証券口座の乗っ取りは補償される？カードは全額戻り、楽天証券は半額が基本だった｜Googleアカウントを乗っ取られた私の被害と、パスキーで防げないもの（計算機つき）

証券口座の乗っ取りは補償される？カードは全額戻り、楽天証券は半額が基本だった｜Googleアカウントを乗っ取られた私の被害と、パスキーで防げないもの（計算機つき） 資産運用・ポイ活
2026.11.07

「証券口座 乗っ取り」「乗っ取られたら補償されるのか」で調べて来られた方に、先に結論を書きます。

証券口座の乗っ取りで売買された被害は、日本証券業協会と大手・ネット証券10社の申し合わせ（2025年5月2日）で、約款にかかわらず「一定の被害補償」をすることになっています。ただし額は個別の事情で決まり、楽天証券は被害額の50%を基本としています（もともと持っていた株を売られた分は被害額に入りません）。クレジットカードの不正利用は、たとえば楽天カードの規約では、連絡を受けた日の60日前以降の利用分の支払いが免除されます。私は2024年に、ゲーミングPCに入れた改造ツールがトロイの木馬で、Chromeにログインしていた Google アカウントから保存していたパスワードを全部持っていかれました。楽天カードには約105万円の請求が来ましたが、補償で全額戻りました。証券口座とFXの口座は、今のところ被害はありません。証券口座の不正アクセスは、2025年4月の5,490件から、2026年7月には18件まで減りました。パスキーなどフィッシングに強い認証を必須にした時期と重なります。ただし、パスキーを預けている Google や Apple のアカウント、自分のパソコンに入ったマルウェア、証券会社や委託先のサーバーへの攻撃は、パスキーでは防げません。カードと証券で戻る額の目安を出す計算機を9章に置きました。

知りたいこと 答え 章
あなたに何が起きたか 改造ツールのトロイの木馬で Google アカウントを取られ、カードで約105万円、ほかにポイントと通販、YouTube チャンネルまでやられた 1章
今どれくらい起きているか 不正取引は2025年1月〜2026年9月で1万642件、売却約4,372億円。2026年7月以降は大きく減った 2章
補償されるか カードは60日前以降の分が免除（楽天カード）。証券は「一定の補償」で、額は会社と個別の事情で決まる。楽天証券は50%が基本 3章
パスキーなら安全か 証券会社へのフィッシングには強い。Google・Apple のアカウント、自分のパソコン、会社側のサーバーは別 4章
何をすればいいか お金を扱う端末とそれ以外を分ける、Google・Apple のアカウントを固める、の2つ 5・6章
やられたときの順番 被害の出たところを先に止め、警察に届け、Google を取り戻し、記録を残す 7章

1. 先に、私に起きたこと（2024年）

2024年に、自宅のゲーミングPCにゲームの改造ツールを入れました。それが、トロイの木馬でした。インストールのときに権限を与えたので、その時に Chrome にログインしていた Google アカウントから、保存していたパスワードをまとめて持っていかれました。

気づいたのは、楽天カードの請求です。いきなり約105万円が来て、おかしいと思って明細を見ると、アリババで大量に商品を買われていました。ほかにも、楽天ポイントを全部使われ、iHerb でサプリを勝手に注文されていました。

カードの約105万円は、補償の対象になり、全額戻ってきました。

YouTube のチャンネルも乗っ取られました。全部の動画を非公開にされ、仮想通貨の詐欺の動画を配信されました。Google に相談して、アカウントは復旧しています。今、このサイトの動画を出しているのが、そのチャンネルです。

証券口座とFXの口座は、今のところ被害はありません。

その後にやったことは、三つです。Google のアカウントに、Google の物理セキュリティキーを付けました。ゲーミングPCでは、要らないログインをしないことにしました。ゲーミングPCで使う Google アカウントは、大事な情報を何も置いていない、やられても困らないアカウントに切り替えました。ゲームの攻略をAIで調べることがあるので、何にもログインしない状態にはできないからです。動画を見るためのアカウントにはログインしていて、そのうち一つは他の端末でも使うので、そこは危ういと思っています。2段階認証を入れ、新しい端末ではSMSの認証がないと入れない設定にしています。

ちなみに、このサイトも過去に、改造されたプラグインから侵入されて、それまでの記事を全部捨てたことがあります（テールリスクの記事に書きました）。私の被害は二度とも、2段階認証の手前の「自分で入れたもの」から始まっています。

2. 証券口座の乗っ取りは、今どれくらい起きているか

金融庁は、インターネット取引サービスへの不正アクセスと不正取引の件数を、月ごとに公表しています。

月 不正取引が起きた証券会社等 不正アクセス件数 不正取引件数 売却金額 買付金額
2025年1月 2社 144件 69件 約2億円 約0.8億円
2025年3月 5社 2,321件 935件 約175億円 約147億円
2025年4月 10社 5,490件 3,033件 約1,625億円 約1,423億円
2025年5月 16社 3,404件 2,440件 約1,151億円 約1,032億円
2025年10月 8社 778件 377件 約111億円 約100億円
2026年3月 8社 158件 121件 約159億円 約145億円
2026年7月 1社 18件 5件 約0.2億円 約0.2億円
2026年8月 4社 43件 25件 約2億円 約2億円
2026年9月 2社 37件 2件 約2億円 0円
合計（2025年1月〜2026年9月） － 1万9,252件 1万642件 約4,372億円 約3,837億円

出典：金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」（2026年10月9日更新）から一部の月を抜き出しました。不正取引件数は、不正アクセスのうち不正な売買まで行われた件数です。

いちばん多かった2025年4月から、2026年7月には不正アクセスが約300分の1になりました。金融庁は2025年10月15日に証券会社向けの監督指針を改正し、フィッシングに強い多要素認証（パスキーなど）を必須にしました。実施は原則として2026年6月末までです。減り方は、この期限と重なっています。

3. 補償されるか：カードと証券で違う

3-1. クレジットカード

楽天カードの会員規約（第17条）では、紛失・盗難・不正利用に気づいて楽天カードに連絡し、その連絡を受けた日の60日前以降に発生した利用分は、支払いが免除されます。条件は、速やかに電話などで連絡すること、警察に届け出ること、所定の届出書を出すこと、他人の利用を知ってから30日以内に必要な書類を出して調査に協力することです。会員の故意や重大な過失によるもの、家族や同居人による利用、登録された暗証番号と一致した取引などは免除されません。

私の約105万円が全額戻ったのは、この規約の範囲だったからです。気づいたのが請求の時点だったので、使われてから60日以内に連絡できました。請求の確定を待たずに明細を見る習慣があれば、もっと早く止められたと思います。

ほかのカード会社も、規約に同じような決まりがあります。日数や条件は会社ごとに違うので、自分のカードの会員規約で確かめてください。日本クレジット協会の集計では、2026年1〜6月のクレジットカードの不正利用被害は221.3億円で、そのうち93.1%（206.1億円）が番号盗用です。

3-2. 証券口座

日本証券業協会は2025年5月2日に、大手・ネット証券10社（SMBC日興証券、SBI証券、大和証券、野村證券、松井証券、マネックス証券、みずほ証券、三菱UFJ eスマート証券、三菱UFJモルガン・スタンレー証券、楽天証券）と協議し、2025年1月以降のフィッシングなどによる不正取引の被害について、「各社の約款等の定めに関わらず、一定の被害補償を行う方針」を申し合わせました。補償の額は、IDやパスワードの管理の状況、証券会社の注意喚起などの対策も考えて、個別に決めるとしています。

楽天証券が2025年7月25日に公表した方針は、次のとおりです。

  • 被害額の50%を基本として、お金で補償する（最終的には、取引が起きた時の利用状況を個別に確かめて決める）
  • 被害額は、不正に買われた株を売った損失と、まだ持っている場合の評価損の合計
  • もともと持っていた株を不正に売られた分は、被害額の計算に入らない
  • 不正取引の売買手数料は返す
  • 被害にあった人に、一律1万円のお見舞金
  • 個人が受け取った補償金は、所得税がかからない

同じ「乗っ取り」でも、カードは規約の条件を満たせば全額、証券は楽天証券の例で半分が基本です。ほかの証券会社の割合は会社ごとに決まり、業界で共通の割合はありません。全額が戻るとは限らないので、利用者の側でできることはやっておく、ということです。一方、4-4のような会社の側への攻撃は利用者には防げず、そのときの補償は会社の対応で決まります。

4. パスキーで防げるもの、防げないもの

4-1. 防げるもの：証券会社の偽サイト

パスキーは、本物のサイトでしか使えない仕組みのログインです（公開鍵暗号を使い、偽サイトに入力させることができません）。日本証券業協会は、偽サイトに入れたIDやパスワード、ワンタイムパスワードをその場で使う「リアルタイムフィッシング」が増えているので、パスキーなどフィッシングに強い認証が提供されていれば、すぐ切り替えるよう呼びかけています。2章の件数の減り方を見ても、ここはよく効いています。

4-2. 防げないもの①：パスキーを預けている Google・Apple のアカウント

パスキーは、端末の中だけでなく、Apple アカウントや Google アカウントのクラウドにバックアップして、別の端末でも使えるようにできます。日本証券業協会は、パスキーをクラウドにバックアップするなら、Apple アカウントや Google アカウントにも多要素認証を設定するなど厳重に管理するよう書いています。SBI証券は2026年10月2日に、Google や Apple のアカウント情報を盗むフィッシングに注意するよう呼びかけました。アカウントを乗っ取られると、クラウドに保存したパスキーやパスワードのメモが悪用されるおそれがあるからです。

私が2024年に取られたのは、まさにこの Google のアカウントでした。当時はパスキーではなくパスワードでしたが、Chrome に保存していた分は全部持っていかれました。パスキーでも、預け先の Google アカウントを取られると、悪用されるおそれがあります。

4-3. 防げないもの②：自分のパソコンに入ったマルウェア

Google の Chrome のチームは2024年4月2日の記事で、クッキーを盗むマルウェアは、端末のブラウザからログインのクッキーをまとめて外に送り出すこと、それがログインの後に起きるので2段階認証をすり抜けることを書いています。新しい端末でSMSの認証を求める設定は、別の端末からのログインには効きますが、感染した端末の中のログイン済みの状態を盗まれた場合は、効かないことがあります。私が「自分で入れたもの」を一番気にしているのは、このためです。

4-4. 防げないもの③：証券会社や委託先のサーバー

2026年10月には、利用者の側ではなく会社の側への攻撃が続きました。

  • 岩井コスモ証券：10月14日に攻撃を検知し、同じ日に通信を遮断しました。外部の委託先への不正アクセスによる顧客情報の漏洩を公表し（10月20日の第2報）、10月21日の報告では、遮断までに5件の不正な約定があって原状回復の措置をとったこと、4,975件の顧客情報が攻撃者から見られる状態だったことを明らかにしています。今回の不正取引は、パスキー認証が突破されたものではないと説明しています。
  • GMOインターネット「お名前.com デスクトップクラウド」：10月20日に、サービス環境への不正アクセスと、悪意あるプログラムが置かれていたことが確認されました。利用者の情報が外部に持ち出されたこと、一部の利用者から取引口座で身に覚えのない取引の報告があったことも公表しています。今の利用者全員に一律5,000円の見舞金を払い、不正アクセスが原因と確認した不正取引で実際に出た損失（差損・手数料など）を補償するとしています。

この二つは、利用者がパスキーを設定していても防げません。こうしたときの補償は、会社がどう対応するかで決まります。

5. 私が今やっていること

  1. Google のアカウントに物理セキュリティキーを付けた。パスワードが漏れても、キーがなければログインできません。Google は、狙われやすい人向けに「高度な保護機能プログラム」を用意していて、登録にはパスキーかセキュリティキーが要ります。
  2. ゲーミングPCは、お金を扱わない端末にした。要らないログインはしません。使う Google アカウントは、大事な情報を何も置いていない別のアカウントにしました。
  3. それでも残る危うさを分かっておく。動画を見るためにログインしているアカウントのうち、他の端末でも使うものがあります。2段階認証とSMSの認証は入れていますが、4-3のとおり、端末の中のログイン済みの状態は守れないことがあります。

6. 証券口座の乗っ取りを防ぐために確かめる5つ

  1. 証券会社のパスキー・多要素認証。提供されていれば、ログイン・取引・出金・出金先口座の変更のときにかかるように設定し、通知も有効にします（金融庁）。
  2. Google・Apple のアカウント。2段階認証、登録している端末、復旧用のメールと電話番号を確かめます。パスキーを預けているなら、ここが一番の鍵です（日本証券業協会、SBI証券）。
  3. お金を扱う端末に、出どころの分からないものを入れない。改造ツール、非公式の拡張機能やプラグイン、添付ファイルです。分けられるなら、端末かブラウザのアカウントを分けます。
  4. ログインは公式アプリかブックマークから。メールやSMSのリンクから入らない。パスキーの登録は公式サイトか公式アプリからだけ行い（日本証券業協会）、登録し直しを求めるSMSや電話には応じません（SBI証券）。
  5. 明細と取引報告書を、請求や報告の前に見る。カードは連絡が遅れると免除の期間から外れます。心当たりのない取引報告書が届いたら、すぐ証券会社に連絡します（日本証券業協会）。

7. やられたときの順番

  1. 被害の出たところを、先に止める。証券口座なら証券会社に連絡して、ログインと取引を止め、出金先の口座が変えられていないか確かめます。カードならカード会社に電話して、カードを止めます。楽天カードの規約では、連絡を受けた日の60日前以降の分が免除の対象です。両方なら、資産の大きいほうから先にします。
  2. 警察に届け出る。カード会社の手続きで求められます。
  3. Google・Apple のアカウントを取り戻す。ログインできない場合は、Google のアカウント復元のページで本人確認をします。YouTube のチャンネルは、Google アカウントを取り戻してから、勝手に変えられたところを元に戻します（YouTube ヘルプ）。私はこの順番で戻りました。
  4. ほかのサービスのパスワードを変える。保存していたパスワードは、全部漏れたものとして扱います。
  5. 記録を残す。取引報告書、不正な取引の通知メール、明細、画面の写し、証券会社やカード会社に連絡した日時と相手を控えます。補償は個別の事情で決まるので、経緯を説明する材料になります。

8. よくある質問

証券口座を乗っ取られたら、全額補償されますか？

全額とは限りません。日本証券業協会と10社の申し合わせは「一定の被害補償」で、額は個別の事情で決まります。楽天証券は被害額の50%が基本で、もともと持っていた株を売られた分は被害額に入りません。会社側への攻撃だった岩井コスモ証券の件では、不正な約定について原状回復の措置をとったと報告しています。

パスキーを設定していれば安全ですか？

証券会社の偽サイトには強く、2026年7月以降は不正アクセスが大きく減りました。ただし、パスキーを預けている Google・Apple のアカウントが乗っ取られた場合、自分のパソコンにマルウェアが入った場合、証券会社や委託先のサーバーが攻撃された場合は、パスキーでは防げません。

証券会社の補償に納得できないときは、どこに相談できますか？

証券会社との取引のトラブルは、金融庁が指定した紛争解決機関の「証券・金融商品あっせん相談センター（FINMAC）」に相談や、あっせんの申し立てができます。まずは証券会社の窓口で、補償の根拠を書面で確かめてください。

クレジットカードの不正利用は何日前まで補償されますか？

楽天カードの規約では、カード会社が連絡を受けた日の60日前以降の利用分です。カード会社ごとに違うので、会員規約で確かめてください。

Google アカウントを乗っ取られたら、YouTube チャンネルは戻りますか？

YouTube ヘルプでは、まず関連する Google アカウントを取り戻し、次にチャンネルに加えられた変更を元に戻す、という順番です。私のチャンネルは、全部の動画を非公開にされ、詐欺の動画を配信されましたが、Google に相談して戻りました。

ポイントや通販サイトで勝手に買われたものはどうなりますか？

カードで払われた分は、3章のカードの補償の対象になりえます。ポイントやサイトの残高で払われた分は、それぞれのサービスの規約で扱いが決まります。私の場合は、楽天ポイントを全部使われ、iHerb でもサプリを注文されました。

9. 計算機：カードと証券で戻る額の目安

カードの不正利用の額と、連絡までの日数、証券口座での損失を入れると、戻る額の目安を出します。カードは楽天カードの規約（連絡を受けた日の60日前以降が免除）、証券は楽天証券の方針（被害額の50%を基本、手数料の返金、見舞金1万円）で計算します。ほかの会社は決まりが違います。最後に、自分の状況をAIに整理させる相談文を付けました。

不正利用・不正取引：戻る額の目安

入れた数字は、このページの中で計算に使うだけで、どこにも送られません。

10. まとめ

  • 証券口座の不正取引は、2025年1月〜2026年9月で1万642件、売却約4,372億円。フィッシングに強い認証の必須化のあと、2026年7月以降は大きく減りました。
  • 補償は、カードと証券で違います。楽天カードは連絡を受けた日の60日前以降の分が免除、証券は「一定の補償」で、額は会社と個別の事情で決まります。楽天証券は50%が基本です。
  • パスキーは証券会社の偽サイトには強い一方、Google・Apple のアカウント、自分のパソコンのマルウェア、会社側のサーバーへの攻撃は防げません。
  • 私の被害は、ゲーミングPCに入れた改造ツールから始まりました。今は Google のアカウントに物理セキュリティキーを付け、お金を扱う端末とそれ以外を分けています。

11. 出典

YouTube は Google LLC の商標で、このサイトは提携していません。

12. あわせて読む

 

── 無料メール講座（全6章・14通）──
真面目に働いても給料が上がらないのは、
あなたの能力ではなく
買い手が一社しかいないからです。
売り手が多数いて、買い手が一者しかいない市場では、
価格は買い手の内部規則で決まります。
転職しても、買い手が別の一社に変わるだけ。
構造は変わりません。
必要なのは努力の量でも我慢でもなく、
会社以外に
「自分の判断にお金を払う相手」
を一つ持つこと。
月3万円で構いません。
それだけで、組織との距離の取り方が変わります。
動かない録画機器を1,000円以下で仕入れ、
中古ドライブ（部品代2,000円）に交換。
ついでに容量を増やして15,000円で販売。
── 20年の現場から、実例の一部
この無料講座で扱う内容
  • 壊れた商品のどこに価格差が眠るのか
    「歪みの4類型」
  • 手数料・送料・作業時間まで含めた
    「1件の利益計算式」
  • 絶対に手を出してはいけない
    「除外リスト7項目」
  • 6日目には、元手ゼロで
    今週できる実践ワーク（約70分）
※手を動かさずに稼ぐ方法をお探しの方には向きません。
そのことも講座内で明記しています。
20年
現場での実践
全14通・2週間。
1通3〜5分で、通勤中にも読み切れる分量です。
まずは14通の無料講座で、
「第二の買い手」という考え方を確認してください。
登録30秒・無料・いつでも解除できます


「第二の買い手」を作る14通を無料で読む →

※後半に有料商品のご案内があります。
第1通の冒頭で明記します。

にほんブログ村の「せどり」ランキングに参加しています

にほんブログ村 小遣いブログ せどりへ PVアクセスランキング にほんブログ村
資産運用・ポイ活
ビジネスと一杯のコーヒー