楽天証券「不正取引」が話題に 原因と対策は？

ここ数日、楽天証券で不正取引が多発しているとの話題が広がっており、Webサイトには大きく注意喚起が出ている。

どのような原因と対策が考えられるのか、楽天証券の広報担当者に聞いてみた。

最近、ネット銀行やスマホ決済サービスを狙ったフィッシング詐欺が増加している。

楽天証券では、今回の不正取引についても「大部分はフィッシング詐欺と考えている」（広報）としている。

フィッシング詐欺は、本物そっくりの偽サイトに誘導し、IDやパスワードを入力させるというものだ。

被害者は本物のサイトと思い込んで自分から情報を入力してしまうため、簡単かつ強力な攻撃手法として猛威を振るっている。

楽天証券についても、巧妙に作られたメールやSMS（ショートメッセージ）が多数送信されており、そこに記載されたリンクから偽サイトに誘導する事例を確認しているという。

ただ、楽天証券にログインしただけでは資産などの状態を閲覧できるのみで、実際の取引には「取引暗証番号」が必要になる。

そこで偽サイトでは、IDとパスワードを入力させた後に、取引暗証番号の入力も求めているとみられる。

この点について、楽天証券では「取引暗証番号は注文や各種変更の際に必要となることはあるが、ログインID・パスワードの入力直後に入力をお願いすることはない」と注意喚起をしている。

一方で、「フィッシングではない」と主張する被害者がいることも話題になっている。

楽天証券によれば、顧客からの問い合わせなどから「大部分」がフィッシングと判断しているとのことですが、マルウェアなどの可能性もゼロではないという。

たとえばPCがマルウェアに感染している場合、画面の内容やキーボード入力、ブラウザに保存した情報などを盗み出される恐れがある。

しかし楽天証券からは個々の端末の状態までは確認することができないため、具体的な言及ができない状況とみられる。

また、パスワードや取引暗証番号をサーバー上でどのように保持しているかという点については、「被害の拡大を防ぐため詳細は控えるが、暗号化などのセキュリティ対策を講じており、不審な動きのモニタリングも実施している」（広報）との回答だった。

こうした不正取引はSBI証券でも似たような事例があるとのことから、楽天証券特有の問題というよりは、口座数の多いネット証券が狙われている印象も受ける。

ところで、なぜ証券会社が狙われたのだろうか。

銀行のインターネット取引では外部への不正送金の被害が拡大したが、証券会社から本人名義以外の口座にお金を引き出すことは困難といえる。

その代わり、今回の事例では「意図しない株式を勝手に購入された」という報告が相次いでいる。

楽天証券では3月21日20時に一部の中国株式（香港株）の買い注文を停止しており、広報によればこれは一連の不正取引問題への対策とのことだ。

引用元：Yahoo!ニュース

対象となった銘柄の中には、短時間のうちに株価が大きく上昇し、その直後に大きく下落しているものがあった。

被害者の口座を使ってこうした銘柄を大量に購入することで株価をつり上げ、第三者が利益を得る手法が考案されたとみられる。

また、攻撃者は「効率」を追求する傾向にある。

ネットバンキングやスマホ決済サービスの対策が進み、不正行為が難しくなったことで、新たなターゲットとして証券会社が狙われた可能性も感じられる。

こうした被害に遭った場合、補償はどうなるのだろうか。

ネットバンキングの場合、不正送金の被害に遭ったとしても、一定の条件下で補償され、お金が戻ってくることが多いようだ。

しかし証券会社のネット取引の場合、ログインした状態での取引は本人によるものとみなすのが一般的とのこと。

原則として補償の仕組みはないようだが、楽天証券では「被害に遭われたお客様のお話をうかがい、金融商品取引法などの法令に従って個別に検討する」（広報）としている。

フィッシング詐欺に共通する対策として、外部からメールやSMSなどで送られてきたリンクやURLは信用せず、お気に入りやブックマークに登録したものを使う、というものがある。

楽天証券では、パスワードや取引暗証番号の再設定を呼びかけているほか、2021年に導入した「ログイン追加認証」の設定を案内している。

これを有効化すると、ログイン時にはあらかじめ登録したメールアドレスに送られてくる「画像」の選択を求められるようになる。

引用元：Yahoo!ニュース

「ログイン追加認証」の画面。

画像の候補は数百種類あり、数字などの単純な入力フォームに比べて偽造は困難としている。

ただ、偽サイトが本物の画面をコピーしてくる可能性もあるため、引き続き警戒は必要という印象はある。

さらに3月23日からは、新たに「リスクベース認証」が導入されている。

これはログイン環境が普段とは異なると判断した場合に、「フリーダイヤルに電話をかける」または「SMSを受け取る」追加認証を求める仕組みとなっている。

引用元：Yahoo!ニュース

タイミング的には今回の不正取引の話題と重なったものの、楽天証券によれば以前から導入を計画していたとのこと。

利用者側で設定する必要はなく、すでに全員が有効化されており、無効化する仕組みは用意されていません。

実際に筆者のアカウントで、これまで楽天証券を使ったことがないスマホからログインを試みたところ、「ログイン追加認証」で画像を選択してログインした後に、「フリーダイヤル認証またはSMS認証」を求める画面が出てきた。

あくまで普段とは異なると判断された場合のみ出てくる認証画面ではあるが、多様な環境からログインする可能性がある場合、電話番号の設定を確認しておいたほうがよさそうだ。

参照元：Yahoo!ニュース