金融の信頼を揺るがす脅威
自分の証券口座で身に覚えのない売買が行われていたら。あるいは、預けている個人情報が知らぬ間に流出していたら――考えただけでも不安になるが、こうした被害は、もはや人ごとではない。
2026年10月、自民党の国家サイバーセキュリティ戦略本部は「サイバーセキュリティ対策の抜本的強化に関する提言」を取りまとめた。現状を「サイバー有事前夜」と位置づけ、官邸主導の対応体制や企業経営者の責任、AIによる防御力強化を求めている。AIを悪用した攻撃が大量かつ巧妙になれば、人手中心の対応には限界がある。
NISAの普及などで資産運用は身近になり、スマートフォン一つで取引できる便利な時代になった。一方、金融サービスは多くのシステムや外部事業者に支えられ、被害が広がる経路も複雑になっている。顧客の資産と市場への信頼を守るため、投資家、金融機関、関連事業者、政府・当局は、何を担うべきだろうか。
サイバー対策には、攻撃を防ぐ「予防」、異常を見つける「検知」、被害を広げない「封じ込め」、取引やサービスを再開する「復旧」という段階がある。どこか一つが万全でも、安全は保証されない。各主体がそれぞれの役割を果たすことが出発点となる。
自衛は大切だが、限界がある
投資家にできることは、日常の基本を徹底することだ。不審なメールのリンクからログインせず、公式アプリを利用する。パスキーなど偽サイトに強い認証を設定し、不審な取引通知を見過ごさない。こうした小さな習慣が被害を遠ざける。
自動売買ツールや外部のクラウドサービスを利用する場合には、取引口座のIDやパスワードをどこに保存し、誰が管理するのかにも目を向けたい。便利だからといって、認証情報の保管まで無条件に任せる必要はない。提供者の説明を確認し、不要になった接続は解除することも大切だ。
また、投資家には、株主として企業の備えを見極める役割もある。サイバー対策を単なる費用ではなく、事業継続と信頼を支える投資として捉えたい。例えば、統合報告書などで経営陣の関与や対策への投資方針、事故発生時の情報開示・復旧対応を確認することが一つの手掛かりとなる。形式的な開示だけでは見えにくい実効性を、企業との対話を通じて確かめる視点も重要だろう。
金融機関――安全性も経営の競争力
金融機関にとって、サイバー対策はIT部門に任せきりにできない経営課題である。利便性を競う一方で、安全性への投資を後回しにすれば、築いてきた顧客の信頼を一度に失いかねない。
外部からの侵入を防ぐだけでなく、侵入されても被害を広げない「ゼロトラスト」（社内外を問わず、すべてのアクセスを無条件に信用せず、その都度安全性を確認する考え方）が重要になる。権限の厳格な管理、システムの更新、脆弱性の点検に加え、異常な注文や出金を検知する仕組みも求められる。AIによる監視は有力な手段だが、導入そのものが安全を保証するわけではない。
経営陣には、「どの業務を優先して守るか」「異常が起きた際、誰が取引停止を決断するか」を平時から明確にしておく役割がある。システムが使えなくなる事態を想定し、顧客対応や資金決済、外部委託先との連絡まで含めた訓練も欠かせない。
一方、二要素認証や生体認証の導入が進むほど、デジタル操作に不慣れな高齢者などには負担が増える可能性がある。スマートフォンの故障や機種変更によって口座にアクセスできなくなることも考えられる。安全性を損なわない代替的な本人確認手段や有人サポートを用意し、セキュリティ強化が金融サービスからの排除につながらないよう配慮したい。
攻撃を完全に防ぐのは難しい。だからこそ、発生時に被害を抑え、必要な情報を伝え、サービスを早期に復旧できるかが問われる。
外部サービスへの攻撃――責任の境界をどう引くか
新たな難題を浮き彫りにしたのが、GMOインターネットの「お名前.com デスクトップクラウド」へのサイバー攻撃だ。FXなどの自動売買にも利用されるサービスで、保存された取引口座の認証情報が流出し、不正取引に悪用された可能性が公表された。
ここで攻撃されたのは、金融機関の取引システムそのものではない。投資家が別途契約した外部サービスである。証券会社やFX会社は、顧客がどの外部サービスを利用し、何の情報を保存しているか、必ずしも知り得ない。正規の認証情報で発注された注文が、本人の意思に沿うものかを即座に判断するのも難しい。
しかも、外部サービスは大手クラウド事業者に限らない。個人が開発した自動売買ツールや小規模なアプリなど、その種類は多様であり、安全管理の水準も一様ではない。金融機関がすべてのサービスを把握し、その安全性を審査することは現実的ではないだろう。
この場合、まず外部サービス自体の安全管理は、提供する事業者が第一義的に担うのが自然だ。GMOインターネットは、自社サービスへの不正アクセスに起因すると確認された不正取引の実現損失を補償する方針を示した。
一方、金融機関が自ら選定・委託した事業者と、投資家が独自に契約した事業者とでは、管理できる範囲も責任のあり方も異なる。後者の安全性まで金融機関に無制限に保証させることは現実的ではない。
もっとも、金融機関が何もできないわけではない。顧客があらかじめ注文金額や建玉の上限を設定する、取引パターンから異常を検知して一時的に制限する、出金先の変更には追加認証を求める、といった被害抑止策がある。
外部サービスとの接続についても、共通の安全基準を満たすサービスとのAPI連携や、任意の認定制度を整備することが考えられる。認定外サービスを一律に排除するのではなく、安全な接続方法を広げ、利用者が選択する際の判断材料を提供することに意味がある。
また、不正アクセス有無は、注文回数の多さだけで判断せず、普段の売買手法や建玉の変化などを組み合わせて異常を評価するなど、複数の防御を重ねたい。
ただし、すべての取引をその都度顧客に確認すれば、自動売買の利便性は損なわれる。平時は事前に設定した範囲で円滑に取引できるようにし、異常時や重要な設定変更時に追加確認を行う方が現実に即している。誤検知によって正常な取引を止める不利益にも配慮が必要だ。
外部サービス提供者にも、金融機関と迅速に連携する責任がある。認証情報の漏洩が疑われた段階で利用者に知らせ、金融機関による認証情報の無効化や取引監視につなげる。事故後の補償だけでなく、被害を広げないための連絡経路を平時から整えておきたい。
外部サービスを守る責任と、金融口座での被害を抑える責任は分けて考える。補償の要否は契約関係や事故原因、各社の管理状況に応じて判断する。互いに責任を押し付けず、管理できる範囲で対策を尽くし、責任の空白をつくらないことが肝要である。
政府・当局――監督と支援を両輪に
複数の事業者をまたぐ攻撃には、個社だけでは対応しきれない。提言が掲げる政府の司令塔機能強化に加え、金融庁、警察庁、国家サイバー統括室、業界団体、金融機関、外部サービス事業者の情報連携が欠かせない。
あるクラウドサービスで認証情報の流出が判明した際、関係する金融機関へ速やかに伝われば、接続の遮断や監視強化につなげられる。
金融ISAC（金融機関などがサイバー攻撃の脅威情報や対策を共有する業界横断的な組織）など既存の仕組みを生かし、攻撃の手口や対処方法を共有できる環境を整えたい。事業者間の責任分担や被害者への説明・補償について、一定の考え方を整理することも有益だ。
特に、金融業の規制を受けないクラウド事業者から複数の金融機関に被害が広がる場合には、所管省庁や業界の境界が情報共有の妨げにならないようにしたい。利用者の保護に必要な情報を、誰が、誰に、どの段階で知らせるのか。合同訓練など、平時の備えが初動を支えるはずだ。
ただし、規制や事後制裁だけを強めても防御力は高まらない。被害の公表をためらわせれば、情報共有が遅れる恐れもある。重大な管理不備には適切に対処しながら、早期報告や再発防止への協力を促す。専門人材の育成、中小事業者への支援、個人情報を必要以上に保有しない仕組みづくりも、政府に期待される仕事だ。
信頼を支えるのは、責任と協調
被害が起きれば、「誰が責任を負うのか」は避けて通れない。しかし、責任を追及するだけでは次の被害は防げない。
投資家は自衛を重ね、金融機関は取引の安全と早期復旧を支える。外部サービス提供者は自らのシステムを守り、政府・当局は情報共有と被害者保護を後押しする。それぞれの役割が重なり合うことで、攻撃に耐え、被害から立ち直る力（レジリエンス）が育まれる。
金融取引の便利さは、多くの事業者が役割を分担することで実現している。ならば、安全もまた、一社だけで完成するものではない。攻撃を防ぎきれなかったときに相手の責任を指摘するだけでなく、いち早く知らせ、被害を抑え、利用者が安心を取り戻すまで協力する姿勢が、金融サービスの価値を高めるのではないだろうか。
