SBI証券の顧客口座に不正ログイン、6口座から9,864万円を不正出金（2020年）

何が起きたか

2020年7～9月、SBI証券の顧客口座に第三者が不正ログインしました。6人の顧客の6口座で、出金先の銀行口座が変更され、有価証券の売却と計9,864万円の不正出金が行われました。同社は2020年9月7日に寄せられた顧客の「身に覚えのない取引」の申告を端緒に調査しました。SBI証券の初報、2021年の調査報告・PDF 1～2ページ

後の調査では、別の5人の5口座でも有価証券の不正売却が確認されました。こちらの売却額は計7,184万円ですが、不正出金には至っていません。9,864万円と7,184万円を合わせて「流出額」とは表現しません。SBI証券の調査報告・PDF 1～2ページ

どのように口座が使われたか

SBI証券は、攻撃者が何らかのリストを使ってログインを繰り返し試み、不正ログインに成功したと考えています。被害口座へアクセスしたIPアドレスから、1,000以上のアカウントへのログイン試行を確認しています。この「1,000以上」は試行されたアカウントの数で、被害を受けた口座数ではありません。SBI証券の調査報告・PDF 1ページ

初報によると、攻撃者は取得した顧客の認証情報を使って、SBI証券のサイトで出金先を不正な銀行口座に変更しました。同社は、自社システムから認証情報を不正取得されたものではないと説明しています。一方で、その認証情報が具体的にどこで、どの方法で盗まれたかは確認できません。フィッシングによるものと断定しません。SBI証券の初報「1.経緯」

対応とその後

SBI証券は、被害を受けた顧客に連絡し、危険性があると考えられる口座の出金停止やパスワードの強制リセットを行いました。また、Webサイトでの出金先銀行口座の変更受付を停止しました。初報では顧客の被害を補償する予定と説明していますが、確認した資料だけで補償の完了は断定できません。SBI証券の初報

出来事の時系列

時系列は初報と2021年の調査報告に基づきます。

まだ分かっていないこと

参照した発表では、攻撃者が顧客の認証情報を具体的にどこで、どう入手したかは確認できません。初報には被害補償の予定が記されていますが、参照した資料だけで補償完了とは言えません。初報／調査報告

この事例から分かること

証券口座への不正ログインは、売却だけでなく、出金先の変更や資産の流出につながることがあります。この事件では、出金があった6口座と、不正売却だけだった別の5口座を区別する必要があります。SBI証券の調査報告・PDF 1～2ページ

利用者への案内: 身に覚えのない取引や出金先の変更に気づいたら、証券会社の公式サイトやアプリで確認し、正式な窓口へ速やかに連絡してください。認証情報の取得元は不明なので、特定の予防行動でこの事件を確実に防げたとは説明しません。