AIが突いた証券口座の弱点:岩井コスモ証券で不正注文、GMOも不正アクセス

10月14日、ある証券会社の売買管理システムが攻撃を受けた。発注されたのは、顧客自身がまったく覚えのない株の売買注文だった。7つの口座で不正な注文が走り、そのうち5つの口座では取引が実際に成立してしまった。原因は、攻撃者がAIを使ってシステムの弱点を探り出し、総当たりで侵入を試みたことだと発表されている。

これは他人事ではない。同じ週、日本の大手クラウドサービスでも不正アクセスが発生し、FX取引のログイン情報が漏れた可能性が指摘された。AI時代のサイバー攻撃が、ついに日本の金融サービスそのものを狙い始めた。何が起きたのか、そして個人投資家は何をすべきなのかを整理する。

岩井コスモ証券で起きたこと:AIが突いた「取引システム」の脆弱性

岩井コスモ証券が10月20日に発表した調査結果によると、10月14日にインターネット取引システムの売買管理システムが攻撃を受け、7つの口座で顧客が意図しない売買注文が発注され、5つの口座で「約定」、つまり取引の成立まで起きていた。

同社は対象の顧客に同日中に連絡し、取引を元の状態に戻す措置を完了。顧客に金銭的な負担は生じていないと説明している。直接攻撃を受けたのは、取引システムの運用や保守を委託されていたトレードワークスのシステムだった。外部委託先のシステムが狙われる「サプライチェーン型」の攻撃であり、今回の調査では4,975人分の氏名やメールアドレスなどの個人情報の漏洩も判明している。ただし漏洩した情報に取引暗証番号は含まれておらず、今回の不正注文がその漏洩情報を使ったものではないという点も確認されている。

10月21日に同社が追加で明らかにした内容は特に注目に値する。攻撃者がAIを悪用してシステムの脆弱性を突き、総当たり攻撃を仕掛けていたという。つまり、攻撃の調査や突破作業の一部がAIによって効率化されていた可能性が高い。また、最近話題のパスキー認証が突破されたものではないことも併せて発表されている。これは重要な区切りだ。個人の認証手段が破られたのではなく、取引システムそのものの弱点が突かれたということだからだ。

同社は原因となった箇所の修正を終え、アクセス制限や不正通信の遮断、監視体制の強化を進めている。インターネット取引システム自体は通常どおり稼働している。

GMOクラウドでも不正アクセス:FX口座の認証情報に影響の恐れ

同じ週の10月21日には、GMOインターネットが提供する「お名前.com デスクトップクラウド」で第三者による不正アクセスが起きていたと発表した。一部の顧客のサーバー環境に不正なプログラムが置かれているのが確認された。

このサービスはクラウド上のWindows環境を使えるもので、FXの自動売買プログラムなどを24時間稼働させる用途で利用されている。つまり、利用者のパソコンの中にFX取引のIDやパスワードが保存されていた可能性がある。実際、10月22日にはOANDA証券が、同サービスでFX取引プラットフォームのMT4やMT5を稼働させていた顧客について、取引口座のログインIDやパスワードが第三者に見られた可能性があると注意喚起を出した。

OANDA証券は対象の利用者に対し、パスワードの変更、二段階認証の利用、取引履歴の確認を求めている。さらに10月22日には、外部サービスへの不正アクセスを受けたセキュリティ強化と緊急確認のため、出金依頼の確認と処理を一時的に保留すると発表した。不正な出金を未然に防ぐための予防的な措置だ。

GMOインターネットのケースが示すのは、金融機関が直接管理していないクラウドサービスの安全性も、利用者の資産保護に直結するという現実だ。自分の口座のパスワードがどれだけ強固でも、それを預けている環境が破られれば意味が薄れてしまう。

2つの事件が突きつける共通の教訓

攻撃の対象や手口は異なるが、今回の2つの事例には共通点がある。金融サービスを直接支えるシステムや、それを取り巻く外部システム、クラウド環境への不正アクセスが、取引そのものに影響を及ぼし得るという点だ。

岩井コスモ証券の事例は特に重い。利用者側がいくらパスワードを工夫し、多要素認証を有効にしていても、取引システム側の脆弱性を突かれれば不正な注文が発生し得ることを実証してしまった。防御の責任が個人と事業者の両方にあることが、改めてはっきりした形だ。

また背景には、日本企業を狙う不正アクセス全体の急増がある。調査会社Gartnerのガートナージャパンは10月13日、日本企業で多発する不正アクセスを受けた緊急提言を発表。AIやエージェントを使った攻撃が当たり前になり、脆弱性や設定不備が「短期間」かつ「広範囲」で悪用される時代が来ると警告した。実際、NICTはAndroidアプリからサーバーを狙う攻撃への警鐘を10月14日に出し、中国発のAIツール「ARTEX」が日本企業の約20社を標的に悪用されていたとの報道もある。Google Cloudも、AIが攻撃の大規模化と高速化、高度化を後押ししているとの分析を示している。さらにこの時期、PHPの深刻な脆弱性も明らかになり、多くの企業が対応に追われていた。

個人投資家が今日からできる5つの対策

では、証券口座やFX口座を持つ個人は具体的に何をすればいいのか。今回の事件から導ける対策を挙げる。

第一に、パスワードの使い回しをやめる。漏洩した4,975人分の情報に取引暗証番号は含まれていなかったとされるが、別のサービスから流出したIDとパスワードの組み合わせを使った攻撃は今も主流だ。金融口座のパスワードは他と絶対に共有しない。

第二に、二段階認証を必ず有効にする。岩井コスモ証券のケースではシステム側が突かれたため個人の認証では防げなかったが、大半の口座乗っ取りは個人の認証突破から始まる。OANDA証券も二段階認証の利用を呼びかけている。

第三に、取引履歴をこまめに確認する。不正な注文や出金は、早期に気づけば被害を抑えられる。今回、岩井コスモ証券は同日中に連絡と原状回復を行った。異常に早く気づく仕組みは、口座を持つ側にもある。

第四に、自動売買やクラウド上の取引環境を見直す。GMOの事例のように、クラウド上にログイン情報を保存したままにしている利用者は多い。保存場所の安全性を再確認し、不要な情報は削除する。

第五に、証券会社やFX会社からの公式の注意喚起を見逃さない。今回のように、出金の一時保留といった措置が取られることもある。公式サイトや登録メールアドレスへの連絡を定期的にチェックする習慣が、いざという時の差になる。

企業側に求められる「委託先まで含めた」防御

Gartnerの緊急提言は、日本企業に対して7つのアクションを挙げている。その中核は、インターネットに公開された資産の緊急点検と、設定不備も含めた総点検、ログの横断的な調査による侵害の兆候の確認だ。2026年7月の同社調査では、脆弱性管理を十分に実施できている日本大手企業は30パーセントにとどまっていたという。

岩井コスモ証券の事件は、委託先のシステムが攻撃の入り口になった点で、Gartnerが言う「取引先などのサードパーティも含めた点検」の重要性を裏付けている。NRIとNRIセキュアは10月23日、AI駆動型のサイバー攻撃に備える「サイバーレジリエンス経営支援」の提供開始も発表しており、企業の防御体制の見直しは業界全体の動きになっている。

AIは攻撃者にも防御側にも使われる。重要なのは、攻撃のスピードが上がった分だけ、点検と対応のスピードも上げなければならないという現実だ。金融サービスは社会の基盤であり、その信頼は一度の事件で揺らぐ。今回の2つの事例を、単なる他人事のニュースとして流さず、自分の口座と資産を守るきっかけにしたい。

Frequently Asked Questions

岩井コスモ証券の不正取引で顧客の金銭的負担は発生したのか

同社の発表によると、対象となった顧客には同日中に連絡し、取引前の状態に戻す措置を完了しており、顧客に金銭的な負担は生じていないと説明されている。攻撃を受けたのは10月14日で、調査結果の公表は10月20日、AI悪用などの追加説明は10月21日に行われた。

パスキー認証は突破されたのか

岩井コスモ証券は、パスキー認証が突破されたものではないことを明らかにしている。攻撃は取引システム側の脆弱性を突いたもので、個人の認証手段の破綻ではないという。ただし多要素認証の有効化は、口座乗っ取り全般への基本対策として依然として重要だ。

GMOの不正アクセスでFX口座の利用者は何をすべきか

OANDA証券は対象利用者に対し、マイページやMT4、MT5のパスワード変更、二段階認証の利用、取引履歴の確認を求めている。不審な取引が見つかった場合はサポート窓口への連絡が呼びかけられている。また同社は出金依頼の確認と処理を一時的に保留しており、公式の案内に従うことが大切だ。