先に結論を出します。順位ではなく「パスキー（フィッシングに耐性のある認証）が、どの操作まで効いているか」で4つの段階に分けました。理由は第5章と第6章で説明します。

各社の公式お知らせ・FAQ（2026年8月15日時点）より作成。三菱UFJ eスマート証券は旧auカブコム証券です。段階の分け方は筆者によるもので、公式な格付けではありません。

もうひとつ、この記事で必ず持ち帰ってほしい結論があります。補償のルールが2026年に切り替わりました。

2025年の報道を覚えている方は「証券口座を乗っ取られても、野村なら株を戻してくれる」「SBIや楽天でも半額は返ってくる」と理解しているはずです。それは2025年前半の被害についての話でした。今は違います。詳しくは第7章で、6社の公式文書をそのまま引用します。

第1章 おわり — 次は第2章「クレカ不正の7.7倍という規模」

まず規模を押さえます。同じ時期の他の犯罪と並べると、この問題の大きさが分かります。

売られた分だけでクレジットカード不正利用の約7.7倍です。ニュースで「クレカの不正利用が過去最悪」と聞く機会は多いのに、その7倍以上の規模で起きていた証券口座の話は、あまり知られていません。

報道の「7,393億円」は、同じお金を2回数えた数字です

ここは正確に理解しておく価値があります。金融庁は「売却金額」と「買付金額」を別の行で公表しています。犯人の手口は「売った代金でそのまま別の株を買う」なので、この2つはほぼ同じ額になります。

報道の「2025年の不正取引金額は計約7,393億円」は、この2つを足した数字です。実際に動いた資産は約4,000億円規模で、7,393億円は「のべ」の数字だと理解しておくと、他の統計と比べるときに間違えません。金融庁の集計が誤っているという話ではなく、2つの数字をどう合計するかという解釈の問題です。

被害はほぼ収束しました。ただし気になる動きがあります

金融庁「インターネット取引サービスでの不正アクセス・不正取引の被害状況」（2026年8月10日更新）より抜粋。各証券会社等からの報告に基づく発生日ベースの暫定値です。不正取引件数は、不正アクセスのうち実際に取引まで行われた件数。

2025年4月がピークで、そこから急速に減っています。2026年7月は1社・1件・約100万円まで落ちました。各社がパスキーを必須化していった時期とちょうど重なりますが、これだけで因果関係を断定はできません。

第2章 おわり — 次は第3章「犯人は現金を1円も持ち出さない」

この手口の異常さは、ここにあります。国民生活センターの解説（弁護士・金融審議会専門委員による）が、構造をきれいに説明しています。

銀行の不正送金なら、口座からお金が消えます。キャッシュレス決済なら、残高が減ります。ところが証券口座の乗っ取りでは現金が動きません。口座の中身が「優良株」から「値下がりした小型株」に入れ替わるだけです。

「口座から現金が消えていないのに、資産が半分になっている」。これが証券口座乗っ取りの本質です。そして、だからこそ補償の設計も金額の数え方も揉めることになります。第7章で「原状回復」と「半額補償」という2つの流派が生まれた理由が、ここにあります。

盗まれるのはIDとパスワードだけではありません

入口はフィッシングが主ですが、それだけではありません。ある調査では、被害端末6台のうち5台でフィッシング、残る1台でインフォスティーラー（情報を盗むウイルス）への感染が確認されたと報じられています。パスワードを盗む手段は、偽サイトだけではないということです。

第3章 おわり — 次は第4章「被害者を定型的に救う専用の法律がない」

ここが第7章の伏線になります。銀行の預金者保護法のように、証券口座の不正アクセス被害者を定型的に救済する専用の法律は、日本にはありません。（民法・商法・消費者契約法にもとづいて救済を求める道は残っています。後述します。）

預金者保護法の正式名称は「偽造カード等及び盗難カード等を用いて行われる不正な機械式預貯金払戻し等からの預貯金者の保護等に関する法律」。対象は「機械式預貯金払戻し」＝ATMで、インターネットバンキングの不正送金には適用されません（『国民生活』2025年11月号の解説による）。銀行の補償実績は金融庁「偽造キャッシュカード等による被害発生等の状況について」より。

銀行なら、法律か業界の申し合わせがあり、しかも実際に77.5%が補償され、そのほとんどが全額だったという実績が公表されています。証券にはこれに相当する数字がありません。

あるのは「10社申し合わせ」です

2025年5月2日、日本証券業協会が大手証券・ネット証券10社と協議して、次の内容を申し合わせました。

「各社の約款等の定めに関わらず」という一文が異例です。約款には補償しないと書いてあっても補償する、と業界が宣言したわけです。裏を返せば約款上は補償する義務がなかったということでもあります。

対象は「2025年1月以降に発生したもの」。参加10社は五十音順で、SMBC日興証券、SBI証券、大和証券、野村證券、松井証券、マネックス証券、みずほ証券、三菱UFJ eスマート証券、三菱UFJモルガン・スタンレー証券、楽天証券です。GMOクリック証券はこの10社に含まれていません（個社で方針を公表しています）。

2026年7月に成立した改正法にも、入っていませんでした

では法制化は進んでいるのか。2026年4月に国会へ提出され、同年7月に成立した「金融商品取引法及び資金決済に関する法律の一部を改正する法律」について、金融庁が公表した説明資料（全14ページ）を全文検索してみました。

改正の柱は①暗号資産に関する規制の見直し ②企業のサステナビリティ情報の開示・保証 ③スタートアップ企業への資金供給の促進 ④有価証券に関する不公正取引規制等の見直しの4つでした。7,393億円（のべ）の不正取引を招いた問題は、この4つの柱に含まれておらず、説明資料にも記載がありません。

なお「補償」は説明資料に1回だけ登場します（暗号資産の不正流出に備えた責任準備金の積立て／改正金商法第46条の5）。証券口座の不正アクセスに関する補償の規定ではありません。また、ここで確認したのは説明資料（スライド）であり、法律の条文そのものを逐条で確認したわけではありません。「4つの柱に入っていない」という事実として読んでください。

専門家は法制化を求めています。前出の解説は、こう書いています。

第4章 おわり — 次は第5章「『多要素認証あり』の落とし穴」

ここを理解しないと、第6章の表が読めません。「多要素認証がある」と「フィッシングに耐性がある」は、まったく別のことです。

日本証券業協会「多要素認証の設定必須化を決定した証券会社」（2025年7月7日時点・五十音順）に79社の社名が掲載されています。同じページに載っている多要素認証の説明図は「IDとパスワード＋認証アプリのセキュリティコード入力」方式で、これはフィッシングに耐性のある方式ではありません。

つまり2025年の被害は、まさに第1波の方式が突破されて起きました。SMSやメールに届いたコードを偽サイトに入力してしまえば、犯人はそれを本物のサイトへ即座に転送してログインできます。人間の側に落ち度がなくても、仕組みとして防げないのです。

ですから、「多要素認証を設定したから安全」という理解は2026年には通じません。見るべきは「多要素認証があるか」ではなく「パスキーが、どの操作まで効いているか」です。

第5章 おわり — 次は第6章「パスキーはどの操作まで効くのか」

この章が記事の中心です。同じ「パスキー対応」でも、守られる範囲がまったく違います。

各社の公式お知らせ・FAQ（2026年8月15日時点）より作成。◯＝パスキーで守られている／△＝多要素認証はあるがフィッシング耐性のない方式／✕＝公式にパスキーの対象外、または静的なパスワード・暗証番号のみ／確認できず＝公式情報で確認できなかった（対策がないという意味ではありません）。三菱UFJ eスマート証券は旧auカブコム証券。

いちばん危ない瞬間の認証が、業界ルールでは「任意」でした

なぜ「取引」の列にこれだけ差が出るのか。理由は日本証券業協会のガイドラインにあります。ガイドラインは【スタンダード】（必ずやること）と【ベストプラクティス】（望ましいこと）の2段構えで、フィッシング耐性のある認証の必須化についてこう書いています。

「勝手に売られて、勝手に買われる」まさにその瞬間の認証が、「望ましい」止まりなのです。銀行の「振込時の認証」に相当する部分が、証券では必須化されていません。だから野村證券・みずほ証券・SMBC日興証券のように取引まで守る会社と、取引パスワードのままの会社に分かれました。

「必須化」の抜け道は、6社では実質的に閉じられています

各社が「必須化」と言っていますが、原文を読むと対応が6通りに分かれます。閉じ方が5種類あり、開いたままの会社が3社です。

これは各社の怠慢ではありません。ガイドライン自身が、パスキーを使えない人への配慮として抜け道を認めているのです。

スマホを持っていない人を切り捨てるわけにはいかないので、この配慮は必要です。ただし攻撃者が狙うのは当然この抜け道です。読者として確認すべきなのは「必須化されたか」ではなく「自分が抜け道側に残っていないか」です。なお、解除率を公表している会社は今回見つかりませんでした。ガイドラインはフォローを求めていますが、公表までは求めていません。

第6章 おわり — 次は第7章「補償は『あなたが設定していたか』で決まる時代へ」

まず、報道された「原状回復」と「半額補償」が法的にまったく別の理屈だという話から始めます。

個別の事案の結論は事実関係によって変わります。ここでは「法的にはこう整理されている」という考え方の紹介にとどめます。断定的な判断は弁護士等の専門家にご相談ください。

11社の補償方針を、公式の言葉で並べます

そして本題です。6社が「自社が認証を必須化した日」で線を引きました

6社すべてが「自社が手を打った日」を境に、補償を「原状回復」から「個別判断」へ切り替えています。区切りの日付が会社ごとにバラバラなのは、各社が必須化した日が違うからです。

そして4社が「顧客のセキュリティ設定の状況によっては補償できない」と公式に明記しました。うち2社は、何を設定していないと危ないのかまで書いています。

GMOクリック証券の条件は特に具体的です。ログインの追加認証を「メール」で受け取る設定にしていただけで、補償が薄くなる可能性がある——同社はSMSを推奨しています。ここまで書いている会社は他にありませんでした。

もうひとつ、補償の話そのものが詐欺の餌になっています

大和証券が公式資料の末尾で警告しています。

被害に遭った人ほど「補償の案内」を待っています。その心理を突く二次被害です。補償に関する連絡が来ても、その電話番号やメールのリンクからは絶対に手続きしないでください。自分でブックマークした公式サイト、または口座を持っている支店・コールセンターの番号から確認するのが唯一の安全な方法です。

第7章 おわり — 次は第8章「今日やること、被害に気づいたら」

被害に気づいたときの順番

会社を選ぶときに、何を見ればいいか

第8章 おわり — 次はよくある質問