2026年10月20日、岩井コスモ証券のインターネット取引システムがサイバー攻撃を受け、顧客が意図していない売買注文が出されていたことが明らかになりました。被害は7口座に及び、うち5口座では取引が成立していました。また、氏名やメールアドレスなど、4975人分の個人情報が漏洩したことも判明しています。
今回の問題で注目されるのは、不正売買が発生した事実だけではありません。最初の発表から追加情報が公表されるまでの経緯や、証券会社の取引システムが第三者に操作されたことの重大性も問われています。
顧客の金銭的負担は生じていないとされていますが、それだけで問題が解決したとはいえません。今回の被害の実態と、証券会社に求められる対応について考えます。
岩井コスモ証券のサイバー攻撃で何が起きたのか
今回、不正アクセスを受けたのは、岩井コスモ証券からインターネット取引システムの運用・保守業務を委託されているトレードワークスのシステムです。
岩井コスモ証券は10月14日に不正アクセスを検知し、アクセス制限などの緊急措置を実施しました。10月16日の第1報では、顧客4611人分の氏名やメールアドレスなどが漏洩したと発表し、漏洩した情報によって証券口座への不正ログインや取引が行われるリスクはないと説明していました。
しかし、10月20日の第2報では、追加調査によって個人情報の漏洩対象が4975人に増えたことに加え、売買管理システムへの攻撃によって7口座で意図しない注文が発生し、5口座で約定していたことが明らかになりました。
岩井コスモ証券によると、対象となった顧客には10月14日に個別に連絡し、取引前の状態に戻す措置を完了しています。顧客の負担は生じていないとしています。また、不正売買は漏洩した個人情報を利用したものではなく、取引暗証番号などの漏洩も確認されていないと説明しています。
なぜ不正売買の公表が遅れたのか
今回、問題の一つとなっているのが、被害に関する情報が段階的に公表されたことです。
岩井コスモ証券は10月20日の発表で、第1報の時点では、同様の被害を防ぐための対策を段階的に進めていたため、不正取引の手口につながる情報の公表を控えていたと説明しました。対策を実施し、その確認を終えたことから、不正売買についても公表したとしています。あわせて、説明が遅れたことを謝罪しました。
サイバー攻撃が発生した場合、企業は被害の拡大を防ぎながら、システムの調査や復旧を進めなければなりません。調査の初期段階では被害の全容が把握できていないこともあり、攻撃者に防御方法を知られるおそれがある情報について、公表を控える判断にも一定の理由があります。
一方で、攻撃の具体的な手口を公表することと、顧客の口座で不正売買が発生した事実を知らせることは、分けて考える必要があります。顧客の資産に直接関わる被害があったのであれば、その事実をいつ、どのような理由で公表するのかが重要です。
今回、同社は公表を控えた理由を説明し、発表の遅れについて謝罪しています。ただし、初報の時点でどこまで事実を把握していたのか、どのような判断で公表を見送ったのかについては、説明の透明性が求められます。意図的な隠蔽があったと断定することはできませんが、金融機関には顧客の信頼を損なわない情報開示が求められます。
個人情報の漏洩と不正売買は何が違うのか
今回の問題で特に重大なのは、個人情報が漏洩しただけでなく、顧客の口座で実際に売買注文が出されたことです。
氏名やメールアドレスが漏洩すると、詐欺メールや偽の電話などに悪用される危険があります。証券会社を装った連絡によって偽サイトへ誘導され、ログイン情報を盗まれる二次被害にも注意が必要です。
しかし、取引システムへの不正操作は、顧客の財産に直接影響を与えます。本人が売買を指示していないにもかかわらず、第三者によって保有株式を売却されたり、意図しない銘柄を購入されたりする可能性があるためです。
今回、岩井コスモ証券は取引前の状態に戻す措置を完了し、顧客の負担は生じていないとしています。これは被害を受けた顧客にとって重要な対応です。
ただし、結果的に顧客の負担が解消されたことと、不正売買を許す事態が発生したことは別の問題です。顧客の資産を扱うシステムにおいて、第三者が意図しない注文を出せた原因を特定し、再発を防ぐことが不可欠です。
なぜ岩井コスモ証券のシステムで不正売買が起きたのか
今回のシステム運用・保守を担っていたトレードワークスは、ほかの金融機関のネット取引の運用なども手がけています。報道によると、10月20日時点で、ほかの金融機関では同様の不正は確認されていないとされています。
ただし、ほかの金融機関で被害が確認されていないからといって、今回の原因が岩井コスモ証券だけの問題だったと判断することはできません。各社で利用するシステムの構成や設定、接続方法、アクセス権限などが異なる可能性があるためです。
今後は、攻撃者がどこから侵入したのか、どのような権限を使って売買管理システムを操作できたのかを明らかにする必要があります。特に、システムの運用・保守に使われる管理者権限の適切な管理、多要素認証の導入状況、不審な操作を検知する仕組みなどの検証が重要です。
また、外部企業にシステムの運用を委託している場合でも、顧客の資産を守るための管理体制が問われます。委託先と証券会社の間で責任の範囲を明確にし、アクセス権限や監視体制を継続的に点検する必要があります。
現時点では、具体的な侵入経路や権限管理の不備が原因だったと確定したわけではありません。推測で責任の所在を決めるのではなく、調査結果に基づく説明が求められます。
2025年には楽天証券などでも口座乗っ取りが問題に
2025年には、楽天証券を含む複数の証券会社で、第三者による不正アクセスや不正売買が相次ぎました。
このとき問題となった主な手口は、証券会社を装った偽サイトなどでログインIDやパスワードを盗み、第三者が顧客の口座に不正ログインするというものです。保有株式を勝手に売却したり、その資金で別の銘柄を買い付けたりする被害が発生しました。
この問題を受け、証券会社各社は多要素認証などのセキュリティ対策を強化しました。金融庁も認証方法の強化や不正取引の検知、顧客被害への対応などを求めています。
2025年の問題と今回の岩井コスモ証券の事例は、同じ証券取引の安全性に関わる問題ですが、不正アクセスの経路や仕組みが同じとは限りません。利用者の認証情報を盗む攻撃だけでなく、取引サービスを支えるシステム自体への攻撃にも備える必要があることを示しています。
証券口座に不正アクセスされた場合、補償はある？
証券口座で不正取引が発生した場合、必ず全額が補償されるわけではありません。補償の有無や範囲は、被害の原因、各証券会社の方針、個別の状況などによって異なります。
2025年の不正アクセス問題では、日本証券業協会と証券会社10社が、一定の被害補償を行う方針を公表しました。ただし、これはすべての証券会社やサイバー攻撃について、無条件で全額補償する制度ではありません。
今回の岩井コスモ証券では、対象口座を取引前の状態に戻す措置が完了し、顧客の負担は生じていないと発表されています。一方、補償の考え方は事案ごとに異なるため、被害が発生した場合は証券会社に速やかに連絡し、対応内容を確認することが重要です。
まとめ
岩井コスモ証券のサイバー攻撃では、顧客の個人情報が漏洩しただけでなく、実際に意図しない売買注文が出され、一部で取引が成立していました。顧客の負担は生じていないとされていますが、顧客の資産を扱うシステムが不正操作されたことの重大性は変わりません。
また、被害情報の公表が段階的になった経緯についても、攻撃を防ぐために公表を控える必要性と、顧客に速やかに事実を伝える責任の両面から検証が必要です。今後は、侵入経路や権限管理の実態を明らかにし、再発防止策と情報公開のあり方を示すことが、証券会社とシステム運用会社への信頼回復につながります。
