金融機関のサイバー攻撃事例【2026年版】アフラック・阿波銀行・証券口座乗っ取りなど被害の実態と対策

2026年の金融機関の被害は、システムの破壊より「正規の手続きになりすました侵入」が目立ちます。アフラック生命保険では通常の照会と同じ形式のアクセスで約440万人分の顧客情報が抜かれ、阿波銀行では廃止されるはずだったテスト環境にID・パスワードで入られました。証券会社では、フィッシングで盗んだ認証情報による口座乗っ取りが2025年1月から2026年8月までに不正取引10,639件（金融庁の暫定値）に達しています。

本記事では、2026年に公表された保険・銀行・証券・貸金の主な事例を時系列で整理し、侵入経路・影響・当局対応の経過を各社の公表資料と金融庁・警察庁の公的資料に基づいてまとめます。そのうえで、事例に共通する弱点と、金融機関が優先すべき対策を解説します。業種横断の事例はサイバー攻撃の最新事例【2026年版】業種別被害と対策まとめを参照してください。

※本記事の事実関係は2026年9月14日時点の各社公表資料と公的資料に基づきます。調査継続中の事案は今後内容が更新される可能性があります。攻撃者の名称は各社が公表していないため記載していません。

1. 2026年、金融機関の脅威は「侵入」より「なりすまし」（数字で見る現状）

警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年の証券口座への不正アクセスは17,668件、不正取引は9,824件でした。不正売買金額は約7,408億円に達します。証券会社をかたるフィッシングメールの報告は316,414件で、フィッシング報告全体は2,454,297件です。インターネットバンキングの不正送金は4,747件・約103億9,700万円で、手口の約9割がフィッシングでした。

金融庁が2026年9月9日に更新した月別の集計では、証券口座の不正アクセスは2025年4月の5,490件（不正取引3,033件、売却約1,625億円）をピークに減り、2026年7月には18件まで下がりました。2026年1〜8月の合計は不正アクセス1,492件・不正取引779件（月別表からの当社集計）です。金融庁は「まだ判明していない不正アクセスや不正取引が存在する可能性がある」と注記しています。

警察庁が2026年9月に公表した令和8年上半期の情勢では、ランサムウェアの被害報告が123件と、半期として過去最多になりました。一方、インターネットバンキングの不正送金は253件・約20億7,000万円で、前年同期比51%減です。減った理由と入れ替わるように、5月以降は企業へ電話をかけて遠隔操作ソフトを入れさせ、同時に偽サイトでID・パスワードを盗む新しい手口が急増しています。警察庁はこれを「金融機関による端末認証や不正取引監視を回避しようとする意図」と分析しています。

数字が示すのは、攻撃の主戦場が「システムに穴を開ける」ことから「正規の認証情報と正規の経路を使う」ことへ移った現状です。侵入されたのではなく、なりすまされた。2026年の事例はこの一言に集約されます。

2. 2026年に公表された金融機関の主な事例（時系列）

2026年1月から9月上旬までに公表された主な事例を、公表時期の順に並べます。サイバー攻撃ではない内部不正の事案も、金融庁の報告徴求命令が出た事例として1件含めています。

3. 主要事例の詳細：何が起き、どう見つかり、当局はどう動いたか

アフラック生命保険（2026年6月）：通常の照会と同じ形式で約440万人分が抜かれた

最初の漏えいは2026年6月10日に発生し、6月25日午前6時30分にCPUの高負荷を検知したことで判明しました。同日にアクセスを遮断し、「オンライン相談」と「アフラック よりそうネット」を停止、6月30日に公表しています。同じ日に金融庁は保険業法128条1項と個人情報保護法146条1項に基づく報告徴求命令を出しました。対象は約440万人（第一報では約438万人）、そのうち保険料振替口座の情報を含む顧客が約22万人、代理店が約4万店です。漏えいした項目は契約者・被保険者・受取人の氏名、証券番号、保障内容、口座の金融機関名・支店名・預金種類・口座番号・口座名義で、マイナンバー・クレジットカード情報・メールアドレスは含まれていません。

7月31日の第三報は、原因を「今回の攻撃で使われたアクセスとデータ照会の手口に対する制御が不十分」だったと説明し、「今回のアクセスの形式が通常の利用時と同様であったことから、不正アクセスとして直ちに検知することができませんでした。また、短時間に大量のデータ照会があった場合に監視・制御する機能が不足していた」と述べています。再発防止策として次の4点を挙げ、役員4名が報酬の一部を自主返納しました。

• アクセス認証とデータ照会時の認可の強化
• 大量アクセスの監視と制御
• 設計時のセキュリティレビューとリリース前の侵入テストの強化
• 情報セキュリティ管理態勢の強化（人財の増強と体制強化）

8月24日には、個人情報保護法27条1項2号に基づいて口座情報を該当する金融機関へ提供したと公表しています。

この事例の教訓：侵入の技術より、認可（誰がどのデータをどれだけ照会できるか）と量の監視の問題です。正規の形式でアクセスされる前提で、通常と異なる照会量を止める仕組みがなければ、正規の経路がそのまま大量流出の経路になります。再発防止策にリリース前の侵入テストを明記した点は、他の金融機関にも当てはまります。

阿波銀行（2026年4月）：廃止するはずのテスト環境に本番データが残っていた

2026年3月24日に外部のセキュリティ会社から情報漏えいの可能性を指摘され、翌25日夜に自行の情報と確認、4月3日に公表しました。対象は行内の情報共有を行うOAシステムのテスト環境で、「何者かがID・パスワード等を不正に利用し、外部から当行のテスト環境にアクセスしたことが直接的な原因」と説明しています。漏えいが確認された顧客情報等はのべ27,745件で、内訳は次のとおりです。取引を扱う環境とは切り離されているため、各種取引は通常どおり利用できました。

• 2024年10月時点の法人インターネットバンキング契約先 10,872件（氏名・登録メールアドレス）
• 2021年3月末時点の株主 11,122件（うち5,271件は配当金受取口座の番号を含む）
• その他 5,751件（うち127件は預金・貸出金等の取引情報を含む）

6月3日の続報では、管理態勢上の不備を3点挙げています。テスト環境は開発・テストの目的が完了した時点で廃止すべきだったが、その後もAI活用のシステム高度化作業などに利用されていたこと。顧客データはシステム開発の完了後に速やかに消去すべきだったが、消去できていなかったこと。不正なアクセスを防止する仕組みが十分に機能していなかったことです。テスト環境は警察の捜査終了後に廃止し、行内の全情報システムを見直すとしています。常務取締役の報酬減額と、頭取・専務の同額自主返納も公表しました。

この事例の教訓：本番系の防御が固くても、廃止し忘れたテスト環境に本番データが残っていれば、そこが最も弱い入口になります。開発・検証環境の棚卸しと、目的を終えたデータの消去は、技術の問題というより管理の問題です。

証券口座の乗っ取り（2025年〜2026年）：ピークから1年で月100件台へ、それでもゼロにはならない

証券口座の乗っ取りは、2025年4月に不正アクセス5,490件・不正取引3,033件・売却約1,625億円・買付約1,423億円と月間のピークを付けました。2026年に入ってからの月別の推移は次のとおりです（金融庁の月別表、発生日ベースの暫定値）。

件数は月100〜300件台に落ち着き、買付金額は3月の約145億円から8月の約2億円まで減りました。ただし後日の報告分が加算されるため、直近の月は今後増える可能性があります。

減少の背景には制度の変更があります。

• 2025年7月：金融庁が全所管金融機関へ対策強化を要請
• 2025年10月15日：金融商品取引業者向けの監督指針を改正。日本証券業協会も同日にガイドラインを改正し、「ログイン時、出金時、出金先銀行口座の変更時など、重要な操作時におけるフィッシングに耐性のある多要素認証の実装及び必須化」を定めた
• 2026年2月27日：銀行・信用金庫・信用組合・暗号資産交換業者などの監督指針を同じ趣旨で改正
• 2026年7月17日：保険・貸金・資金移動業者などの指針を改正

金融庁は「パスキー認証等のフィッシングに耐性のある多要素認証の必須化が各証券会社で進められています」と説明しています。警察庁は2025年11月に、相場操縦と不正アクセス禁止法違反の容疑で関係者を逮捕したと公表しました。

この事例の教訓：SMSやメールで届くワンタイムパスワードは、偽サイトが中継すれば突破されます。パスキーのように偽サイトでは使えない認証方式を、顧客だけでなく役職員と委託先の管理者アカウントにも広げることが、監督指針の要求水準です。

全国信用協同組合連合会とCAMPFIRE（2026年4月）：提携先の従業員の認証情報から

クラウドファンディング大手のCAMPFIREは、2026年4月3日未明にGitHub上の不審な操作を検知し、4月20日にクラウド環境への不正アクセスを検知、4月24日に公表しました。6月2日の調査結果では、3月18日にリポジトリが複製されていたことが判明しました。原因は「弊社従業員が発行したGitHub認証情報が、従業員が個人開発で利用していたサーバー上に意図せずアップロードされ、第三者に不正利用されたこと」と説明しています。CAMPFIRE全体の対象はユニーク225,846件で、4月24日時点で口座情報を含むものが82,465件でした。

全国信用協同組合連合会は、CAMPFIREとのパートナー契約に基づいて「MOTTAINAIみらい」でクラウドファンディングの支援者を募っていました。そのため4月28日に、プロジェクトを掲載した顧客と支援した顧客の個人情報が漏えいした可能性を公表しました。全信組連分の件数は公表されておらず、各信用組合へ事案の概要と影響を情報提供し、所管当局への報告を検討・実施するとしています。

この事例の教訓：金融機関側のシステムには一切触れられていないのに、提携先の開発者アカウント一つで顧客情報が漏れました。委託先管理は、契約書の条項を整えるだけでは足りず、相手先の認証情報がどこに置かれているかまで見る必要があります。

01銀行・生命保険協会・キャネット（2026年4〜8月）：短い公表と長い未確定

事業者向けデジタルバンクの01銀行は、8月17日に不正アクセスを検知し、4日後の8月21日に第一報、8月27日に漏えいの確認を公表しました。漏えいしたのは「最大100社」の顧客識別情報とメールアドレスで、項目と件数は確認できたものの、どの顧客が対象かは特定できていません。侵入経路は「今回確認された手法による不正アクセスが行えない状態」にしたとのみ説明しています。

生命保険協会の「生命保険契約照会システム」は、外部のセキュリティ専門機関からの指摘で「外部から特定の操作を行うことで閲覧可能な状態」だったことが判明しました。協会は7月29日に第一報を出しています。対象は利用者ベースで約37,000件の可能性があり、氏名・住所・電話番号・メールアドレスが含まれます。WEB申請は安全性の確認が終わるまで停止し、書面申請に切り替えています。9月14日時点で第二報は出ていません。

京都市の貸金業者キャネットは、4月23日に顧客マイページへの不正アクセスを確認し、翌日に9,987名分の漏えいのおそれを公表しました。氏名・住所・勤務先・届出金融機関情報などが対象で、なりすましメールや不審な電話といった二次被害を複数件確認しています。対応としてパスワード変更と多要素認証の導入を行い、警察・個人情報保護委員会・財務局へ報告しました。

4. 事例に共通する3つの弱点

弱点1：正規の認証情報と正規の経路で入られる

証券口座はフィッシングで盗んだID・パスワードでした。阿波銀行は「ID・パスワード等を不正に利用」され、CAMPFIREは従業員のGitHub認証情報、アフラックは「通常の利用時と同様」の形式のアクセスです。マルウェアや脆弱性攻撃の痕跡を探す監視では、いずれも正常な利用に見えます。金融庁がパスキー等のフィッシング耐性のある多要素認証を全業態に広げた理由はここにあります。

弱点2：本番ではない場所と委託先に本番データが置かれている

阿波銀行は廃止すべきテスト環境に顧客データが残っていました。全信組連は提携先CAMPFIREのデータベースが対象でした。2025年には、保険金請求の事実確認を受託する審調社のサーバーがランサムウェアの被害を受け、かんぽ生命など委託元の保険会社が同日に公表しています。金融庁が2026年7月30日に公表した「金融分野におけるITレジリエンスに関する分析レポート」も同じ点を指摘しています。委託先に提供する情報の重要度と漏えい時の影響を踏まえて、委託業務の重要度を見直すよう求める内容です。

弱点3：漏えいした口座情報が別の金融機関の二次被害につながる

アフラックは約22万人分の保険料振替口座情報を該当する金融機関へ提供し、不正な引き落としに備えました。キャネットでは漏えい後になりすましメールと不審電話が複数件発生しています。警察庁が2026年5月以降の急増を報告した遠隔操作型の手口は、盗んだ認証情報で「金融機関による端末認証や不正取引監視を回避」する意図があると分析されています。保険や貸金で漏れた情報が、銀行口座で換金される構図です。

5. 金融機関が優先すべき対策（優先順）

事例の弱点に対応する形で、着手する順番に並べます。

1と3は既存の設定と台帳の見直しで着手でき、2と4は運用設計、5と6は外部の検証と体制づくりが要ります。ペネトレーションテストの要件と進め方は金融機関が実施するペネトレーションテスト完全ガイド：要件・手順・費用で解説しています。認証方式の選び方は多要素認証（MFA）の導入ガイド【2026年版】を参照してください。

6. よくある質問（FAQ）

Q. 地方の中小金融機関も狙われますか？

A. 狙われます。警察庁は2025年11月に不正送金被害が再び急増し、「地方を拠点とした中小規模の金融機関でも多くの被害が出た」「被害法人1社で4億円を超える被害も」あったと報告しています。2026年の公表事例も、01銀行、阿波銀行、全国信用協同組合連合会と、規模を問わず並んでいます。

Q. 顧客がフィッシングに引っかかった被害は、金融機関の責任になりますか？

A. 監督指針の改正で、重要な操作時にフィッシング耐性のある多要素認証を実装し必須化することが金融機関側の要件になりました。顧客の過失を理由に対策を先送りできる段階は終わっています。2025年の証券口座の被害では、各社の補償対応と並行して金融庁が対策強化を要請し、指針改正へつながりました。

Q. 委託先で起きた漏えいは、誰が公表・報告しますか？

A. 委託元の金融機関が当局報告と本人通知の責任を負います。全国信用協同組合連合会はCAMPFIREの公表から4日後に自ら公表し、各信用組合へ情報提供しました。2025年の審調社の事案では、かんぽ生命が委託先の公表と同日に自社の顧客への影響を公表しています。委託先からの第一報の期限を契約で決めておかないと、自社の公表が遅れます。

Q. 暗号資産交換業者では2026年に流出事案がありましたか？

A. 本記事の調査では、2026年1月から9月上旬までに国内の交換業者が不正流出を公表した事案は確認できませんでした。一方で、2026年8月6日に金融庁と警察庁が詐欺被害の防止に向けて、出庫制限・出庫先の事前登録・認証強化など11項目を業界団体へ要請しています。警察庁は、暗号資産事業者の従業員にSNSで接触して初期侵害する手口も報告しています。

7. 参考情報（一次情報）

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」（月別集計、2026年9月9日更新）
• 金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2026年7月30日）
• 金融庁「金融商品取引業者等向けの総合的な監督指針」改正（2025年10月15日）、日本証券業協会ガイドライン改正（同日）、主要行等・中小地域金融機関向け監督指針改正（2026年2月27日）、保険・貸金等の指針改正（2026年7月17日）
• 金融庁・警察庁「暗号資産を用いた詐欺被害等防止に向けた対策の一層の強化について」（2026年8月6日）
• アフラック生命保険 第一報（2026年6月30日）、報告徴求命令の受領（7月1日）、第二報（7月13日）、第三報（7月31日）、金融機関への口座情報の提供について（8月24日）
• 阿波銀行（2026年4月3日、6月3日）、01銀行（8月21日、8月27日）、生命保険協会（7月29日）、キャネット（4月24日）、全国信用協同組合連合会（4月28日）、CAMPFIRE（4月24日、6月2日）の各公表文
• 福岡銀行（2026年3月27日）、メットライフ生命保険（5月1日）の各公表文
• 審調社（2025年7月11日）、かんぽ生命保険（同日）の各公表文

AEVUSの金融機関向けセキュリティ支援

AEVUSは、金融機関のお客様に対して次の支援を提供しています。

• ペネトレーションテスト・脅威ベースの検証：顧客向けシステム、照会系API、外部公開システムを攻撃者の視点で検証し、「特定の操作で閲覧できる状態」や大量照会が通る経路を先に見つけます。リリース前の侵入テストにも対応します
• プラットフォーム診断：テスト・開発環境を含むクラウドとネットワークの設定不備、委託先からの接続経路、残置データを棚卸しします
• SOC・インシデント対応：正規の形式のアクセスを前提にした大量照会・不正ログインの検知と、当局報告を見据えた初動を支援します

「自社の顧客向けシステムと本番外環境に、なりすましで通れる経路が残っていないか」を確認するところから始めたい金融機関は、ペネトレーションテスト・外部公開資産診断のページをご覧いただくか、お問い合わせフォームからご相談ください。

まとめ

• 2025年の証券口座乗っ取りは不正アクセス17,668件・不正売買約7,408億円。2026年は多要素認証の必須化で月100件台へ減ったが、7月18件・8月39件とゼロにはなっていない
• 2026年の事例は、アフラック（約440万人、通常と同形式の照会）、阿波銀行（テスト環境に残った本番データ）、全信組連（提携先の認証情報）と、いずれも正規の経路によるなりすましが入口
• 漏えいした口座情報は別の金融機関の二次被害につながり、警察庁は端末認証を回避する遠隔操作型の手口の急増を報告している
• 優先順位は、フィッシング耐性のある多要素認証 → 照会の認可と量の監視 → 本番外環境の棚卸し → 委託先管理 → リリース前の侵入テスト → 当局報告と本人通知の体制

関連記事

• サイバー攻撃の最新事例【2026年版】業種別被害と対策まとめ
• 金融機関が実施するペネトレーションテスト完全ガイド：要件・手順・費用
• フィッシングメール対策【2026年版】見分け方・被害事例・企業の防御策
• 多要素認証（MFA）の導入ガイド【2026年版】種類・設定・運用のポイント
• 不正アクセスの事例【2026年版】手口・被害額・再発防止策まとめ