経済・マネー｜証券・セキュリティ
岩井コスモ証券の不正取引はなぜ？7口座の被害と口座乗っ取りの推移
岩井コスモ証券は10月20日、ネット取引のシステムを任せている委託先への不正アクセスについて第2報を出し、10月14日に7つの口座で、お客さんが出していない売買注文が出され、うち5口座で約定していたことを初めて明らかにしました。取引はすでに元に戻され、お客さんの負担はないとしています。2025年に相次いだ「証券口座の乗っ取り」とは何が違うのか。金融庁が公表している月別の被害データを当サイトで集計し、この1年9か月の流れとあわせて整理します。
この記事の結論
- 岩井コスモ証券のネット取引システムの運用・保守を受け持つトレードワークスのシステムが不正アクセスを受け、10月14日に売買管理システムへの攻撃も起きました。7口座で意図しない注文が出され、5口座で約定しています。
- 岩井コスモ証券は、対象のお客さんに14日のうちに連絡し、取引前の状態に戻す措置を完了。お客さんの負担は生じていないと説明しています。
- 氏名・メールアドレスなどの漏えいは、第1報の4,611名に364名が加わり4,975名に。取引暗証番号は含まれず、不正取引は漏えいした個人情報を使ったものではないとしています。
- 2025年に急増した乗っ取りは、盗まれたIDとパスワードでお客さん本人になりすます手口でした。金融庁の集計では、不正アクセスは2025年4〜6月の10,759件から、2026年7〜9月は98件まで減っています（約99%減）。
- 今回は「お客さんのログイン情報」ではなく「証券会社が使うシステムの側」が狙われた点が違います。投資家ができる対策は、多要素認証の設定と、取引報告書・メールのこまめな確認です。
口座数・人数は岩井コスモ証券の発表。件数・金額は金融庁の公表資料（PDF）の数値で、証券会社から報告された発生日ベースの暫定値です。
岩井コスモ証券の不正取引で何が起きた？第2報のポイント
岩井コスモ証券の発表（10月16日の第1報・10月20日の第2報）をもとに、わかっていることを表にまとめました。
| 項目 | 内容 |
|---|---|
| 発覚 | 2026年10月14日、岩井コスモ証券が第三者による不正アクセスを検知。すぐにトレードワークスへ連絡し、アクセス制限などの緊急措置をとった |
| 攻撃されたところ | ネット取引のシステム運用・保守を委託している株式会社トレードワークス（TW社）のシステム |
| 不正取引 | 10月14日、売買管理システムへの攻撃も発生。7口座でお客さんの意図しない売買注文が出され、うち5口座で約定 |
| 不正取引への対応 | 対象のお客さんに10月14日に個別に連絡。取引前の状態に戻す措置を完了し、お客さんの負担は生じていない |
| 漏えいした情報 | 氏名、メールアドレスなど。対象は4,975名（第1報の4,611名＋再調査で判明した364名）。取引暗証番号は含まれない |
| 漏えい情報との関係 | 今回の不正取引は、漏えいした個人情報が使われたものではない |
| システムの状況 | 原因となった箇所の特定と修正は完了。ネット取引は通常どおり利用できる |
| 他社への影響 | TW社が他の金融機関に提供しているシステムも点検し、同様の不正アクセスは確認されていない（TW社による） |
岩井コスモ証券の発表より当サイトで整理。「攻撃の手口」の詳細は公表されていません。
なぜ不正取引の公表が6日後になったのか
16日の第1報では、情報の漏えいだけが公表され、不正取引には触れていませんでした。第2報で岩井コスモ証券は、16日の時点では同じ被害を防ぐ対策を段階的に進めている途中だったため、手口につながる情報の公表を控えていたと説明しています。対策を終えて確認できたので20日に公表した、という流れです。あわせて、説明が遅れたことを謝罪しています。
トレードワークスとはどんな会社？
トレードワークスは、証券会社などの金融機関向けにネット取引のシステムを提供している会社です。岩井コスモ証券は、ネット取引のシステムの運用・保守をこの会社に委託していました。第2報によると、トレードワークスでは、管理機能へのアクセス制限、不正な通信を遮断する仕組みの強化、ログインの異常をすぐに検知する仕組みの追加、監視体制の強化といった対策がとられたとされています。
同じ20日、マネックス証券も新規口座の受付を停止
Impress Watch（10月20日）によると、マネックス証券は20日、外部委託先が管理する口座開設システムに第三者がアクセスを試みた形跡を確認し、予防的な措置として新規の口座開設の受付を一時停止しました。岩井コスモ証券の件との関係は、10月21日時点で発表されていません。
2025年の「証券口座乗っ取り」と何が違う？
証券口座の不正取引といえば、2025年春に大手やネット証券で相次いだ「口座乗っ取り」が記憶に新しいところです。今回の岩井コスモ証券の件と並べると、入り口がまったく違います。
| 比べるところ | 2025年の口座乗っ取り | 今回の岩井コスモ証券 |
|---|---|---|
| 入り口 | 偽サイト（フィッシング）などで盗まれたお客さんのIDとパスワード | 証券会社が委託した会社のシステム |
| なりすます相手 | お客さん本人としてログイン | 公表されていない（売買管理システムへの攻撃とされる） |
| 規模 | 2025年は不正アクセス17,717件、不正取引9,861件（金融庁） | 7口座で注文、5口座で約定 |
| お客さんの損失 | 会社ごとに補償。約款にかかわらず一定の補償をする方針（大手・ネット証券10社） | 取引前の状態に戻し、お客さんの負担なし |
| お客さんの対策で防げたか | 多要素認証・ブックマークからのログインで防ぎやすい | お客さん側の設定では防ぎにくい種類の攻撃とみられる |
2025年の件数は金融庁の公表資料を当サイトで合計。補償の方針はImpress Watch（2025年5月2日）による。最下段は当サイトの見方で、岩井コスモ証券は手口を公表していません。
2025年の乗っ取りでは、金融庁の注意書きにあるとおり、犯人がお客さんの口座で持っている株などを勝手に売り、その代金で国内外の小型株などを買い付ける、という手口が多く見られました。お客さんの口座には、自分では選ばない銘柄が残されることになります。
これに対して今回は、お客さん一人ひとりのパスワードではなく、証券会社の取引を支えるシステムの側が狙われました。岩井コスモ証券は、漏えいした個人情報が使われたわけではないとしており、お客さんがパスワードを盗まれたことが原因ではない、という点が大きな違いです。
証券口座の不正アクセスは減った？金融庁の月別データを集計
金融庁は、証券会社から報告を受けたネット取引の不正アクセス・不正取引の件数と金額を、毎月更新して公表しています。最新の2026年10月9日の更新では、2025年1月から2026年9月までの21か月分が並んでいます。まず、月ごとの不正アクセス件数をグラフにしました。
不正アクセス件数の推移（月別）
金融庁「インターネット取引サービスでの不正アクセス・不正取引の被害状況」（2026年10月9日更新）より当サイトで作成。赤＝ピーク（2025年4月）、紺＝2026年。発生日ベースの暫定値です。
ピークは2025年4月の5,490件（不正取引3,033件、売却金額 約1,625億円）でした。21か月の合計19,252件のうち、2025年4〜6月の3か月だけで約56%を占めます。その後は減っていき、2026年7月は18件、8月は43件、9月は37件でした。
四半期ごとにまとめると
| 期間 | 不正アクセス | 不正取引 | 売却金額 | 1件あたり売却 |
|---|---|---|---|---|
| 2025年1〜3月 | 2,562件 | 1,038件 | 約178億円 | 0.17億円 |
| 2025年4〜6月 | 10,759件 | 6,393件 | 約3,009億円 | 0.47億円 |
| 2025年7〜9月 | 2,873件 | 1,780件 | 約585億円 | 0.33億円 |
| 2025年10〜12月 | 1,523件 | 650件 | 約177億円 | 0.27億円 |
| 2026年1〜3月 | 705件 | 438件 | 約323億円 | 0.74億円 |
| 2026年4〜6月 | 732件 | 311件 | 約96億円 | 0.31億円 |
| 2026年7〜9月 | 98件 | 32件 | 約4億円 | 0.13億円 |
金融庁の月別値（金額は「約」付きの億円）を当サイトで3か月ごとに合計。「1件あたり売却」は売却金額÷不正取引件数。同じ口座で不正な売買を繰り返すと金額が積み上がるため、1件あたりの損失額とは一致しません。
2025年4〜6月の10,759件に対し、2026年7〜9月は98件で、約99%減っています。2025年は1年間で不正アクセス17,717件・不正取引9,861件・売却金額 約3,949億円、2026年は9月までで1,535件・781件・約423億円です。
件数は減っても、1件あたりの金額は小さくならなかった
気になるのは金額のほうです。不正取引1件あたりの売却金額を計算すると、2025年4〜6月は約0.47億円だったのに対し、2026年1〜3月は約0.74億円と、むしろ大きくなっていました。2026年3月は不正取引が121件と少ないのに、売却金額は約159億円にのぼります。件数が減ったあとも、残った被害の中に金額の大きい口座が含まれていた可能性がうかがえます。
また、不正アクセスのうち実際に不正取引まで進んだ割合は、2025年が約56%、2026年（1〜9月）が約51%でした。入り口の件数は減っても、入られてしまえば半分以上は売買まで行われていることになります。
金融庁の数字を見るときの注意
金融庁は、この数値は証券会社からの報告にもとづく暫定値で、まだ見つかっていない不正アクセスや不正取引がある可能性があるとしています。また「売却金額」「買付金額」は不正な売買代金の合計で、お客さんの損失額とは一致しないと注記しています。今回の岩井コスモ証券の件が10月分の集計にどう反映されるかは、10月21日時点ではわかりません。
補償と多要素認証の必須化はどうなった？2025年からの流れ
- 2025年4月不正アクセスがピークに金融庁の集計で1か月5,490件。不正取引が起きた証券会社は、翌5月には16社に広がりました。
- 2025年5月2日大手・ネット証券10社が補償の方針を申し合わせ日本証券業協会が発表。2025年1月以降の不正取引を対象に、各社の約款にかかわらず一定の補償をする。補償は被害状況やID・パスワードの管理状況などを見て個別に判断（Impress Watch）。
- 2025年10月15日金融庁が監督指針を改正・適用フィッシングで盗んだ情報による不正取引の多発を受け、ネット取引の認証方法や不正防止策を強化する改正。同日から適用されました。
- 2025年11月18日「2026年6月末まで」の導入を要請日本証券業協会との意見交換会で金融庁は、フィッシングに耐性のある多要素認証の必須化を原則2026年6月末までに実施するよう求め、被害を受けたお客さんへの補償にも誠意ある対応を求めました。
- 2026年4月16日官民一体の広報を開始銀行・信用金庫・証券会社などと金融庁・警察庁が連携し、フィッシング耐性のある多要素認証を知らせるチラシや動画を公開。
- 2026年10月14日岩井コスモ証券の委託先で不正アクセス7口座で意図しない注文、5口座で約定。取引前の状態に戻され、お客さんの負担なし。
金融庁（監督指針改正の公表、日本証券業協会との意見交換会の論点（PDF）、官民一体の広報）、Impress Watchより作成。
グラフで見たとおり、2025年後半から件数が大きく減ったのは、各社が多要素認証の設定を必須にしたことなどが効いたものとみられます。ただし、金融庁は2025年10月に被害が9月から増加に転じたことも指摘しており、ゼロになったわけではありません。
そこに出てきたのが、今回のような委託先のシステムを狙う攻撃です。お客さんのログインをどれだけ固めても、証券会社の裏側のシステムが破られれば、不正な注文が出されてしまうおそれがあります。岩井コスモ証券のケースでは取引が元に戻されましたが、システムを提供する会社の安全管理が、これまで以上に問われることになりそうです。
岩井コスモ証券の口座を持つ人は何をすればいい？
岩井コスモ証券は、不正取引の対象になった7口座のお客さんには14日に、情報が漏えいしたお客さんにはログイン後のお知らせ画面とメールで、それぞれ個別に連絡したとしています。連絡が来ていない人も、次の点を確かめておくと安心です。
- 取引報告書と口座の中身を確認する：身に覚えのない売買がないか、保有している銘柄が勝手に変わっていないかを見ます。
- 証券会社を名乗るメール・電話に注意する：第1報で岩井コスモ証券は、同社を装った電話やメールが来るおそれがあると注意を呼びかけています。漏えいした氏名・メールアドレスが悪用されると、本物らしく見える偽メールが届くかもしれません。メールのリンクは開かず、ブックマークした公式サイトからログインします。
- 多要素認証やパスキーを設定する：今回の不正取引はお客さん側の対策で防げる種類ではなかったとみられますが、これからのなりすましを防ぐには、ログイン・出金・出金先の変更での多要素認証を有効にしておくのが基本です。
- 不安なときは問い合わせ窓口へ：岩井コスモ証券 お客様相談室（0120-405-546、平日9時〜17時）。
取引暗証番号は漏れていない
岩井コスモ証券は、漏えいした情報に取引暗証番号は含まれておらず、漏えいした情報だけでは口座へのログインや取引はできないと説明しています。慌ててパスワードを変える前に、まずは公式サイトの案内を確認しましょう。
不正取引の報道（X）
朝日新聞と日本経済新聞は10月20日、岩井コスモ証券の外部委託先へのサイバー攻撃で、顧客の意図しない売買注文が成立したと伝えました。口座数などの数字は、本文では同社の第2報に基づいて整理しています。
岩井コスモ証券にサイバー攻撃 顧客の意図しない売買注文、成立も https://t.co/h4SNv5hMM7
岩井コスモ証券（大阪市）は20日、同社の売買管理システムがサイバー攻撃を受け、顧客の意図しない売買注文が発注されたことを確認したと発表した。発注は7口座分で、うち5口座で約定されたという。
— 朝日新聞(asahi shimbun） (@asahi) October 20, 2026
岩井コスモ証券、委託先へのサイバー攻撃で不正取引 5口座で成立https://t.co/C01V0M1xoa
— 日本経済新聞 電子版（日経電子版） (@nikkei) October 20, 2026
岩井コスモ証券の不正取引のよくある質問
Q. 岩井コスモ証券の不正取引はいつ起きましたか？
A. 2026年10月14日です。委託先のトレードワークスのシステムへの不正アクセスと同じ日に、売買管理システムへの攻撃が起き、7口座でお客さんの意図しない売買注文が出されました（うち5口座で約定）。公表は10月20日の第2報でした。
Q. 不正取引で損をしたお客さんはいますか？
A. 岩井コスモ証券は、対象のお客さんに10月14日に連絡し、取引前の状態に戻す措置を完了したため、お客さんの負担は生じていないと説明しています。
Q. 漏えいした情報で口座にログインされることはありますか？
A. 岩井コスモ証券は、漏えいした情報（氏名、メールアドレスなど。4,975名分）に取引暗証番号は含まれておらず、その情報だけではログインや取引はできないとしています。ただし、同社を装ったメールや電話には注意が必要です。
Q. 今回の不正取引は漏えいした個人情報が使われたのですか？
A. いいえ。岩井コスモ証券は第2報で、今回の不正取引は漏えいした個人情報が利用されたものではないと説明しています。攻撃の詳しい手口は公表されていません。
Q. 2025年の証券口座乗っ取りは今も続いていますか？
A. 金融庁の集計では大きく減っています。不正アクセスは2025年4〜6月の10,759件に対し、2026年7〜9月は98件でした。ただしゼロではなく、2026年9月にも2社で不正取引が報告されています。
Q. なぜ不正取引の公表が遅れたのですか？
A. 岩井コスモ証券によると、10月16日の第1報の時点では同じ被害を防ぐ対策を段階的に進めていたため、手口につながる情報の公表を控えていました。対策を終えて確認できたことから、20日に公表したとしています。
あわせて読みたい
出典・参考資料
- 岩井コスモ証券：外部委託先への不正アクセスに伴うお客様情報の漏洩について(第2報)（2026年10月20日）
- 岩井コスモ証券：外部委託先への不正アクセスに伴うお客様情報の漏洩について（2026年10月16日）
- 金融庁：インターネット取引サービスへの不正アクセス・不正取引にご注意ください（2026年10月9日更新）、被害状況（PDF）
- 金融庁：「金融商品取引業者等向けの総合的な監督指針」等の一部改正（案）に対するパブリックコメントの結果等の公表について（2025年10月15日）
- 金融庁：業界団体との意見交換会において金融庁が提起した主な論点［2025年11月18日 日本証券業協会］（PDF）
- 金融庁：フィッシング耐性のある多要素認証等に係る官民一体・業界横断的な広報について（2026年4月16日）
- Impress Watch「証券各社、不正売買被害による損害を個別補償へ」（2025年5月2日）、「マネックス証券、新規口座開設を一時停止」（2026年10月20日）
月別・四半期別の集計、割合、1件あたりの金額は金融庁の公表値をもとに当サイトが計算したもので、金融庁の公式統計ではありません。個別銘柄や証券会社の売買・口座開設をすすめるものではありません。写真：アイキャッチ＝岩井コスモ証券本社（2012年撮影）、Tokumeigakarinoaoshima／Wikimedia Commons（CC0）、トリミング・文字入れあり。本文＝forextime.com／Wikimedia Commons（CC BY 2.0）、リサイズあり。
コメント