SMBC日興証券のフィッシング詐欺等による不正アクセス被害とバンク＆トレード即時入金サービスの停止
公表日
SMBC日興証券は2025年10月17日、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺等による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。被害の拡大防止のため、バンク＆トレードの即時入金サービスを当面停止すると発表した。被害件数や被害額はまだ発表されていない。
対象者は？
バンク＆トレードの即時入金サービスを使う顧客。停止対象は即時入金のみで、契約申し込み・即時出金・証券不足金自動振替・シングルログイン等は利用できる。流出した情報の種類や件数は発表されていない。
SMBC日興証券の公式お知らせで、停止の内容と再開の案内を確認できる。
いますぐできること
- ログイン時の二要素認証（ワンタイムパスワード認証）の設定を確認する
- 停止中の入金は、インターネット決済サービス、銀行振込、日興カードによる連携ATMを使う
- 再開日などの最新情報は公式のお知らせで確認する
何が起きたのか
2025年5月、同社は、同社を装ったフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺等によるとみられる不正取引の被害に遭った顧客に補償する方針を公表した。6月上旬からは日興イージートレードでログイン時の二要素認証の必須化を順次進め、8月には必須化以前の被害者に原則原状回復での補償を実施したと伝えた。10月17日、被害拡大防止のため、バンク＆トレードの即時入金サービスを10月28日から当面停止すると発表した。10月21日には停止日を10月23日（木）夕方頃に前倒しした。
なぜ起きたのか・なぜ広がったのか
公式のお知らせは「フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺等による不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。被害」と説明している。具体的な手口や侵入経路の詳細、被害が広がった理由はまだ発表されていない。なお金融庁は、証券業界全体で10月の被害が9月から増加に転じたと述べている。
いまの状況2025-11-18 時点続報待ち
2025年11月18日時点で、即時入金サービスの再開日は未定である。同社は確定次第ホームページ等で案内するとしている。今後の被害には、個別の事情に応じて補償の可否や内容を検討するとしている。被害件数と被害額はまだ発表されていない。金融庁は、多要素認証の早急な導入と被害顧客への誠意ある補償対応を証券会社に求めている。
企業として考えたいこと
自社のサービスで、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。によりIDとパスワードが盗まれた場合でも、お金や大事なデータが動く操作をすぐ止められる仕組みと手順はありますか。
技術的な要約
SMBC日興証券は2025年10月17日、フィッシング詐欺等による不正アクセス被害の拡大防止のため、バンク＆トレードの即時入金サービスを10月28日から当面停止すると発表した。10月21日の更新で、停止日を10月23日（木）夕方頃に前倒しした。停止対象は即時入金のみで、契約申し込み・即時出金・証券不足金自動振替・シングルログイン等は利用できる。停止中の入金は、インターネット決済サービス、銀行振込、日興カードによる連携ATMで案内されている。再開日は未定である。被害件数や被害額は、渡された出典では確認できない。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認公式のお知らせは「フィッシング詐欺等による不正アクセス被害」と記載している。2025年5月2日付のお知らせでは「SMBC日興証券を装ったフィッシング詐欺等によるものとみられる不正取引」とある。具体的な侵入経路の詳細は出典にない。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- あり バンク＆トレードの即時入金サービスを当面停止。停止対象は即時入金のみで、契約申し込み・即時出金・証券不足金自動振替・シングルログイン等は利用可能。停止中の入金はインターネット決済サービス、銀行振込、日興カードによる連携ATMで案内。期間：2025年10月23日夕方頃から停止、再開日未定
- データ
- 調査中上限 —確定 —出典に流出件数・情報種別の記載はない。不正取引の被害者への補償方針の記載のみ。
- 波及先
- —
- 金銭影響
- 被害額は出典に記載なし。2025年8月4日付のお知らせによると、二要素認証必須化以前の被害者には原則原状回復での被害補償を実施した。今後の被害は個別事情に応じて補償の可否・内容を検討するとしている。
- サプライチェーン
- 出典に委託先や他社経由の記載はない。
時系列
- 2025-05-02SMBC日興証券を装ったフィッシング詐欺等によるとみられる不正取引の被害者について、約款等に関わらず被害補償を行う方針を公表した。4
- 2025-06日興イージートレードのログイン時二要素認証（ワンタイムパスワード）の必須化を、6月上旬から順次進めた。4
- 2025-08-04フィッシング詐欺等による不正アクセス被害への補償対応についてお知らせを公表した。二要素認証必須化以前の被害者には原則原状回復で補償を実施した。4
- 2025-10-15金融庁が「金融商品取引業者等向けの総合的な監督指針」を改正・施行した。フィッシング耐性のある多要素認証の必須化などを求めている。2
- 2025-10-17
- 2025-10-21お知らせを更新し、停止日を10月28日から10月23日（木）夕方頃に前倒しすると公表した。3
- 2025-10-23夕方頃から、バンク＆トレードの即時入金サービスを当面停止した。3
- 2025-10-28当初予定の停止日。報道では10月28日からの停止と伝えられた。1
- 2025-11-18金融庁が日本証券業協会との意見交換会で、10月の被害は発生社数・件数ともに9月から増加に転じたとして、多要素認証の早急な導入と被害顧客への誠意ある補償対応を求めた。2
技術解説
発表内容と停止措置の経緯 事実
SMBC日興証券は2025年10月17日、フィッシング詐欺等による不正アクセス被害の拡大防止のため、バンク＆トレードの即時入金サービスを10月28日から当面停止すると発表した。10月21日の更新で、停止日を10月23日（木）夕方頃に前倒しした。停止対象は即時入金のみで、契約申し込み・即時出金・証券不足金自動振替・シングルログイン等は利用できる。停止中の入金方法として、インターネット決済サービス、銀行振込、日興カードによる連携ATM（三井住友銀行、三菱UFJ銀行、セブン銀行、ローソン銀行、イーネット）が案内された。再開日は未定で、確定次第ホームページ等で案内するとしている。
補償方針と二要素認証必須化の経緯 事実
同社は2025年5月2日付のお知らせで、同社を装ったフィッシング詐欺等によるものとみられる不正取引の被害に遭った顧客について、約款等の定めに関わらず被害補償を行う方針を公表していた。日興イージートレードでは、6月上旬から順次、ログイン時の二要素認証（ワンタイムパスワード認証）の必須化を進めた。8月4日付のお知らせでは、必須化以前の被害者に被害状況を精査したうえで原則原状回復での補償を実施したとした。今後の被害は個別の事情に応じて補償の可否や内容を検討するとし、ID・パスワードの管理様態やセキュリティ設定等によっては補償できない場合もあるとして、二要素認証の設定を顧客に依頼している。
金融庁の対応と業界全体の状況 事実
金融庁は2025年10月15日に「金融商品取引業者等向けの総合的な監督指針」を改正・施行し、フィッシングに耐性のある多要素認証の必須化など、セキュリティ対策の強化を求めている。同年11月18日の日本証券業協会との意見交換会では、フィッシング耐性のある多要素認証の必須化は原則として2026年6月末までの実施を求めているものの、10月の被害状況は発生社数・件数ともに9月から増加に転じており、早急の導入を求めた。あわせて、被害を受けた顧客への補償について、安心して投資が行える環境の再構築に向けた誠意ある対応を求めた。これは証券業界全体についての発言であり、個別の会社の件数を示すものではない。
即時入金停止の位置づけ（解釈） 解釈
公表文は、停止を被害拡大防止のためと説明しているが、被害件数・被害額・具体的な不正の手口は示していない。そのため、入金経路のどの部分が不正利用に使われたのかは外部からは分からない。一般論としては、口座にひも付く資金の移動経路を一時的に絞れば、不正取引の資金源を減らす効果が見込めると考えられる。停止日を5日前倒しした点からは、状況を見て優先度を引き上げた可能性がうかがえるが、理由は公表されていない。他方、出金や契約申し込み等を維持し、代替の入金手段を案内したことは、利便性への影響を限定しようとした対応とも読める。この見方は公表文からの推測であり、確定した事実ではない。
対応
- 封じ込め
- バンク＆トレードの即時入金サービスを当面停止し、停止日を10月28日から10月23日夕方頃に前倒しした。停止中の入金方法として、インターネット決済サービス、銀行振込、日興カードによる連携ATM（三井住友銀行、三菱UFJ銀行、セブン銀行、ローソン銀行、イーネット）を案内した。顧客にはログイン時の二要素認証設定などを依頼している。
- 公表の仕方
- 2025年10月17日にお知らせを掲載し、10月21日に停止日前倒しで更新した。再開日は確定次第ホームページ等で案内するとしている。被害件数・被害額は公表されていない。
- 当局対応
- 金融庁（2025年10月15日に監督指針を改正・施行。2025年11月18日の業界団体との意見交換会で、多要素認証の早急な導入と被害顧客への誠意ある補償対応を要請）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| フィッシングで盗まれた認証情報は、パスワード＋ワンタイムパスワードだけでは防ぎきれない場合がある。 | フィッシング耐性のある認証（FIDO2/パスキー等）を段階導入し、高リスク操作（出金・入金・登録変更）ではその認証を必須にする。SMS・アプリ型OTPは移行期間の暫定措置と位置づける。 |
| 資金移動の入口（即時入金など）は、不正が拡大した際に個別に止められる設計が有効。 | 入金・出金・振替ごとにフィーチャーフラグや緊急遮断スイッチを用意し、運用手順書に発動条件と顧客告知文のテンプレートを含める。停止中の代替経路も事前に整理しておく。 |
| 補償方針と認証強化の時期を明確に告知すると、顧客が取るべき対策が伝わりやすい。 | 補償条件、対象期間、顧客側の設定要件（二要素認証の有無など）を一つのFAQにまとめ、更新履歴を残す。更新時は件名に日付と変更点を入れる。 |
| 規制の期限（2026年6月末）より前でも、被害状況に応じて対策を前倒しする判断が求められる。 | 不正ログイン・不正取引の検知件数を日次で集計し、閾値を超えたら追加対策（取引制限、再認証強化）を自動提案するダッシュボードとエスカレーション基準を整備する。 |
| 件数・被害額・原因の公表が限られると、顧客や業界が状況を判断しにくい。 | 公表テンプレートに「確認済み件数」「調査中の項目」「次回更新予定」の欄を設け、集計できた時点で上限と確定を分けて追記する。 |
自組織などでの確認項目
- 自組織の顧客向けサービスで、フィッシングで盗まれたID・パスワードが使われた場合、資金や重要データが動く操作を止められる仕組みは何か。
- 特定機能（入金・出金・設定変更など）だけを即日停止できる手順と権限者は決まっているか。停止中の代替手段を顧客に案内できるか。
- 自組織の多要素認証は、フィッシング耐性があるか。ない場合、規制や業界の期限を待たずに前倒しする判断基準は何か。
未解明点
- 不正アクセスの被害件数と被害額はまだ公表されていない。
- 具体的な不正の手口や侵入経路の詳細は公表されていない。
- 停止日を10月28日から10月23日に前倒しした具体的な理由は公表されていない。
- 即時入金サービスの再開日と、再開に必要な対策の内容は未定である。
- 2025年8月以降に生じた被害への補償の可否や内容がどう判断されたかは公表されていない。
出典
- 1ScanNetSecurity2025-10-28報道本文確認済
- 2金融庁2025-11-18当局本文確認済
- 3ＳＭＢＣ日興証券株式会社2025-10-21公式本文確認済
- 4ＳＭＢＣ日興証券株式会社2025-08-04公式本文確認済
- 5SMBC日興証券公式本文確認済