証券口座を守るために今すぐ確認したいこと｜SBI・楽天・マネックス・松井・FX・MT4/MT5のセキュリティ対策【2026年10月】

2026.10.25

この記事の要点

FX・MT4/MT5で自動売買をしている方は、取引口座のパスワード変更と「ログイン中の全セッションの切断」を最優先にしてください。パスワードを変えただけでは、すでにつながっている接続が残ることがあります（GMOインターネット 2026年10月24日発表）。
株式・投資信託の口座は、取引履歴を見る、注文・約定・ログインの通知をオンにする、パスキーを設定する、の3つを今日のうちに確かめると、被害の予防と早い発見につながります。
「補償の手続き」や「パスワードの確認」を名乗るメール・SMSのリンクは開かないでください。GMOインターネットは、補償の手続きでパスワードや暗証番号を尋ねることはないとしています。

証券口座のパスワードを変えただけでは、不正な取引を止められないことがあります。

2026年10月、GMOインターネットが提供する「お名前.com デスクトップクラウド」が第三者による不正アクセスを受け、利用者のFX口座で身に覚えのない売買が行われました。同社の2026年10月21日の発表では、影響の可能性のあるサーバーは26,739件です。

このサービスを使っていない方も、決して他人事ではありません。証券会社やFX会社の多くは、ここ1年ほどで認証や通知の仕組みを大きく変えています。設定を1度見直すだけで、守れる範囲がぐっと広がります。

この記事では、各社の公式発表を1つずつ開いて確かめた内容をもとに、今すぐ確認したいことを順にお伝えします。全部を一度にやらなくてもよいように、急ぐものから並べました。

何が起きたのか？GMOのクラウドへの不正アクセス

お名前.com デスクトップクラウドは、FXの自動売買ソフト（MT4・MT5など）を24時間動かすために使われることの多い、ネット上の仮想のパソコンです。

GMOインターネットの発表によると、2026年10月20日に一部のお客様のサーバー環境で不正なプログラムが設置されたことを確認し、10月21日の午前4時以降、全プランのサーバーを順次止めています。その後、お客様の情報の外部への持ち出しと、取引口座で身に覚えのない取引があったという報告が確認されました。

利用者が正規のサービスを正しく使っていても、サーバーの中に保存していた取引口座のIDやパスワードが第三者の手に渡りうる。今回の件が投げかけているのは、この点です。

そして、GMOインターネットが特に強く呼びかけているのが、取引口座のパスワード変更と、ログイン中の全セッションの切断です。

セッションとは、金融機関のシステムにログインしている「接続の状態」のことです。パスワードを変えても、すでにつながっている第三者がそのまま取引を続けられる場合があるため、接続そのものを終わらせる必要があります。

まず何を確認すればいい？証券口座を守る5つの対策

今回のサービスを使っていない方も、次の5つを確かめておくと安心です。

対策1　注文履歴・取引履歴を見る

証券会社の公式サイトかアプリを開き、最近の注文・約定・出金の履歴を見ます。特に、次の4点です。

身に覚えのない注文が入っていないか
保有している銘柄や株数が変わっていないか
覚えのない売却や買付がないか
出金先や登録の情報が変えられていないか

ふだんあまり使っていない口座ほど、異変に気づくのが遅れます。眠っている口座も、この機会に開いてみてください。

対策2　パスキー・多要素認証を設定する

パスキーとは、スマートフォンやパソコンの顔認証・指紋認証などを使ってログインする仕組みです。パスワードを打ち込まないため、偽のサイトにパスワードを入力させるフィッシング詐欺に強いのが特長です。

金融庁も、パスキー認証などフィッシングに強い認証が用意されたら、速やかに設定するよう勧めています（2026年10月9日更新の注意喚起）。主な証券会社では、すでに導入や必須化が進んでいます。

ただし、外部の自動売買ソフトや専用の取引ツールでは、別の認証の情報が使われていることがあります。ふだんの取引のしかたに合わせて、それぞれの入口を確かめます。

対策3　注文通知・約定通知・ログイン通知をオンにする

証券会社によっては、注文を受け付けたとき、売買が成立したとき、ログインがあったときに、メールなどで知らせてくれる機能があります。

何も注文していないのに通知が届けば、それが異変に気づくきっかけになります。ログインの通知だけでなく、注文と約定の通知まで確かめておくと、被害を小さいうちに止めやすくなります。

対策4　外部ツールとの接続を確かめる

MT4・MT5、自動売買のプログラム、VPS、APIなどを使っている方は、金融口座につながっているサービスを書き出してみます。使っていないツールや、古い認証の情報が残っていないかも見ておきたいところです。

対策5　緊急時の連絡先を控えておく

万が一、不審な取引が起きたときに備えて、使っている証券会社・FX会社の問い合わせ先を控えておきます。取引の停止や、つながっている接続の切断など、金融機関の側で対応してもらう必要があることもあります。慌てているときほど、連絡先を探す時間が惜しくなります。

証券会社ごとに、どこを確認すればいい？

使える認証の方法や通知の機能は、証券会社によって違います。ここでは、各社の公式サイトで確かめられた設定を紹介します（2026年10月25日に確認）。画面の名前は変わることがあるため、操作の前に公式の案内も開いてください。

SBI証券｜パスキー認証と、ログインパスワードの無効化

SBI証券では、パスキー認証が2026年6月30日から原則必須になりました。設定するまでは、設定を促す案内が表示されます。

設定は、ログイン後のホームの「セキュリティ設定」から、「パスキー認証」の欄の「変更」を選びます。さらに、パスキー認証を設定している方は、ログインパスワードを無効にする設定も使えます。パスワードでの入口を閉じておけるので、守りがひとつ固くなります。

パスキー認証が設定されているか
ふだん使う端末とアプリで、どの認証が使われているか（HYPER SBI 2のパスキー認証は、原則としてパソコン本体の認証機能に限られます）
登録している端末と、不審なログイン・取引の有無

確認先：SBI証券「パスキー認証は必須になりますか？」／SBI証券「パスキーの設定（追加・削除）方法」

楽天証券｜注文通知の設定

楽天証券には、注文の受付・訂正・取消が完了したときに、登録したメールアドレスへ知らせてくれる「注文通知」があります。自分が出していない注文に早く気づくために、ぜひ使いたい機能です。

パソコンでの設定：

パソコンのサイトにログインし、「セキュリティ設定」を開きます（再認証があります）
「注文通知」の欄の「変更」を押します
通知したい商品を「通知する」にして、「変更する」を押します

スマートフォンでの設定：

スマホサイトにログインし、「マイメニュー」から「セキュリティ設定」を開きます
「注文通知」の欄の「変更」を押します
通知したい商品を「通知する」にして、「変更する」を押します

対象は、国内株式、米国株式、投資信託、先物・オプションなどです。かぶツミ（国内株式の積立）とかぶピタッ（金額指定の取引）は、「メールサービス確認・変更」から設定します。

確認先：楽天証券「注文通知の設定方法」

マネックス証券｜パスキーの登録状況

マネックス証券では、ログインのときのパスキー認証を導入しています。登録状況は次の順で確かめられます。

パソコン：ログイン後、「登録情報」→「セキュリティ設定」→「パスキー登録状況」の「登録・解除」
スマートフォン：メニュー→「保有残高・口座管理」→「お客様情報確認・変更」→「セキュリティ設定」→「パスキー登録状況」の「登録・解除」

パスキーを登録した後は、これまでのログインIDとログインパスワードでのログインは使えなくなります。パスワードを盗まれても入られにくくなる、ということです。

確認先：マネックス証券「パスキーの登録方法」

松井証券｜「パスキーでのみログイン」

松井証券では、ログインの方法をパスキーだけに絞る設定ができます（2026年7月21日発表）。これまでのログインIDとパスワードでの入口を閉じておけます。

お客様サイトかスマホサイトにログインします
「口座管理」→「セキュリティ設定」を開きます
多要素認証設定の「ログイン」で「パスキーでのみログイン」を選びます（パスキーが未登録だと、この選択肢は表示されません）

設定の前に、登録済みのパスキーでログインできることを確かめておいてください。設定すると、一部の資産管理アプリが使えなくなることがあります。

確認先：松井証券「パスキーでのみログイン」の設定について 2026年7月21日

三菱UFJ eスマート証券（旧auカブコム証券）｜パスキー管理

2026年10月22日から、ログインのときのパスキーの利用が必須になりました。パスキーを登録していない方向けのメールでのワンタイム認証は、同じ日から電話での認証に変わっています。

パソコン：「設定・申込」→「お客様基本情報」→「パスキー管理画面」
スマートフォン・アプリ：右上の三本線のメニュー→「設定・照会」→「パスキー管理画面」

パスキーは、ふだん使う端末ごとに登録が必要です。kabuステーションなどの専用の取引ツールを使っている方は、それぞれでパスキーでログインできるかも確かめておきます。

確認先：三菱UFJ eスマート証券「パスキー認証」

GMOクリック証券｜ログイン通知と約定通知

GMOクリック証券は2026年10月23日、今回の不正取引を受けて注意を呼びかけました。利用者に求めているのは、次の4つです。

取引履歴・注文履歴・ポジション・残高に、身に覚えのない取引がないか
パスキー認証が設定されているか
「ログイン通知設定」をオンにする
「約定通知メール」をオンにする

2026年11月28日（土）からは、ログインがパスキー認証のみになります。

確認先：GMOクリック証券 2026年10月23日のお知らせ

野村證券｜パスキー認証

野村證券では、2026年6月27日（土）6時から、オンラインで取引や出金をする方は、ログインのときにパスキーが必要になりました。NOMURAアプリのほか、パソコンやスマートフォンのオンラインサービスからも登録できます。

パスキーの登録状況
ふだん使っている端末でログインできるか
登録した端末の管理（1口座につき5件まで）

確認先：野村證券「ログイン・取引・出金時にパスキー認証を必須化いたしました」2026年5月13日／野村證券「パスキーの登録」

大和証券｜パスキー認証・操作履歴・操作通知

大和証券では、D-Portアプリかブラウザに登録したパスキーでの認証に対応しています。あわせて、次の2つの機能も確かめておきたいところです。

操作履歴：ログイン後、「お手続き・サポート」メニューの「操作履歴」
操作通知：メールサービスの「オンライントレードでの操作通知」（2025年5月11日以降、原則として通知する設定に変わっています）

確認先：大和証券「各種セキュリティ機能の設定方法」

FX・MT4/MT5を使っている方は、何を優先すればいい？

今回、いちばん注意が必要なのは、MT4・MT5を使っている方です。MT4・MT5は、FXなどの取引や自動売買に使われる取引ツールで、自動売買のためにFX口座のログイン情報をツールに保存していることがあります。

GMOインターネットは2026年10月24日の第5報で、次の対応を「至急」として求めています。

1　取引口座と取引ツールのパスワードを変える

FXの取引に使っていない別の端末（スマートフォンや別のパソコン）から変えてください。すでに変えた方も、あらためて同じ対応をするよう求められています。

2　ログイン中の全セッションを切断する

ここが特に大切です。パスワードを変えても、すでにつながっている接続がそのまま残る場合があります。

使っているFX会社で全セッションを終わらせる方法を確かめ、自分で操作できないときは、FX会社の窓口に切断を頼みます。

3　取引履歴・建玉・残高を確かめる

不審な注文や、覚えのないポジションがないかを見ます。身に覚えのない取引があれば、まず取引先のFX会社に連絡します。

4　サーバーやブラウザに保存した認証の情報を変える

サーバーの中に保管していたIDやパスワード、ブラウザに保存していた各種サービスのIDやパスワードも、変えるよう求められています。同じパスワードを別のサービスで使っている場合は、そちらも変えます。

あわせて、使っている端末をウイルス対策ソフトでフルスキャンし、データのバックアップを取るよう案内されています。バックアップしたファイルの扱いにも注意してください。

確認先：GMOインターネット「被害拡大防止のお願い」第5報 2026年10月24日

VPS・クラウドで自動売買をしている方は、何を見ればいい？

VPSとは、インターネット上で使う仮想のサーバーのことです。MT4・MT5などの自動売買ツールを24時間動かすために使われています。確かめたいのは、次の5つです。

どの金融口座をVPSにつないでいるか
取引用のパスワードがどこに保存されているか
リモートデスクトップで、自宅のパソコンのドライブを共有していないか
古い接続の情報や、要らなくなった認証の情報が残っていないか
緊急のときに、金融口座の接続を切る方法が分かっているか

サーバーを止めても、取引口座の確認は別に必要です

VPSを止めると、その中で動いていた自動売買のプログラムも止まります。一方で、金融機関の側に残っている注文や建玉は、それとは別に確かめる必要があります。取引ツールを止めることと、金融機関の側の注文を管理することは、分けて考えてください。

設定を変える前には、使っている自動売買のプログラムと接続の情報を控え、必要なバックアップを取っておくと、あとで困りません。

暗号資産の取引をしている方は、APIキーをどう確かめる？

暗号資産の取引では、外部のサービスや自動売買ツールを、APIという仕組みでつなぐことがあります。APIキーとは、外部のプログラムから取引所の機能を使うための認証の情報です。取引所によっては、APIキーに注文の権限を持たせることができるため、APIキーの管理も大切になります。

GMOコインは2026年10月23日の注意の呼びかけで、次の4つを案内しています。

取引履歴・注文履歴・建玉・残高に、身に覚えのない取引がないか
パスキーが設定されているか
会員ページの通知設定で、ログイン通知・約定通知を有効にする
利用していないAPIキーや、心当たりのないAPIキーを削除する

APIキーを確かめる順番は、次のとおりです。

取引所の公式サイトにログインし、APIキーの管理画面を開きます
発行済みのAPIキーと、それぞれの用途・権限を確かめます
使っていないキーがあれば、つながっている先への影響を確かめたうえで整理します

使っているAPIキーを削除すると、つないでいる自動売買のサービスなどが止まることがあります。いまの使い方を確かめてから操作してください。

確認先：GMOコイン 2026年10月23日のお知らせ

メールアドレスとスマートフォンも守る必要はある？

あります。証券会社からの大切なお知らせや認証のコードは、登録したメールアドレスに届くことが多いからです。証券口座だけを固めても、メールを乗っ取られれば、通知に気づけず、手続きを進められてしまうおそれがあります。

Gmail・iCloudメール・Outlookなどで、次の4つを確かめておきます。

多要素認証（2段階認証）が有効になっているか
身に覚えのないログインがないか
見覚えのないメールの転送設定がないか
復旧用のメールアドレスや電話番号が正しいか

証券会社からのメールを別のアドレスへ自動で転送している場合は、転送先も確かめてください。

パスキーの保存先のアカウントも守る

パスキーをiCloudキーチェーンやGoogleパスワードマネージャーなどに保存している場合は、そのアカウント自体の守りも大切です。Apple・Google・Microsoftのアカウントの認証の設定と、登録している端末を確かめておくと安心です。

金融庁が勧めている、ふだんの備え

金融庁は、証券口座への不正アクセスについて、次のような備えを勧めています（2026年10月9日更新）。

見覚えのある送信者からのメールやSMSでも、書かれたリンクは開かない
証券会社のサイトには、登録しておいたブックマークから入る
パスワードを使い回さず、長く推測されにくいものにする
パソコンやスマートフォンのOSとソフトを最新にし、ウイルス対策ソフトを入れて更新する

確認先：金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」

不審な取引を見つけたら、どの順番で動けばいい？

身に覚えのない売買やログインがあったときは、できるだけ早く金融機関に連絡することがいちばん大切です。次の順番で動くと、慌てていても迷いにくくなります。

1　証券会社・FX会社に連絡する

不審な取引が起きていることを伝えます。必要に応じて、口座の保護、注文の停止、セッションの切断などを頼んでください。

2　注文履歴などの証拠を残す

残しておきたいのは、次の情報です。

注文番号と取引の日時
約定の価格と取引の数量
損失の額と手数料
取引履歴の画面の写し（スクリーンショット）
不審なログインの通知
金融機関とのやり取りの記録

取引履歴をCSVや取引報告書として取り出せる場合は、あわせて保存しておくと、あとで確かめやすくなります。

3　安全な端末から認証の情報を変える

不正なアクセスが疑われる端末で、大事なパスワードの変更を続けるのは避けます。安全な別の端末を使い、金融機関の案内に沿って変えてください。

4　パソコン・スマートフォンを確かめる

ウイルス対策ソフトでフルスキャンをして、大事なデータのバックアップを取ります。

なお、初期化やファイルの削除をすると、取引の記録や、原因を調べるために必要な情報まで消えてしまうことがあります。証拠を残し、元に戻す方法を確かめてから判断してください。

どこに相談すればよいか分からないときは、金融庁の金融サービス利用者相談室（ナビダイヤル 0570-016811、平日10時〜17時）も窓口になっています。

GMOの補償はどうなっている？偽の連絡にも注意を

GMOインターネットは2026年10月24日、今回の不正アクセスによる不正な取引について、損失を補償すると発表しました。

補償の対象

今回の不正アクセスによる不正な取引だと同社が認めた取引で生じた、次のような実現損失が対象です。

不正な取引で確定した売買の損失（差損）
不正な取引にともなう手数料など

市場の値動きによる損失、得られたはずの利益、そのほかの間接的な損害は対象外です。取引所などから返金を受けた分は、同社からの補償と二重には受け取れません。

今の利用者には5,000円のお見舞金

いま「お名前.com デスクトップクラウド」を使っている方には、金銭の被害があったかどうかにかかわらず、一律5,000円のお見舞金が支払われます（2026年10月24日発表）。お見舞金の受け取りの手続きは2026年10月30日（金）23時59分までに登録メールアドレスへ、補償の申請方法は2026年11月6日（金）までに公式サイトと登録メールアドレスへ案内される予定です。

「補償の手続き」を名乗る連絡に気をつける

こうした発表の後には、それに便乗した偽のメールや電話が出回りやすくなります。GMOインターネットは、補償の手続きでパスワード（閲覧専用のパスワードを除く）や暗証番号を尋ねることはないとしています。不正アクセスをした第三者を名乗る連絡が届いても、メールの中のリンクやファイルを開かず、返信もしないよう呼びかけています。

手続きの案内は、メールのリンクからではなく、同社の公式サイトを自分で開いて確かめるのが安全です。

確認先：GMOインターネット第4報 2026年10月24日

結局、自分は何を確認すればいい？使っているサービス別の一覧

日本株・米国株・投資信託を使っている方

パスキー・多要素認証の設定
注文通知・約定通知の設定
最近の注文・取引の履歴
登録しているメールアドレスの守り
緊急のときの金融機関への連絡先

FX・MT4・MT5を使っている方

取引用のパスワードの管理
全セッションを切断する方法
VPSに保存している認証の情報
自動売買ツールのつなぎ先
不審な注文・建玉・残高がないか

暗号資産を使っている方

APIキーの使い方
APIキーに持たせている注文の権限
要らなくなったAPIキーの整理
ログイン通知・約定通知
不審な取引・送金の履歴

いくつもの金融機関を使っている方

各社のログインの方法
外部のサービスとのつながり
注文通知が有効か
登録しているメールアドレスの管理
緊急のときの問い合わせ先

よくある質問

お名前.com デスクトップクラウドを使っていなくても、対策は必要ですか？

必要です。今回の件は、口座のIDやパスワードが、自分の知らない場所から漏れうることを示しました。どのサービスを使っていても、通知とパスキーの設定をしておけば、被害を防ぐ力と早く気づく力の両方が高まります。

パスワードを変えたのに、まだ不安です。ほかに何をすればいいですか？

ログイン中の全セッションを切断してください。パスワードを変えても、すでにつながっている接続が残ることがあります。自分で切断できない場合は、証券会社・FX会社の窓口に頼みます。

パスキーを設定すると、パスワードは要らなくなりますか？

証券会社によって違います。マネックス証券は登録後にIDとパスワードでのログインが使えなくなり、松井証券とSBI証券はパスワードでのログインを閉じる設定を選べます。一方で、取引パスワードなど、別の場面で使うパスワードが残る会社もあります。各社の案内で確かめてください。

大切な資産を守るために

今回の件では、利用者が正規のクラウドサービスを使っていたにもかかわらず、取引口座の認証の情報が第三者に取られ、不正に使われた可能性が公表されました。

いまは、スマートフォン、パソコン、クラウド、自動売買ツールと、取引の入口がいくつもあります。便利な仕組みを安心して使い続けるためにも、まずはご自身が使っている証券会社の通知の設定と認証の方法を、1度開いて確かめてみてください。自動売買や外部のサービスを使っている方は、取引口座へのつなぎ方と、緊急のときに接続を終わらせる手段まで知っておくことが、何よりの守りになります。

全部を一度に見直すのが大変なときは、次の順番で進めると整理しやすくなります。

「取引履歴の確認」→「注文通知の設定」→「認証と外部接続の確認」

投資は、利益を増やすことと同じくらい、守ることが大切です。今日の数分の確認が、これからの安心につながります。

この記事の出典

情報を確認した日：2026年10月25日

この記事を書いた人

結城はるみ

夕刊フジ「株１グランプリ」グランドチャンピオン大会の最多優勝ホルダー

結城はるみ経歴・プロフィール