証券口座の不正アクセス1.8万件超…金融庁が「生体認証」を義務化した本当の理由

導入：なぜ今、証券口座に「顔」と「指紋」が必須になるのか

●この記事のポイント
金融庁と日本証券業協会が2025年10月、証券口座の不正アクセス（2025年通期で約1.8万件）を受け生体認証必須化の新指針を適用。ネット証券79社が対応表明、2026年6月末が導入期限。FIDO2規格のパスキー技術やeKYC、AI不正検知など関連企業への波及も解説する。

　日本の証券業界は本人確認の仕組みを巡る大きな転換点を迎えている。金融庁と日本証券業協会（日証協）は、証券口座の乗っ取りによる不正な株式売買が相次いだことを受け、指紋や顔などの生体認証を用いた「パスキー」やPKI（公開鍵基盤）といった高度な認証方式を、ネット取引を提供する証券会社に義務付ける指針を適用した。

　なぜ、これまで「安全」とされてきたパスワードやSMS認証では資産を守れなくなったのか。そして、この変化はどのようなビジネスインパクトをもたらすのか。規制の中身と、その裏で存在感を増す企業群を整理する。

●目次

• なぜ「パスワード」は敗北したのか
• 規制の中身と、企業が抱える「安全」と「面倒」のジレンマ
• 「生体認証特需」に沸くのは誰か
• パスワードレス社会への移行は始まったばかり

なぜ「パスワード」は敗北したのか

　金融庁によると、オンライン証券口座への不正アクセスは2025年の1年間で約1万8000件に上った。被害は2025年4月をピークに減少したものの、2026年5月時点でも月間194件が確認されており、依然として収束していない。

　被害の主な手口は「リアルタイムフィッシング」と呼ばれるものだ。日証協の注意喚起によれば、証券会社を装った偽メールやSMSで利用者を偽サイトに誘導し、ID・パスワードを入力させた直後、さらに偽のワンタイムパスワード画面へ誘導して、入力された認証コードを即座に悪用し口座を乗っ取るという手口が拡大している。この方式は、従来「二段階で安全」とされてきたSMSによるワンタイムパスワード認証すら、入力の瞬間に横取りされてしまえば意味をなさないという弱点を突くものだ。

　この構造的な弱点を克服する切り札として位置付けられているのが、FIDO2規格に準拠した「パスキー」認証である。スマートフォンなど手元のデバイス内で指紋や顔を照合し、サーバー側には秘密鍵に基づく署名情報しか送らない仕組みで、ログインのたびにパスワードそのものを「入力する」という行為自体をなくす点に本質的な意味がある。パスワード文字列を盗まれても再利用できない設計であるため、フィッシングによる不正ログインを構造的に防げるとされる。

規制の中身と、企業が抱える「安全」と「面倒」のジレンマ

　金融庁と日証協は2025年10月、証券会社に適用する監督指針とガイドラインをそれぞれ改正し、ログイン時や出金時の生体認証を含む高度な多要素認証の必須化を明記した。運用開始は2025年10月からで、証券各社には2026年6月末までのパスキー導入が促されている。日証協によれば、ネット取引を提供する会員証券会社のうち8割を超える79社が必須化に対応する意向を示しており、対面型の大手証券5社やSBI証券、楽天証券などは2026年7月上旬までに全取引手段での対応を完了させたという。

　もっとも、規制強化は各社に軽くないコスト負担を強いる。大手証券のIT担当役員は、犯罪の手口が高度化し続ける以上、対策と攻撃の「いたちごっこ」は今後も続くと指摘しており、生体認証システムの構築には数億円規模、運用にも年間で億円単位の費用がかかるとの見方がある。実際、ある中堅証券幹部は自社単独での対応の難しさを漏らしており、ネット取引に新規参入する動機が薄れたと語る中堅証券もあるとされる。