金融機関のサイバー攻撃事例【2026年版】アフラック・阿波銀行・証券口座乗っ取りなど被害の実態と対策

2026年の金融機関の被害は、システムの破壊より「正規の手続きになりすました侵入」が目立ちます。アフラック生命保険では通常の照会と同じ形式のアクセスで約440万人分の顧客情報が抜かれ、阿波銀行では廃止されるはずだったテスト環境にID・パスワードで入られました。証券会社では、フィッシングで盗んだ認証情報による口座乗っ取りが2025年1月から2026年9月までに不正取引10,642件（金融庁の暫定値）に達しています。

10月中旬には、証券会社が委託する取引システムそのものが入口になる事案が続きました。岩井コスモ証券では、委託先トレードワークスのシステムへの不正アクセスで顧客4,975名の情報が漏洩し、7口座で意図しない売買注文が出されました（うち5口座で約定。取引前の状態に戻され、顧客の負担はなし）。同じ10月14日の未明には、内藤証券が大和総研に委託するネット取引システムにも不正アクセスがあり、最大631名の情報が漏えいした可能性があります。10月28日には、ソニー生命保険が契約者専用サイトなどへの不正アクセスで約38.5万件の契約情報が漏えいしたと公表しました。

本記事では、2026年に公表された保険・銀行・証券・貸金の主な事例を時系列で整理し、侵入経路・影響・当局対応の経過を各社の公表資料と金融庁・警察庁の公的資料に基づいてまとめます。そのうえで、事例に共通する弱点と、金融機関が優先すべき対策を解説します。業種横断の事例はサイバー攻撃の最新事例【2026年版】業種別被害と対策まとめを参照してください。

※本記事の事実関係は2026年9月14日時点（大和証券・第一ライフ・生命保険協会の事例、金融庁の月別集計、2026年10月までの制度の動きは2026年10月20日時点、岩井コスモ証券など10月14日以降に公表された事例は2026年11月2日時点）の各社公表資料と公的資料に基づきます。調査継続中の事案は今後内容が更新される可能性があります。攻撃者の名称は各社が公表していないため記載していません。

1. 2026年、金融機関の脅威は「侵入」より「なりすまし」（数字で見る現状）

警察庁が2026年3月に公表した「令和7年におけるサイバー空間をめぐる脅威の情勢等について」によると、2025年の証券口座への不正アクセスは17,668件、不正取引は9,824件でした。不正売買金額は約7,408億円に達します。証券会社をかたるフィッシングメールの報告は316,414件で、フィッシング報告全体は2,454,297件です。インターネットバンキングの不正送金は4,747件・約103億9,700万円で、手口の約9割がフィッシングでした。

金融庁が2026年10月9日に更新した月別の集計では、証券口座の不正アクセスは2025年4月の5,490件（不正取引3,033件、売却約1,625億円）をピークに減り、2026年7月には18件まで下がりました（8月は43件、9月は37件）。2026年1〜9月の合計は不正アクセス1,535件・不正取引781件（月別表からの当社集計）です。金融庁は「まだ判明していない不正アクセスや不正取引が存在する可能性がある」と注記しています。

警察庁が2026年9月に公表した令和8年上半期の情勢では、ランサムウェアの被害報告が123件と、半期として過去最多になりました。一方、インターネットバンキングの不正送金は253件・約20億7,000万円で、前年同期比51%減です。減った理由と入れ替わるように、5月以降は企業へ電話をかけて遠隔操作ソフトを入れさせ、同時に偽サイトでID・パスワードを盗む新しい手口が急増しています。警察庁はこれを「金融機関による端末認証や不正取引監視を回避しようとする意図」と分析しています。

数字が示すのは、攻撃の主戦場が「システムに穴を開ける」ことから「正規の認証情報と正規の経路を使う」ことへ移った現状です。侵入されたのではなく、なりすまされた。2026年の事例はこの一言に集約されます。

2. 2026年に公表された金融機関の主な事例（時系列）

2026年1月から10月下旬までに公表された主な事例を、公表時期の順に並べます。サイバー攻撃ではない内部不正の事案も、金融庁の報告徴求命令が出た事例（メットライフ生命）として1件含めています。

3. 主要事例の詳細：何が起き、どう見つかり、当局はどう動いたか

アフラック生命保険（2026年6月）：通常の照会と同じ形式で約440万人分が抜かれた

最初の漏えいは2026年6月10日に発生し（第一報では最初の不正アクセスを6月15日としていましたが、第二報で訂正）、6月25日に判明しました。同日にアクセスを遮断し、「オンライン相談」と「アフラック よりそうネット」を停止、6月30日に公表しています。同じ日に金融庁は保険業法128条1項と個人情報保護法146条1項に基づく報告徴求命令を出しました。対象は約440万人（第一報では約438万人）、そのうち保険料振替口座の情報を含む顧客が約22万人、代理店が約4万店です。漏えいした項目は契約者・被保険者・受取人の氏名、証券番号、保障内容、口座の金融機関名・支店名・預金種類・口座番号・口座名義で、マイナンバー・クレジットカード情報・メールアドレスは含まれていません。

7月31日の第三報は、原因を「今回の攻撃で使われたアクセスとデータ照会の手口に対する制御が不十分」だったと説明し、「今回のアクセスの形式が通常の利用時と同様であったことから、不正アクセスとして直ちに検知することができませんでした。また、短時間に大量のデータ照会があった場合に監視・制御する機能が不足していた」と述べています。再発防止策として次の4点を挙げ、役員4名が報酬の一部を自主返納しました。

• アクセス認証とデータ照会時の認可の強化
• 大量アクセスの監視と制御
• 設計時のセキュリティレビューとリリース前の侵入テストの強化
• 情報セキュリティ管理態勢の強化（人財の増強と体制強化）

8月24日には、個人情報保護法27条1項2号に基づいて口座情報を該当する金融機関へ提供したと公表しています。

この事例の教訓：侵入の技術より、認可（誰がどのデータをどれだけ照会できるか）と量の監視の問題です。正規の形式でアクセスされる前提で、通常と異なる照会量を止める仕組みがなければ、正規の経路がそのまま大量流出の経路になります。アフラックは設計時のセキュリティレビューとリリース前の侵入テストを以前から実施していましたが、今回の手口のリスクを想定できていなかったとして、その強化を再発防止策に挙げています。テストを実施していても、想定する攻撃の手口が実際の攻撃に追いついていなければ見落とすという点は、他の金融機関にも当てはまります。

阿波銀行（2026年4月）：廃止するはずのテスト環境に本番データが残っていた

2026年3月24日に外部のセキュリティ会社から情報漏えいの可能性を指摘され、翌25日夜に自行の情報と確認、4月3日に公表しました。対象は行内の情報共有を行うOAシステムのテスト環境で、「何者かがID・パスワード等を不正に利用し、外部から当行のテスト環境にアクセスしたことが直接的な原因」と説明しています。漏えいが確認された顧客情報等はのべ27,745件で、内訳は次のとおりです。取引を扱う環境とは切り離されているため、各種取引は通常どおり利用できました。

• 2024年10月時点の法人インターネットバンキング契約先 10,872件（氏名・登録メールアドレス）
• 2021年3月末時点の株主 11,122件（うち5,271件は配当金受取口座の番号を含む）
• その他 5,751件（うち127件は預金・貸出金等の取引情報を含む）

6月3日の続報では、管理態勢上の不備を3点挙げています。テスト環境は開発・テストの目的が完了した時点で廃止すべきだったが、その後もAI活用のシステム高度化作業などに利用されていたこと。顧客データはシステム開発の完了後に速やかに消去すべきだったが、消去できていなかったこと。不正なアクセスを防止する仕組みが十分に機能していなかったことです。テスト環境は警察の捜査終了後に廃止し、行内の全情報システムを見直すとしています。常務取締役の報酬減額と、頭取・専務の同額自主返納も公表しました。

この事例の教訓：本番系の防御が固くても、廃止し忘れたテスト環境に本番データが残っていれば、そこが最も弱い入口になります。開発・検証環境の棚卸しと、目的を終えたデータの消去は、技術の問題というより管理の問題です。

証券口座の乗っ取り（2025年〜2026年）：ピークから1年で月100件台へ、それでもゼロにはならない

証券口座の乗っ取りは、2025年4月に不正アクセス5,490件・不正取引3,033件・売却約1,625億円・買付約1,423億円と月間のピークを付けました。2026年に入ってからの月別の推移は次のとおりです（金融庁の月別表、発生日ベースの暫定値）。

件数は1〜6月に月100〜300件台で推移した後、7月以降は月数十件まで減りました。買付金額は3月の約145億円から8月には約2億円まで減り、9月は0でした。ただし後日の報告分が加算されるため、直近の月は今後増える可能性があります。

減少の背景には制度の変更があります。

• 2025年7月15日：金融庁が、インターネット取引の認証方法や不正防止策を強化する金融商品取引業者向け監督指針の改正案を公表
• 2025年10月15日：金融商品取引業者向けの監督指針を改正。日本証券業協会も同日にガイドラインを改正し、「ログイン時、出金時、出金先銀行口座の変更時など、重要な操作時におけるフィッシングに耐性のある多要素認証の実装及び必須化」を定めた
• 2026年2月27日：銀行・信用金庫・信用組合・暗号資産交換業者などの監督指針を同じ趣旨で改正
• 2026年7月17日：保険・貸金・資金移動業者などの指針を改正

金融庁は「パスキー認証等のフィッシングに耐性のある多要素認証の必須化が各証券会社で進められています」と説明しています。警察庁は2025年11月に、相場操縦と不正アクセス禁止法違反の容疑で関係者を逮捕したと公表しました。

この事例の教訓：SMSやメールで届くワンタイムパスワードは、偽サイトが中継すれば突破されます。パスキーのように偽サイトでは使えない認証方式を、顧客だけでなく役職員と委託先の管理者アカウントにも広げることが、監督指針の要求水準です。

全国信用協同組合連合会とCAMPFIRE（2026年4月）：提携先の従業員の認証情報から

クラウドファンディング大手のCAMPFIREは、2026年4月3日未明にGitHub上の不審な操作を検知し、4月20日にクラウド環境への不正アクセスを検知、4月24日に公表しました。6月2日の調査結果では、原因を「弊社従業員が発行したGitHub認証情報が、従業員が個人開発で利用していたサーバー上に意図せずアップロードされ、第三者に不正利用されたこと」と説明しています。CAMPFIRE全体の対象はユニーク225,846件で、4月24日時点で口座情報を含むものが82,465件でした。

全国信用協同組合連合会は、CAMPFIREとのパートナー契約に基づいて「MOTTAINAIみらい」でクラウドファンディングの支援者を募っていました。そのため4月28日に、プロジェクトを掲載した顧客と支援した顧客の個人情報が漏えいした可能性を公表しました。全信組連分の件数は公表されておらず、各信用組合へ事案の概要と影響を情報提供し、所管当局への報告を検討・実施するとしています。

この事例の教訓：金融機関側のシステムには一切触れられていないのに、提携先の開発者アカウント一つで顧客情報が漏れました。委託先管理は、契約書の条項を整えるだけでは足りず、相手先の認証情報がどこに置かれているかまで見る必要があります。

01銀行・生命保険協会・キャネット（2026年4〜8月）：短い公表と長い未確定

事業者向けデジタルバンクの01銀行は、8月17日に不正アクセスを検知し、4日後の8月21日に第一報、8月27日に漏えいの確認を公表しました。漏えいしたのは「最大100社」の顧客識別情報とメールアドレスで、項目と件数は確認できたものの、どの顧客が対象かは特定できていません。侵入経路は「今回確認された手法による不正アクセスが行えない状態」にしたとのみ説明しています。

生命保険協会の「生命保険契約照会システム」は、外部のセキュリティ専門機関からの指摘で「外部から特定の操作を行うことで閲覧可能な状態」だったことが判明しました。協会は7月29日に第一報を出し、WEB申請を停止して書面申請に切り替えました。9月14日の調査結果によると、原因はログインしていないゲストユーザーに他の利用者の個人情報を参照できる権限が誤って付与されていたことで、この設定不備は運用を始めた2021年7月1日から2026年7月27日まで続いていました。閲覧できる状態だった個人情報は延べ37,929件（重複を除き27,407件）で、氏名・生年月日・住所・電話番号・メールアドレス・内部管理用IDです。直近1年分のアクセスログでは外部からのアクセスが確認されたものの、個人情報が実際に取得されたとは特定できていません。WEB申請は9月15日に再開しました。

京都市の貸金業者キャネットは、4月23日に顧客マイページへの不正アクセスを確認し、翌日に9,987名分の漏えいのおそれを公表しました。氏名・住所・勤務先・届出金融機関情報などが対象で、なりすましメールや不審な電話といった二次被害を複数件確認しています。対応としてパスワード変更と多要素認証の導入を行い、警察・個人情報保護委員会・財務局へ報告しました。

大和証券・第一ライフ（2026年10月）：委託先のサーバーと人事システムから

大和証券は10月5日、委託先のサーバーへの不正アクセスで顧客情報が漏洩した可能性があると公表しました。委託先は、問い合わせ内容の管理などに利用していたサービスの提供会社、スカラコミュニケーションズ（SC社）です。対象は約11万名分の氏名・メールアドレス・口座番号等です。個人を特定できない問い合わせを合わせると約22万件です。不正アクセスは10月2日20時33分頃から3日8時1分頃にかけて発生し、大和証券は3日にSC社から報告を受けています。自社システムへの不正アクセスは確認されておらず、「本件情報では、オンライントレードも含め、お客様の証券口座へのアクセスや当社での各種取引はできません」と説明しています。

SC社の親会社スカラは翌6日に経緯を公表しました。第三者がFAQシステム「i-ask」の管理サイトに不正にログインし、サーバー上に不正なプログラムを設置しました。そのうえで、同じサーバーで稼働していた利用企業向け環境（最大5社）のデータベースから、問い合わせ情報を取得された可能性があります。件数は最大713,126件（問い合わせ単位の延べ件数）で、利用企業名は公表していません。同じ日にシチズン時計も約10万名分の漏えいの可能性を公表したと報じられており、1つの委託先への侵入が業種の異なる複数の委託元に及んでいます。

第一ライフグループと第一生命は10月2日、両社が利用する従業員向け人事システムへの不正アクセスを9月24日に検知したと公表しました。対象は約12万名（従業員約5万名、退職された方約7万名）で、従業員番号・氏名・住所・電話番号・所属・職位・管理職上司氏名などが閲覧され、外部へ流出した可能性があります。お客さま情報への不正アクセスは確認されていません。経路は公表されていません。顧客情報でなくても、所属と上司の氏名がそろった名簿は、取引先や社内を装うなりすましメールの材料になります。

岩井コスモ証券・内藤証券・FX口座（2026年10月）：取引システムの委託先とその運営会社が入口に

岩井コスモ証券は10月16日、インターネット取引のシステムの運用・保守を委託しているトレードワークスのシステムが不正アクセスを受け、顧客情報が漏洩したと公表しました。10月14日に検知し、直ちにアクセス制限などの緊急措置をとっています。10月20日の第2報で、対象は4,611名から4,975名に増えました（通信記録の再調査で、同じ不正アクセスの際の漏洩を新たに把握）。情報は氏名・メールアドレス他で、取引暗証番号は含まれていません。

第2報では、同じ10月14日に「売買管理システムへの攻撃も発生し、7口座分においてお客様の意図しない売買注文が発注（うち5口座で約定）」したことも公表しました。対象の顧客には同日に連絡し、取引前の状態に戻す措置を完了して、顧客の負担は生じていないとしています。10月16日の時点で不正取引を公表しなかった理由は、対策を段階的に進めている間に手口につながる情報を出さないためだったと説明しています。

原因の説明は、2社で表現が分かれています。トレードワークスは10月23日の開示で「システムの一部の管理機能の設定上の不備を突いて、第三者が当該システムに不正なアクセスをし、当該機能を利用して不正な取引をした」と説明しました。具体的には「本来は限定された環境からのみ利用されるべき機能が外部から利用できる状態にあった」としています。岩井コスモ証券は10月21日の報告で「システムの脆弱性を突き、総当たり攻撃を仕掛けてきたもの」とし、不正取引はパスキー認証が突破されたものではないと書いています。トレードワークスは、他の金融機関に提供しているシステムでは同様の不正アクセスは確認されていないとしています。損失は約50百万円と見込み、2026年12月期第4四半期に特別損失として計上する予定で、加入しているサイバー保険の適用を見込んでいます。11月2日時点で、岩井コスモ証券から第3報は出ていません。

内藤証券は10月15日、大和総研に委託しているネット取引システム「Financial Plate/WB4」のWebサーバーが、10月14日4時46分から6時56分まで不正アクセスを受けたと公表しました。その時間帯にログイン中だった顧客の状態を一時的に保持するデータベースにアクセスされ、最大631名の氏名・住所・電話番号・メールアドレス・証券口座番号・勤務先・出金先口座が漏えいした可能性があります。全顧客の情報を保管する業務用のデータベースには不正アクセスの痕跡はなく、不正な出金や取引も確認されていません。

10月21日には、GMOインターネットのクラウド型の仮想デスクトップ「お名前.com デスクトップクラウド」への不正アクセスが公表されました。FXの自動売買などに使われるサービスで、サーバー内に保存されていた取引口座のログイン情報が第三者に取得され、不正に使われた可能性があります。影響の可能性があるサーバーは26,739件です。OANDA証券とゴールデンウェイ・ジャパン（FXTF）は、自社の基幹システムへの不正アクセスではないとしたうえで、一部の顧客の口座で不正ログインや不正取引を確認し、取引の制限やパスワード変更の依頼を出しています。GMOは10月24日の第4報で、全利用者への5,000円のお見舞金と、不正取引で生じた実現損失の補償を表明しました。補償の申請方法と受付期間は、11月6日までに案内するとしています。

その後も公表は続き、10月30日の第16報まで出ています。10月26日の第7報で、脅迫メールの要求額が約80億円だったことと、10月27日12時に情報の公開とランサムウェア攻撃を行うと予告されていることを明らかにしました。27日12時30分には、攻撃者とみられる者が、GMOと利用者に関する情報と称するものを公開したことを確認しています。GMOは同日の第12報で、要求には「永久に応じません」としたうえで、公開された情報に含まれる利用者への特別お見舞金（1公開につき上限300万円）と、総額100万米ドルを上限とする懸賞金を設けました。利用者から預かった端末の解析では、マルウェアの感染やランサムウェア攻撃の痕跡は確認されていません。10月29日には、犯人の特定につながると考える情報を警察などへ提出しています。侵入経路は、11月2日時点で公表されていません。

金融庁は10月22日、金融先物取引業協会を通じて全FX業者に、顧客へのパスワード変更の呼びかけと取引のモニタリング強化を求めました。10月27日の大臣会見によると、それまでにゴールデンウェイ・ジャパン、OANDA証券、アヴァトレード・ジャパン、外為ファイネスト、デューカスコピー・ジャパンの5社から顧客被害の報告があり、各社は対象顧客の取引の一時停止、海外からの不正な注文の遮断、パスワードの初期化を行っています。

3つの事案は入口が違いますが、どれも証券会社の基幹システムや顧客のパスワードそのものではなく、取引を支える委託先のシステムや、顧客が使う外部のサービスが起点です。証券口座の乗っ取りへの対策として広がったパスキーや多要素認証は、取引システムの管理機能や、顧客が外部のサーバーに保存したログイン情報までは守れません。

ソニー生命・りそなグループ3行・ライフカード（2026年10月下旬）：契約者サイトとメール配信の委託先から

ソニー生命保険は10月28日、契約者専用サイト「お客さまWEBサービス」などのシステムが第三者の不正アクセスを受け、お客さま情報が漏えいしたと公表しました。漏えいを確認したのは、ソニー生命が代理店として扱ったメディケア生命保険の契約で、契約者・被保険者の氏名・生年月日・性別・住所・電話番号・証券番号・契約内容の約38.5万件です。マイナンバー、クレジットカード情報、保険料の振替口座の情報は含まれていません。原因は調査中で、金融庁へは報告済みです。同日8時から、お客さまWEBサービスやソニー生命アプリなど6つのサービスを止めています。

メール配信サービス「Cuenote FC」を提供するユミルリンクは10月19日、サポート担当者の認証情報を取られ、データベースから情報を出力されたと公表しました。10月26日の第二報では、情報漏洩を確認したシステムが49、メールアドレスを含む情報が延べ51,628,280件に増えています。件数を調査中のシステムが16残っており、延べ件数はさらに増える可能性があります。

りそな銀行・埼玉りそな銀行・関西みらい銀行は10月27日、ユミルリンクから21日には持ち出しはないと報告を受けていたものの、26日に自社のお客さま情報を含むシステムからも持ち出された可能性が高いと分かったと公表しました。対象はメールアドレスとメール配信用の管理番号で、口座番号・暗証番号・カード情報は含まれず、件数は調査中です。ライフカードは10月28日、339,610契約分の氏名・メールアドレス・カード名称など（ETCカード番号の一部は60件）が漏えいした可能性があると公表しました。カード会員情報システムへの不正アクセスは確認されていません。

ブラストメールの事案と同じく、メール配信の委託先1社への侵入が、銀行やカード会社など複数の委託元に及んでいます。委託元のシステムが無事でも、自社の顧客のメールアドレスの一覧は、その金融機関を名乗るフィッシングメールの宛先になります。

4. 事例に共通する3つの弱点

弱点1：正規の認証情報と正規の経路で入られる

証券口座はフィッシングで盗んだID・パスワードでした。阿波銀行は「ID・パスワード等を不正に利用」され、CAMPFIREは従業員のGitHub認証情報、アフラックは「通常の利用時と同様」の形式のアクセスです。マルウェアや脆弱性攻撃の痕跡を探す監視では、いずれも正常な利用に見えます。金融庁がパスキー等のフィッシング耐性のある多要素認証を全業態に広げた理由はここにあります。

弱点2：本番ではない場所と委託先に本番データが置かれている

阿波銀行は廃止すべきテスト環境に顧客データが残っていました。全信組連は提携先CAMPFIREのデータベースが対象でした。2025年には、保険金請求の事実確認を受託する審調社のサーバーがランサムウェアの被害を受け、かんぽ生命など委託元の保険会社が同日に公表しています。金融庁が2026年7月30日に公表した「金融分野におけるITレジリエンスに関する分析レポート」も同じ点を指摘しています。委託先に提供する情報の重要度と漏えい時の影響を踏まえて、委託業務の重要度を見直すよう求める内容です。2026年10月には大和証券が、問い合わせ管理を委託していたスカラコミュニケーションズのサーバーへの不正アクセスで顧客約11万名分の情報が漏洩した可能性を公表しました。同じサーバーには最大5社の利用企業の環境が同居しており、1か所への侵入が複数の委託元に及んでいます。10月14日には、岩井コスモ証券と内藤証券で、取引システムを運用する委託先（トレードワークス、大和総研）が入口になりました。岩井コスモ証券の件では、外部から使えた管理機能を使って不正な注文まで出されています。

弱点3：漏えいした口座情報が別の金融機関の二次被害につながる

アフラックは約22万人分の保険料振替口座情報を該当する金融機関へ提供し、不正な引き落としに備えました。キャネットでは漏えい後になりすましメールと不審電話が複数件発生しています。警察庁が2026年5月以降の急増を報告した遠隔操作型の手口は、盗んだ認証情報で「金融機関による端末認証や不正取引監視を回避」する意図があると分析されています。保険や貸金で漏れた情報が、銀行口座で換金される構図です。

5. 金融機関が優先すべき対策（優先順）

事例の弱点に対応する形で、着手する順番に並べます。

1と3は既存の設定と台帳の見直しで着手でき、2と4は運用設計、5と6は外部の検証と体制づくりが要ります。ペネトレーションテストの要件と進め方は金融機関が実施するペネトレーションテスト完全ガイド：要件・手順・費用で解説しています。認証方式の選び方は多要素認証（MFA）の導入ガイド【2026年版】を参照してください。

あわせて、2026年9〜10月には次の制度面の動きがありました。

• 当局への報告様式の変更：金融庁は2026年9月18日、監督指針等の改正を公表しました。コンピュータシステムの障害やサイバーセキュリティ事案を当局へ報告する様式は、10月1日から、関係省庁申合せに基づく共通様式（DDoS攻撃事案・ランサムウェア事案・その他サイバー攻撃等事案）へ移行しています
• 金融庁の注意喚起（10月9日）：顧客向けサービスや業務システムへの不正アクセスで、本人確認書類の画像を含む顧客情報が漏えいする事案が相次いでいるとして、金融機関等に対し、国家サイバー統括室の注意喚起や今後明らかになる攻撃の手口を踏まえて、サードパーティリスク管理やインシデント対応態勢を含むサイバーセキュリティ対策を点検するよう求めました。非対面の本人確認では書類や容貌の画像に不自然な点がないかの確認を徹底し、ICチップ情報の読取りへの原則一本化（犯罪収益移転防止法施行規則の改正、2027年4月1日施行）にも施行日を待たずに対応するよう求めています
• 令和8年改正個人情報保護法：2026年7月10日に成立し、7月17日に公布されました。漏えい等が起きた場合に、本人の権利利益の保護に欠けるおそれが少ないときは本人への通知義務を緩和する内容を含みます。施行は原則として公布から2年以内です

6. よくある質問（FAQ）

Q. 地方の中小金融機関も狙われますか？

A. 狙われます。警察庁は令和7年の情勢報告で、2025年11月に法人口座の不正送金被害が再び急増し、「地方を拠点とした中小規模の金融機関でも多くの被害が出た」「被害法人1社で4億円を超える被害も」あったと報告しています。2026年の公表事例も、01銀行、阿波銀行、全国信用協同組合連合会と、規模を問わず並んでいます。

Q. 顧客がフィッシングに引っかかった被害は、金融機関の責任になりますか？

A. 監督指針の改正で、重要な操作時にフィッシング耐性のある多要素認証を実装し必須化することが金融機関側の要件になりました。顧客の過失を理由に対策を先送りできる段階は終わっています。2025年の証券口座の被害では、各社の補償対応と並行して金融庁が2025年7月に監督指針の改正案を示し、10月の改正へつながりました。

Q. 委託先で起きた漏えいは、誰が公表・報告しますか？

A. 委託元の金融機関が当局報告と本人通知の責任を負います。全国信用協同組合連合会はCAMPFIREの公表から4日後に自ら公表し、各信用組合へ情報提供しました。2025年の審調社の事案では、かんぽ生命が委託先の公表と同日に自社の顧客への影響を公表しています。委託先からの第一報の期限を契約で決めておかないと、自社の公表が遅れます。

Q. パスキーや多要素認証を入れていれば、証券口座の不正取引は防げますか？

A. 顧客のIDとパスワードを盗んで口座に入る手口には効果があります。ただし2026年10月の事案では、岩井コスモ証券で取引システムの委託先の管理機能が使われ、パスキー認証を突破せずに不正な注文が出されました。お名前.com デスクトップクラウドの事案では、顧客が外部のサーバーに保存していたログイン情報が使われています。顧客の認証に加えて、委託先が運用する管理機能のアクセス制限と、注文や約定の異常を検知する仕組みが必要です。

Q. 暗号資産交換業者では2026年に流出事案がありましたか？

A. 本記事の調査では、2026年1月から9月上旬までに国内の交換業者が不正流出を公表した事案は確認できませんでした。一方で、2026年8月6日に金融庁と警察庁が詐欺被害の防止に向けて、出庫制限・出庫先の事前登録・認証強化など11項目を業界団体へ要請しています。警察庁は、暗号資産事業者の従業員にSNSで接触して初期侵害する手口も報告しています。

7. 参考情報（一次情報）

• 警察庁「令和7年におけるサイバー空間をめぐる脅威の情勢等について」（2026年3月）、「令和8年上半期におけるサイバー空間をめぐる脅威の情勢等について」（2026年9月）
• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」（月別集計、2026年10月9日更新）https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
• 金融庁「金融分野におけるITレジリエンスに関する分析レポート」（2026年7月30日）
• 金融庁「金融商品取引業者等向けの総合的な監督指針」改正（2025年10月15日）、日本証券業協会ガイドライン改正（同日）、主要行等・中小地域金融機関向け監督指針改正（2026年2月27日）、保険・貸金等の指針改正（2026年7月17日）
• 金融庁・警察庁「暗号資産を用いた詐欺被害等防止に向けた対策の一層の強化について」（2026年8月6日）
• 金融庁「『金融商品取引業者等向けの総合的な監督指針』等の一部改正（案）の公表について」（2025年7月15日）https://www.fsa.go.jp/news/r7/shouken/20250715/20250715.html
• 金融庁「『主要行等向けの総合的な監督指針』等の一部改正（案）に対するパブリックコメントの結果等の公表について」（2026年9月18日、報告様式の共通様式への移行）https://www.fsa.go.jp/news/r8/sonota/20260918/20260918.html
• 金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について」（2026年10月9日）https://www.fsa.go.jp/news/r8/sonota/20261009/20261009.html
• 個人情報保護委員会「令和8年 改正個人情報保護法について」https://www.ppc.go.jp/personalinfo/legal/r8kaiseihogohou/
• アフラック生命保険 第一報（2026年6月30日）、報告徴求命令の受領（7月1日）、第二報（7月13日）、第三報（7月31日）、金融機関への口座情報の提供について（8月24日）
• 阿波銀行（2026年4月3日、6月3日）、01銀行（8月21日、8月27日）、生命保険協会（7月29日、9月14日）、キャネット（4月24日）、全国信用協同組合連合会（4月28日）、CAMPFIRE（4月24日、6月2日）の各公表文
• 福岡銀行（2026年3月27日）、メットライフ生命保険（5月1日）の各公表文
• 審調社（2025年7月11日）、かんぽ生命保険（同日）の各公表文
• 岩井コスモ証券「外部委託先への不正アクセスに伴うお客様情報の漏洩について」（2026年10月16日）https://www.iwaicosmo.co.jp/news/2026/10161410.html 、同（第2報）（10月20日）https://www.iwaicosmo.co.jp/info/2026/10201710.html 、「不正アクセスによる個人情報漏洩および不正取引に関するご報告」（10月21日）https://www.iwaicosmo.net/info/post_499.html
• トレードワークス「当社が提供するシステムへの不正アクセスに関するお知らせ」（2026年10月16日）、「（開示事項の経過）当社が提供するシステムへの不正アクセスに関するお知らせ」（10月23日）https://monex-open-disclose.ifis.co.jp/546/140120261023555541.pdf
• 内藤証券「当社外部委託先システムへの不正アクセスによるお客様情報漏えいの可能性について」（2026年10月15日）https://www.naito-sec.co.jp/service/pdf/20261015.pdf 、大和総研「当社運用システムへの不正アクセスによる個人情報漏えいの可能性について」（10月15日）https://www.dir.co.jp/release/2026101501.pdf
• 八十二長野銀行「不正アクセスによるお客さま情報漏えいのお詫びとご報告（第２報）」（2026年10月19日）
• GMOインターネット「お名前.com デスクトップクラウド」への不正アクセスに関する第1報〜第16報（2026年10月21日〜30日）https://internet.gmo/news/article/249/ 、第7報 https://internet.gmo/news/article/253/ 、第12報 https://internet.gmo/news/article/258/ 、OANDA証券 第1報〜第3報（10月22日・26日）、ゴールデンウェイ・ジャパン（10月22日・26日）の各公表
• 損保ジャパンDC証券「当社利用の外部メール配信サービスへの不正アクセスによるお客さま情報漏えいの可能性について」（2026年10月22日）、名古屋銀行（10月23日）
• 財務大臣兼金融担当大臣 閣議後記者会見（2026年10月27日）https://www.mof.go.jp/public_relations/conference/my20261027.html
• ソニー生命保険（2026年10月28日）https://www.sonylife.co.jp/info/popup/261028_oshirase2.pdf 、メディケア生命保険（10月28日）https://www.medicarelife.com/pdf/20261029.pdf
• ユミルリンク 第一報（2026年10月19日）、第二報（10月26日）https://www.ymir.co.jp/info/ymir-information20261027.html
• りそなホールディングス（2026年10月27日）https://www.resona-gr.co.jp/holdings/news/newsrelease_c/2026/files/20261027_1t.pdf 、ライフカード（10月28日）https://www.lifecard.co.jp/info/important-notice.html
• 大和証券「外部委託先への不正アクセスによるお客様情報の漏洩の可能性について」（2026年10月5日）https://ssl4.eir-parts.net/doc/8601/tdnet/2891437/00.pdf
• 株式会社スカラ「当社連結子会社における不正アクセスによる個人情報漏えいに関するお詫びとお知らせ」（2026年10月6日）https://scalagrp.jp/pdf/ir/news/2026_IRnews1006.pdf
• 第一ライフグループ・第一生命保険「退職された皆さまへのお知らせ　当社の従業員向け人事システムへの不正アクセスについて」（2026年10月2日）https://www.dai-ichi-life.co.jp/information/pdf/index_192.pdf

AEVUSの金融機関向けセキュリティ支援

AEVUSは、金融機関のお客様に対して次の支援を提供しています。

• ペネトレーションテスト・脅威ベースの検証：顧客向けシステム、照会系API、外部公開システムを攻撃者の視点で検証し、「特定の操作で閲覧できる状態」や大量照会が通る経路を先に見つけます。リリース前の侵入テストにも対応します
• プラットフォーム診断：テスト・開発環境を含むクラウドとネットワークの設定不備、委託先からの接続経路、残置データを棚卸しします
• SOC・インシデント対応：正規の形式のアクセスを前提にした大量照会・不正ログインの検知と、当局報告を見据えた初動を支援します

「自社の顧客向けシステムと本番外環境に、なりすましで通れる経路が残っていないか」を確認するところから始めたい金融機関は、ペネトレーションテスト・外部公開資産診断のページをご覧いただくか、お問い合わせフォームからご相談ください。

まとめ

• 2025年の証券口座乗っ取りは不正アクセス17,668件・不正売買約7,408億円。2026年は多要素認証の必須化で月100件台へ減ったが、7月18件・8月43件・9月37件とゼロにはなっていない
• 2026年の事例は、アフラック（約440万人、通常と同形式の照会）、阿波銀行（テスト環境に残った本番データ）、全信組連（提携先の認証情報）と、いずれも正規の経路によるなりすましが入口
• 漏えいした口座情報は別の金融機関の二次被害につながり、警察庁は端末認証を回避する遠隔操作型の手口の急増を報告している
• 10月には岩井コスモ証券（委託先の管理機能が使われ7口座で不正注文、4,975名の情報漏洩）と内藤証券（委託先の取引システム、最大631名）で、取引システムの委託先が入口になった。顧客の認証を強めても、委託先の管理機能と外部サービスに残るログイン情報は別に守る必要がある
• 10月下旬には、ソニー生命保険（契約者サイトなどから約38.5万件）と、メール配信の委託先ユミルリンク経由でりそなグループ3行・ライフカードにも漏えいが広がった
• 優先順位は、フィッシング耐性のある多要素認証 → 照会の認可と量の監視 → 本番外環境の棚卸し → 委託先管理 → リリース前の侵入テスト → 当局報告と本人通知の体制

関連記事

• サイバー攻撃の最新事例【2026年版】業種別被害と対策まとめ
• 金融機関が実施するペネトレーションテスト完全ガイド：要件・手順・費用
• フィッシングメール対策【2026年版】見分け方・被害事例・企業の防御策
• 多要素認証（MFA）の導入ガイド【2026年版】種類・設定・運用のポイント
• 不正アクセスの事例【2026年版】手口・被害額・再発防止策まとめ