証券口座の不正アクセス対策｜分別管理と投資者保護基金でNISAはどこまで守られるか

※本記事にはプロモーション（PR）が含まれます。

結論から書きます。証券会社に預けた資産は、その会社が倒産しても「分別管理」という法律上の仕組みで守られます。それでも返還できないときは、投資者保護基金が1人あたり1,000万円まで補償します。ただしこの制度は、私が自分のログイン情報を他人に渡してしまったときには働きません。2025年に実際に起きた証券口座の不正取引は、まさにそこを突かれたものでした。私は「制度が守ってくれる範囲」と「自分で守るしかない範囲」を分けて考えるようにしています。この記事では、その線引きを金融庁や日本証券業協会の注意喚起で確認した内容を書きます。

筆者は金融商品取引業（投資助言・代理業）の登録を受けておらず、個別の銘柄や特定の金融商品、特定の証券会社の利用を推奨するものではありません。本記事は2026年10月時点のものです。制度もセキュリティの仕組みも変わりますので、最新の内容は金融庁や各証券会社の公式サイトでご確認ください。

制度が守るのは「倒産」、守りきれないのは「なりすまし」

証券口座の安全という話には、性質のまったく違う2つの心配が混ざっています。私はここを分けて考えるようになってから、ずいぶん気持ちが落ち着きました。

1つめは「預けた会社が潰れたらどうなるのか」という心配です。これは法律の仕組みでかなりの部分が解決されています。2つめは「私のふりをした誰かに勝手に売買されたらどうなるのか」という心配です。こちらは制度の外側にあり、自分の手元の守りが効いてきます。

この記事はもともと2025年3月に書いたものです。当時は証券口座の乗っ取りが報じられ始めたころでした。1年半たってどうなったかを確かめ直したうえで、書き足しています。

証券会社の資産を守る「分別管理」という仕組み

金融庁が個人向けに出している説明によると、証券会社は顧客から預かった金銭と有価証券を、自社の資産と分けて管理することを金融商品取引法で義務づけられています。これを分別管理といいます。

中身はこうなっています。上場株式のほとんどは証券保管振替機構に、参加者ごとの口座で記録されます。顧客から預かった現金は信託銀行に信託されます。そして証券会社は、信託している金額が足りているかを少なくとも週に1回確認し、不足していればすぐに積み増さなければなりません。

この仕組みがあるので、証券会社が経営破綻しても、私の資産がその会社の借金の返済に充てられることはありません。金融庁はこれを投資者保護の土台にあたるものだと書いています。私が最初にこれを読んだとき、「預けている会社が潰れたら全部なくなるのではないか」という不安はだいぶ小さくなりました。

なお、分別管理は「資産が返ってくること」を担保する仕組みです。買った会社の株価が下がって評価額が減ったぶんを埋めてくれるものではありません。そこは分けて理解しておく必要があります。

投資者保護基金と、対象外になることがある取引

分別管理をしていても、万が一それが適切に行われておらず資産が返らないという事態は起こりえます。そのときに備えているのが投資者保護基金です。金融庁の説明では、すべての証券会社がこの基金に加入することを金融商品取引法で義務づけられており、補償の上限は1人あたり1,000万円までとされています。

ここで私が気をつけているのは、「どの取引も同じように守られるわけではない」という点です。元の記事では、貸株サービス、FX取引の保証金、信用取引の担保などは分別管理や基金の対象外になる場合があると書いていました。この点については各社の取り扱いや商品の区分によって説明が違うため、私は自分が使う予定のある取引について、その都度その会社の公式ページで「分別管理の対象か」「投資者保護基金の対象か」を確認するようにしています。

元の記事には、過去の補償事例として2つの証券会社の名前と金額を書いていました。今回あらためて出どころを確かめようとしましたが、私のほうで一次情報にたどり着けませんでした。確かめられない数字を残すのはよくないと考えて、その部分は外しました。

NISA口座も通常の口座と同じ仕組みで守られている

NISAは税金の優遇がある口座ですが、資産の保護という面では通常の証券口座と同じ枠組みの中にあります。NISA口座で持っている投資信託や株式も、分別管理の対象として扱われ、投資者保護基金の枠組みの中に入ります。

「非課税の口座だから、守られ方も特別なのではないか」と心配する必要はないと私は考えています。逆に言えば、NISAだから特別に強く守られるということもありません。私がNISA口座で高配当株を買うときも、守られ方は課税口座と同じだと思って見ています。

銀行の「ペイオフ」とは、守る理由が違う

銀行の預金保険（ペイオフ）と証券の投資者保護基金は、どちらも1,000万円という数字が出てくるので混同しやすいところです。ただ、守っている理由がまったく違います。

比べるところ	銀行（預金保険）	証券（投資者保護基金）
守る対象	預金そのもの	分別管理されているはずの顧客資産
働く場面	銀行が破綻したとき	証券会社が破綻し、資産の返還ができないとき
金額の考え方	預けた元本が基準	返還できない時点の時価が基準
値下がりの補償	元本は基本的に減らない	値下がりは補償の対象外

つまり銀行のほうは「預けた金額が戻るか」、証券のほうは「預けた資産そのものが戻るか」の話です。株式や投資信託は値段が動くものなので、そもそも元本が保証される性質のものではありません。私はここを取り違えないようにしています。

2025年に実際に起きた証券口座の不正取引と、その後

この記事をもともと書いた2025年3月は、ちょうど証券口座の乗っ取りが表に出てきたころでした。1年半たった今、公式発表で確かめられた範囲を書いておきます。

楽天証券は2025年3月25日に、フィッシング詐欺などによって顧客のログインID・パスワード・取引暗証番号が第三者に取得され、不正な取引が行われたことを公表しました。同社は、不正取引に関係している可能性がある中国（香港）株582銘柄の買い注文を同日時点で停止したこと、3月23日からリスクベース認証（見慣れない端末からのログイン時に電話番号での確認を挟む仕組み）を段階的に導入したことを明らかにしています。

補償については、同社が2025年5月2日と7月25日に方針を公表しています。私が7月25日の案内で確認できたのは次の点です。被害額の50%を金銭で支払うこと、不正取引で生じた手数料を返還すること、不正な売買を受けた顧客へ1万円の見舞金を支払うこと、そして個別の事情を確認したうえで最終的な取り扱いを決めること。同社は、約款上は免責に当たる事案だとしつつ、金融機関としての社会的責任にもとづく自主的な対応だと説明しています。このページは2026年2月18日に更新されています。

業界全体の動きとしては、日本証券業協会が2025年5月2日に、大手・ネット証券10社が約款上の免責にかかわらず一定の被害補償を行うことで一致したと公表しています。さらに2025年10月15日には「インターネット取引における不正アクセス等防止に向けたガイドライン」を制定しています。

被害の規模については、金融庁がインターネット取引サービスへの不正アクセス・不正取引の状況を公表しています。ただし金融庁自身が、集計は証券会社からの報告日にもとづく速報値であること、売買代金は顧客の実際の損失額とは異なることを注記しています。そのため私は、合計金額を数字で断定して書くのは避けます。確かなのは、金融庁のこのページが2026年10月9日時点でも更新されており、集計の対象期間が2026年9月分まで伸びているということです。つまり、2025年に起きて終わった話ではありません。

「対面だから安全」と私が考えなくなった理由

「ネット証券は不安だから、窓口のある金融機関のほうが安心なのではないか」。私も以前はそう思っていました。いまはそう考えていません。

理由は単純です。窓口のある金融機関も、口座の管理と取引の記録はコンピューターのシステムで行っています。窓口で対応してくれる人は、ネットワークにつながった端末を操作しています。紙の台帳を金庫から出してきているわけではありません。ですから「人がいるかいないか」は、情報が守られる仕組みそのものの違いにはなりません。

そしてフィッシング詐欺のほうも、ネット専業の会社だけを狙っているわけではありません。金融庁や日本証券業協会の注意喚起を読むと、入口はメールやSMSのリンク、偽のサイト、偽のアプリ、偽の電話です。これは窓口を使っている人のところにも同じように届きます。

なお、元の記事ではここに銀行や信用金庫の個別の事例を3件、名前と被害額を挙げて書いていました。今回確かめ直したところ、挙げていた出典が事例と対応しておらず、一次情報で裏が取れませんでした。実在する会社の名前を出して確かめられない話を書くのは筋が通らないので、その3件は外しました。手口の説明として必要なことは、公式の注意喚起に書かれている内容で足りると考えています。

同じ理由で、「大手銀行の被害が報道されにくいのは金融庁や企業が沈静化を図っているからだ」という元の記事の説明も外しました。私のほうで根拠を確かめられませんでした。

多要素認証を入れていても突破される「リアルタイムフィッシング」

元の記事では「二段階認証を入れれば大半の攻撃は防げる」という趣旨のことを、具体的な数字つきで書いていました。その数字の出どころを私のほうで確かめられなかったので外し、代わりに、その後に公表された手口の説明を書きます。ここは2025年3月の時点より話が進んでいます。

楽天証券は2026年10月時点で、リアルタイムフィッシングという手口への注意喚起を出しています。同社の説明では、これは利用者が入力した認証情報をその場で盗み取り、すぐに本物のサイトへ不正にログインすることで、多要素認証を突破する手口です。偽サイト側が、本物のサイトから出てくる追加認証をそのまま利用者に見せて、入力させた答えを本物へ横流しするわけです。

私がこれを読んで考えを変えたのは、「認証を足せば安心」ではなく「偽サイトにたどり着かないことが先」だという順番です。偽のページに情報を入れてしまえば、ワンタイムパスワードでも追加認証でも、その場で使われてしまいます。

だからこそ、日本証券業協会も金融庁も、フィッシングに強い認証方式であるパスキーへの切り替えを、各社が提供したら早めに行うよう呼びかけています。パスキーは、そのサイトでしか使えない鍵を端末の中に持つ仕組みなので、偽サイトに入力させるという手口そのものが成立しにくくなります。私は自分が使っている口座で提供されているものから順に切り替えました。

公式の注意喚起をもとに、私がしていること

ここから先は私が自分でやっていることです。中身は金融庁と日本証券業協会が個人向けに出している注意喚起に沿っています。画面の名前や設定場所は会社ごとに違いますし変わりますので、具体的な操作は各社の公式サイトでご確認ください。

1. 証券会社の公式サイトをブックマークして、そこからしか入らない
日本証券業協会は、メールやSMSに表示されているリンクやURLからログインせず、公式サイトのブックマークや公式アプリからログインするよう求めています。あわせて、使っている会社の公式サイトはあらかじめブックマークしておくようにとも書いています。私はこれが一番効く対策だと思っています。ドメイン名や画面の見た目は変わりますが、「自分が前に登録した入口からしか入らない」という原則は手口が変わっても効きます。

2. お知らせや注意喚起も、公式サイトか公式アプリで確かめる
偽のお知らせが送られてくるため、通知の内容そのものを公式の場所で確かめるよう案内されています。パスキーの登録も公式サイトや公式アプリから行うようにとされています。

3. 多要素認証を必ず入れ、パスキーが使えるなら切り替える
日本証券業協会は多要素認証の設定を必ず行うよう書いています。そのうえで、パスキーなどフィッシングに強い方式が提供されたら速やかに切り替えるよう呼びかけています。

4. 通知サービスを入れて、残高や取引が動いたら気づけるようにする
金融庁は多要素認証と通知サービスを有効にし、不審な取引に注意するよう案内しています。私は入出金と約定の通知を入れています。気づくのが早ければ、止められる範囲が広がります。

5. パスワードを使い回さない
長く、推測されにくいものにして、ほかのアカウントと同じものを使わないよう両方の注意喚起が求めています。私は口座ごとに別のものにしています。

6. 共用の端末や公衆Wi-Fiで取引しない
ネットカフェやホテルの共用端末ではログインや取引をしない、公衆の無料Wi-Fiでは慎重に、と案内されています。

7. OS・ブラウザ・セキュリティソフトを更新しておく
これは地味ですが、公式の注意喚起に必ず入っています。更新が出たら当てる、という程度のことです。

もうひとつ、日本証券業協会の注意喚起に書かれていて私が知らなかったことがあります。見慣れないログイン画面や予期しないポップアップが出たとき、またCtrl+Vのような普段しないキー操作をブラウザから促されたときは、何も入力しないこと。これはマルウェアの兆候である場合があるとされています。

もし被害に気づいたら、どこに連絡するか

ここは私も調べ直しました。2026年10月時点で確認できたものだけ書きます。

まず、口座を持っている証券会社の問い合わせ窓口です。日本証券業協会も金融庁も、見慣れないログインや取引、出金に気づいたら、まずその会社に連絡するよう案内しています。楽天証券の場合は、取引やサービスの一時的な利用停止をしてから、パスワードと取引暗証番号を変更するよう案内されています。各社の電話番号や受付時間は変わりますので、ブックマークした公式サイトから確認するのが確実です。

次に警察です。警察庁のサイトに、緊急ではない相談の窓口として警察相談専用電話の#9110が載っています。事件や事故の緊急の通報は110番です。日本証券業協会も、不審な取引に気づいたら証券会社への確認とあわせて警察へ相談するよう書いています。

金融庁の金融サービス利用者相談室も公表されています。金融庁のページには0570-016811、平日10時から17時までと記載されています。

私はこの3つを、スマートフォンのメモではなく紙に書いて、通帳を入れている引き出しに置いています。慌てているときに、画面を探すのが一番やりにくいと思ったからです。

最後に、この記事で確かめたことを1枚にまとめておきます。私が頭の中で引いている線です。

起きたこと	守ってくれるもの	自分がすること
証券会社が倒産した	分別管理。資産は会社の借金の返済には使われない	特になし。制度の中で処理される
倒産して、なお資産が返らない	投資者保護基金。1人あたり1,000万円まで	対象になる取引かどうかを事前に公式サイトで確認しておく
買った会社の株価が下がった	どちらも対象外	自分でその会社を調べて納得して買う
偽サイトにログイン情報を入れてしまった	制度の対象外。各社の自主的な補償の話になる	ブックマークと公式アプリからしか入らない。パスキーを入れる
勝手に売買された	約款上は免責とされることが多い。会社ごとの対応	通知を入れて早く気づく。気づいたら会社と警察へ連絡

こう並べてみると、制度が自動で守ってくれる部分は、思っていたよりしっかりしていました。そして自分で守るしかない部分は、やることが少なくて地味でした。ブックマークから入る、パスキーを入れる、通知を入れる、パスワードを使い回さない。これだけです。

私は50代で投資を始めて、ウォーレン・バフェットのやり方を真似しています。良い会社を割安なときに買って長く持つ、決算は自分で見る、わからないものは買わない。この考え方でいくと、口座のセキュリティも同じでした。わからない入口からは入らない、自分が登録した入口だけを使う。それだけで、手口が新しくなっても足元は変わりません。

不安を煽るような書き方はしたくないので、最後にひとつ書いておきます。2026年10月時点でも金融庁の集計は続いていますが、各社の認証は1年半前よりはっきり強くなりました。私はいま、自分の口座について過度に心配はしていません。やることをやったうえで、会社を見ることに時間を使いたいと思っています。

あわせて読みたい関連記事

• 暴落の翌日に私が売買しない理由｜信用取引と追証の仕組みを50代が整理しました
• 高配当株で保有銘柄が重なる理由｜50代の私の5社とふゆこさん・リベ大の考え方
• 新NISAのお手本｜イギリスISAとアメリカ401kの公式統計を私が調べ直した記録

資産を守る仕組みと、私が口座を分けている理由【PR】

※このセクションには広告（アフィリエイトリンク）が含まれます。当ブログ経由でお申し込みいただいても、あなたの費用が増えることはありません。

分別管理は制度として働くものですが、万が一のときに手続きの窓口がひとつしかないと、私のほうの動きが止まってしまいます。それで私は、使う口座を2つに分けて、どちらもブックマークと公式アプリから入るようにしました。私が実際に使っているのは次の2社です。

私が実際に使っているのは次の2つです。どちらも1株（単元未満株）から買えるので、いきなり大きな金額を動かす必要はありません。

・SBI証券｜単元未満株「S株」に対応。日本株も投資信託も1つの口座でまとめられます。
▶ SBI証券の公式サイトを見る

・楽天証券のNISA｜NISA口座のページです。取扱商品や手数料、ポイントの条件を、ほかの会社と見比べたいときに。
▶ 楽天証券のNISAページを見る

※手数料・キャンペーンの内容や条件は変更されることがあります。必ず各社の公式サイトで最新の情報をご確認ください。当ブログは金融商品取引業（投資助言・代理業）の登録を受けておらず、特定の証券会社・金融商品の利用を推奨するものではありません。口座開設および投資の最終判断はご自身の責任でお願いいたします。

私はYouTubeもやっています。毎日夜9時からライブ配信をしていますので、よろしければ遊びに来てください。チャンネル登録はこちらから → https://www.youtube.com/@buffettkaoru

それでは、またお会いしましょう。バフェットかおるでした。