多要素認証を必須化していた岩井コスモ証券で不正注文｜委託先トレードワークスの管理機能に設定不備

岩井コスモ証券は2025年9月から、ログイン時の多要素認証を必須にしていました。トレードワークスによれば、通常の経路からの不正ログインは防げていたといいます。それでも10月14日、7口座で顧客の意図しない売買注文が出されました。設定不備が見つかったのは、システムを運用する委託先の管理機能でした。

【関連記事】

【解説】Astemo・岩井コスモ証券・函館市など5件、委託先に関わる不正アクセスを整理｜10月16日公表分
岩井コスモ証券の第1報（漏えい4,611名）を含め、10月16日に公表された委託先に関わる不正アクセス5件を整理した解説記事。

【解説】SBI証券など注意喚起、Google・Appleアカウント乗っ取りで証券口座に不正ログインの疑い
GoogleやAppleのアカウント乗っ取りを入口に、証券口座へ不正ログインされた疑いがある手口と、利用者の注意点を解説した。

【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
国内で相次ぐ不正アクセスを受けて、IPAやNCOなどが一斉に出した注意喚起と、事業者に求めた3つの点検の内容を整理した。

【編集部後記】

第1報の時点で、岩井コスモ証券は不正注文があったことを公表していませんでした。第2報によれば、同じ被害を防ぐ対策を段階的に進めていたため、手口につながる情報を控えていたといいます。対象の顧客には、当日のうちに連絡が届いていました。

利用者としては、起きたことをすぐに知りたいところです。一方で、対策が整う前に手口を明かせば、同じシステムを使うほかの金融機関に被害が広がるおそれもあります。全体への公表を数日待つというこの判断を、あなたならどう受け止めるでしょうか。

岩井コスモ証券は2026年10月20日、インターネット取引のシステム運用・保守を委託する株式会社トレードワークスのシステムへの不正アクセスについて、第2報を公表した。不正アクセスがあった10月14日に売買管理システムへの攻撃も発生し、7口座で顧客の意図しない売買注文が出され、うち5口座で約定した。対象の顧客には同日連絡し、取引前の状態に戻す措置を完了している。この不正取引に、漏えいした個人情報は使われていない。

漏えいの対象は16日公表の4,611名に364名が加わり、4,975名となった。トレードワークスは16日の開示で、顧客のログインには多要素認証・パスキー等が設けられ通常の経路からの不正ログインは防がれていた一方、自社システムの一部の管理機能の設定不備を第三者に悪用されたと説明している。

From: 文献リンク外部委託先への不正アクセスに伴うお客様情報の漏洩について(第2報)

【編集部解説】

今回の第2報で新たにわかったのは、顧客の口座で実際に注文が出されていたという事実です。そして発表で焦点となったのは、2025年から証券業界を揺らしてきた、盗んだ認証情報で顧客になりすますログインではなく、システムの管理機能にあった設定不備でした。

2025年に相次いだ証券口座の不正取引は、フィッシングやマルウェアなどで盗まれたIDやパスワードを使って、第三者が顧客になりすましてログインするものでした。金融庁の集計では、2025年1月から2026年9月までに不正取引は10,642件にのぼり、売却は約4,372億円、買付は約3,837億円に達しています（暫定値）。2025年に相次いだこうした被害などを踏まえ、日本証券業協会は同年10月15日、ログインや出金などの重要な操作に、パスキーのような「フィッシングに耐性のある多要素認証」を実装し、必須化することをガイドラインに盛り込みました。

岩井コスモ証券は、その改正に先立つ2025年9月28日、インターネット取引「コスモ・ネットレ」のログイン時に多要素認証を必須にしています。当時は、パスキー認証、電話番号認証、認証アプリの3方式から選ぶしくみでした。トレードワークスが同月30日に出した発表によれば、この認証基盤には同社の「SpotPath」が採用されています。さらに岩井コスモ証券は、2026年9月27日から、ログイン時と出金時のパスキー認証を顧客ごとに順次必須化すると案内しています。

そして今回、トレードワークスは16日の開示で、顧客のログインには多要素認証・パスキー等が設けられており、通常の経路からの不正ログインは防がれていたと説明しています。突かれたのは、トレードワークスのシステムにある一部の管理機能の設定不備でした。

両社の説明からは、顧客の認証対策に加えて、システムを運用する側の管理が問われた事案であることが見えてきます。岩井コスモ証券は、売買管理システムへの攻撃で7口座の不正注文が出され、不正取引に漏えいした個人情報は使われていないとしています。ただし、管理機能の設定不備がどのようなものだったのか、そこから注文までがどうつながったのかは公表されていません。

16日の第1報の時点で、岩井コスモ証券は不正注文について触れていませんでした。第2報はその理由を、同様の被害を防ぐ対策を段階的に進めていたため、手口につながる情報の公表を控えていたと説明しています。トレードワークスのシステムはほかの金融機関にも提供されており、同社はそれらを点検したうえで、同様の不正アクセスは確認されていないとしています。

利用者の立場から整理しておくと、今回の事案には二つの側面があります。

一つは、氏名やメールアドレスなど4,975名分の情報の漏えいです。岩井コスモ証券によると、漏えいした情報に取引暗証番号は含まれていません。また両社は、それぞれの発表で、漏えいした情報だけでは口座へのログインや取引はできないと説明しています。気をつけたいのは、この情報を使って岩井コスモ証券を装うメールや電話です。

もう一つが、売買管理システムへの攻撃による7口座の不正注文です。こちらについて岩井コスモ証券は、漏えいした個人情報を使った不正取引ではないと説明しています。対象の顧客には当日のうちに連絡があり、取引前の状態に戻す措置が完了しています。トレードワークスは、損失と対応費用を全額負担する方針を示しています。

日本証券業協会のガイドラインは、顧客の認証だけを求めているわけではありません。外部委託先に付与するアクセス権限の管理や、委託先における顧客データへのアクセス制限やその運用状況を、委託元が監視・追跡できる態勢なども「スタンダード」に挙げています。委託先の安全管理は、2021年の改正ですでに具体化されていた項目です。今回の事案は、顧客の認証の強化と並行して、以前から求められてきた運用側・委託先側の管理を実効性のあるものにする大切さを、あらためて示しているように見えます。

トレードワークスは、多要素認証・パスキー等を設けた通常の経路では不正ログインを防いでいたと説明しています。通常のログイン経路の保護については、認証対策が機能していたというのが同社の説明です。同社は、攻撃に関する情報を関係機関と共有するとしています。顧客の認証と、管理機能・委託先の安全管理をともに確かなものにしていくうえで、今回の経験は業界全体の共有財産になりうるはずです。