し、使い回しを避ける。
SIMスワッピング対策:
- 携帯キャリアに不正なSIM再発行防止の設定を依頼。
- 個人情報の漏洩を防ぐため、SNSでの情報公開を控える。
証券会社の対応:
- 楽天証券やSBI証券は不正取引の監視を強化し、一部銘柄の注文を停止。ユーザーは公式発表を確認。