浜銀TT証券ダイレクトへの不正アクセス・不正取引（フィッシングで窃取された顧客情報による投資信託の不正売買）
公表日
浜銀TT証券のインターネット取引サービスで、お客さまがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺で口座番号やパスワードを盗まれ、その後に保有する投資信託が不正に売買される被害が確認されました。被害の件数や金額はまだ発表されていません。
対象者は？
「浜銀TT証券ダイレクト」を利用するお客さま。被害が確認されたのは、フィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。で口座番号やパスワード（パスキー登録情報）を盗まれたお客さまです。同社は全員の情報が漏れたとは発表していません。対象となる人数や、他に盗まれた情報の有無は発表されていません。
身に覚えのない取引や、不審なサイトに情報を入力した覚えがある場合は、カスタマーサポートセンター（0120-807-776、平日8:40～17:00、土日祝休み）に連絡してください。
いますぐできること
- パスキー認証をまだ設定していない場合は、早めに設定する。
- メールやSMSのリンクからログインせず、公式サイトのブックマークからログインする。
- 不審なサイトに入力した覚えや身に覚えのない取引があれば、すぐにカスタマーサポートセンターへ連絡する。
何が起きたのか
2026年9月3日、浜銀TT証券は、同社のお客さまがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺で口座番号やパスワード（パスキー登録情報）を盗まれる事案が起きていると発表しました。その後、そのお客さまがオンラインサービス上で保有する投資信託の売買が行われる不正な取引も確認されました。同社は、証券会社を装った偽のメールやSMSが多く送られているとして、注意を呼びかけています。
なぜ起きたのか・なぜ広がったのか
同社の発表では、お客さまがフィッシング銀行・通販サイト・宅配業者・公的機関などを装ったメールやSMSを送り、本物そっくりの偽サイトに誘導して、IDやパスワード、カード番号などを入力させる手口です。SMSを使うものは「スミッシング」、電話を使うものは「ビッシング」とも呼ばれます。詐欺で情報を盗まれたことが原因とされています。金融庁は、実在する証券会社のサイトを装った偽サイトなどで盗まれた情報による被害が出ていると説明しています。同社の被害が広がった理由や、検知の経緯は発表されていません。
いまの状況2026-09-30 時点続報待ち
2026年9月30日の時点で、同社のトップページには重要なお知らせが掲載されています。同社は2026年2月9日にパスキー認証を導入し、5月18日からはパスキー未設定の口座で売買注文や出金などの操作を制限しています。被害の件数や金額、お客さまへの補償についてはまだ発表されていません。金融庁は9月9日に注意喚起を出しており、2026年8月は業界全体で4社、不正アクセス使う権限のない人が、他人のIDやパスワード、システムの弱点を使って、サービスやサーバーに入り込むことです。日本では「不正アクセス禁止法」で禁止されている犯罪です。39件、不正取引25件が発生したとしています。これは同社だけの数字ではありません。
企業として考えたいこと
自社のサービスで、お客さまがパスワードだけで重要な操作をできる道が残っていないか、また偽サイトに情報を入力されても被害を止める仕組みがあるか、確認できていますか。
技術的な要約
浜銀TT証券株式会社は2026年9月3日、インターネット取引サービス「浜銀TT証券ダイレクト」で不正アクセス・不正取引の被害が発生したと発表した。同社顧客がフィッシング詐欺により口座番号やパスワード（パスキー登録情報）を窃取され、その後、当該顧客がオンラインサービス上で保有する投資信託の売買が実施される不正な取引が確認された。同社は2026年2月9日にパスキー認証を導入し、5月18日からパスキー未設定口座の売買注文や出金などの操作を制限していると説明している。被害件数や金額は、参照した公表情報には記載がない。金融庁は9月9日に業界向けの注意喚起を出し、2026年8月は4社で不正アクセス39件、不正取引25件が発生したとしている。
公開情報が限られている点について
攻撃の分類
- 侵入口
- フィッシング公表で確認同社は「フィッシング詐欺により、口座番号やパスワード（パスキー登録情報）が盗まれてしまう事案が発生しています」と公表。顧客が窃取した情報で、顧客のオンラインサービス上の投資信託の売買が実施された。金融庁は、実在する証券会社のサイトを装った偽サイト（フィッシングサイト）等で窃取した顧客情報による被害と説明している。
- 脆弱性
- 判明している脆弱性はありません
- 攻撃者
- 特定・主張なし
- ATT&CK
影響
- 業務停止
- なし サービス停止の記載は参照した公表情報にない。顧客のオンラインサービス上で保有する投資信託の不正な売買が確認された。
- データ
- 確定上限 —確定 —口座その他窃取されたのは顧客の口座番号とパスワード（パスキー登録情報）で、フィッシングにより顧客側から窃取されたとされる。同社の被害件数・金額は参照情報に記載なし。金融庁の数字（2026年8月、不正取引が発生した証券会社4社・不正アクセス39件・不正取引25件）は業界全体であり、同社単独の件数ではない。
- 波及先
- —
- 金銭影響
- —
- サプライチェーン
- 委託先や外部サービス経由の侵害は公表されていない。
時系列
- 2026-02-09浜銀TT証券ダイレクトでフィッシングに耐性のある多要素認証（パスキーによる認証）を導入。4
- 2026-05-18パスキー認証が未設定の口座について、売買注文や出金などの操作の制限を開始。4
- 2026-08金融庁によると、フィッシングサイト等で窃取した顧客情報による不正取引が4社で発生し、不正アクセス39件、不正取引25件（業界全体）。2
- 2026-09-03
- 2026-09-03
- 2026-09-03不審なサイトへの入力や身に覚えのない取引がある場合はカスタマーサポートセンターへの連絡を要請。4
- 2026-09-08ScanNetSecurityが浜銀TT証券の被害とパスキー設定要請を報道。1
- 2026-09-09金融庁がインターネット取引サービスへの不正アクセス・不正取引被害について注意喚起を発表。2
- 2026-09-28ScanNetSecurityが金融庁の注意喚起と2026年8月の被害状況を報道。2
- 2026-09-30同社トップページに重要なお知らせとして当該PDFへのリンクが掲載されている状態を確認。3
技術解説
公表された被害の内容 事実
浜銀TT証券は2026年9月3日、「浜銀TT証券ダイレクト」で不正アクセス・不正取引の被害が発生したと発表した。同社の公表では、お客さまがフィッシング詐欺により口座番号やパスワード（パスキー登録情報）を盗まれる事案が発生しており、その後、当該お客さまのオンラインサービス上で保有される投資信託の売買が実施される不正な取引も確認された。同社は、証券会社等を装った偽メールやSMSが多く送信されていると注意喚起している。被害件数・金額、検知日、侵入日は、参照した公表情報には記載がない。
同社の対策とお客さまへの依頼 事実
同社は2026年2月9日に、浜銀TT証券ダイレクトでフィッシングに耐性のある多要素認証（パスキーによる認証）を導入した。さらに2026年5月18日からは、パスキー認証が未設定の口座について売買注文や出金などの操作を制限している。9月3日付のお知らせでは、お客さまにパスキーの早めの設定と、メールやSMSのリンク・URLからログインせず公式サイトのブックマークからログインすることを依頼し、不審なサイトへの入力や身に覚えのない取引がある場合はカスタマーサポートセンターへ連絡するよう求めている。
金融庁の注意喚起と業界全体の状況 事実
金融庁は2026年9月9日、インターネット取引サービスへの不正アクセス・不正取引による被害について注意喚起を発表した。金融庁によると、フィッシングサイト等で窃取した顧客情報による被害について、2026年8月は不正取引が発生した証券会社が4社、不正アクセスが39件、不正取引が25件発生している。これらは業界全体の数字であり、浜銀TT証券単独の件数ではない。被害は実在する証券会社のサイトを装った偽サイト等で窃取した顧客情報によるものとされ、金融庁は、メールやSMS等のリンクを開かずブックマークからアクセスし、多要素認証や通知サービスを有効にするよう呼びかけた。
攻撃の構造についての読み取り 解釈
公表内容からは、証券会社のシステムそのものが侵害されたのではなく、お客さま側の認証情報がフィッシングで窃取され、その情報を使ってログインされる形の事案と読み取れる。この型では、会社側のサーバ対策が十分でも、お客さまの入力情報が偽サイトに渡れば不正取引につながり得る。同社が2026年2月にパスキーを導入し、5月から未設定口座の操作を制限したことは、この型を意識した段階的な対策と解釈できる。ただし、今回の被害口座でパスキーが設定されていたかどうかは公表されておらず、対策との関係は判断できない。
対応
- 封じ込め
- 2026年5月18日からパスキー未設定口座の売買注文や出金などの操作を制限。顧客にはパスキーの早めの設定と、メール・SMSのリンクからログインせず公式サイトのブックマークからログインするよう依頼。今回の事案後の追加遮断措置は参照情報に記載なし。
- 公表の仕方
- 2026年9月3日付で「不正アクセス・不正取引の被害発生と大切な資産を守るためのお願いについて」を公式サイトに掲載。証券会社等を装った偽メールやSMSが多く送信されているとして注意喚起し、問い合わせ先としてカスタマーサポートセンター（0120-807-776、平日8:40～17:00）を案内。
- 当局対応
- 金融庁が2026年9月9日にインターネット取引サービスへの不正アクセス・不正取引被害について注意喚起を発表（業界向け。同社への処分等の記載なし）
教訓と対策
| 教訓 | 具体的な対策 |
|---|---|
| フィッシングで窃取された認証情報は、サーバ側の防御だけでは防ぎにくい。 | パスワードに加え、オリジン検証を伴うパスキー（WebAuthn/FIDO2）を標準の認証手段にし、パスワード単独でのログインや取引を許さない設計にする。 |
| 新しい認証方式を導入しても、未設定の口座が残る間は経路が残る。 | 未設定口座の売買・出金・登録情報変更を段階的に制限し、設定率を継続的に計測する。制限の開始日と対象操作を事前に告知する。 |
| 不正ログインや不正取引の兆候は、取引の前後の操作で早く捉えられる可能性がある。 | 新規端末・新規IPからのログイン直後の売買や出金を検知するリスクベース認証を実装し、高リスク時は追加認証や取引保留を行う。 |
| 利用者が偽サイトに誘導される入り口を減らす案内が必要である。 | 通知メール・SMSにログイン用リンクを載せない運用を徹底し、DMARC（p=reject）の設定、公式サイトのブックマーク誘導、偽サイトのテイクダウン依頼の手順を整える。 |
| 被害の状況を早く知らせることが、利用者の自衛行動につながる。 | ログイン・取引・設定変更の通知を既定で有効にし、お知らせは公式サイトの固定位置に掲載する。件数や金額を公表する基準も社内で決めておく。 |
自組織などでの確認項目
- 自組織のサービスで、パスワードのみでログインや重要操作ができる経路は残っていないか。未設定ユーザーの割合は把握できているか。
- 利用者に送る通知メールやSMSに、ログインページへのリンクを載せていないか。載せている場合、偽サイトとの見分け方をどう案内しているか。
- ログイン直後の高額取引や登録情報変更を検知して止める仕組みはあるか。検知から利用者への連絡まで何分で動けるか。
未解明点
- 同社で被害に遭った口座の件数と金額は、まだ発表されていません。
- 不正取引が確認された日、確認の経緯、被害口座でパスキーが設定されていたかどうかは公表されていません。
- 被害を受けたお客さまへの補償の方針や対応は、参照した公表情報に記載がありません。
出典
- 1ScanNetSecurity2026-09-08報道本文確認済
- 2ScanNetSecurity2026-09-28報道本文確認済
- 3浜銀TT証券株式会社2026-09-30公式本文確認済
- 4浜銀TT証券株式会社2026-09-03公式本文確認済