金融庁は11月6日、銀行や証券会社などの利用者に向けて「現下の情勢を踏まえた金融機関利用者へのお願い」を公表した。メールのリンクを安易に押さない、パスワードを使い回さない、フィッシング耐性のある多要素認証を使う、身に覚えのない取引の通知があれば金融機関へすぐ連絡する、の4つだ。
金融庁「現下の情勢を踏まえた金融機関利用者へのお願い」(2026年11月6日)fsa.go.jp
流出した情報を使った本物らしいメールが増えるという見立てのもとで、監督官庁が利用者に直接、備えを頼んだ形になる。4つを一度に片づけるのは難しいので、どこから手をつけるかを考えてみたい。
お願いが出た6日の背景
文面は、顧客向けサービスや業務システムへの不正アクセスが相次ぎ、顧客情報が漏れていることから始まる。同じ6日、政府のサイバーセキュリティに関する関係閣僚会議は「サイバーセキュリティ緊急対策パッケージ」を決めた。NHK によると、個人情報を扱う企業に不要なデータの消去を求めるなど、企業の側への対策が並ぶ。
金融庁が利用者に伝えているのは、その手前の話だ。漏れた情報が悪用され、実在の事業者や行政機関を装った巧妙な不審メールが「今後更に増加する可能性がある」という。
規模の手がかりはある。メール配信サービス「アララメッセージ」を運営するアララは同じ6日の第3報で、持ち出されたメールアドレスを重複を除いて81,329,467件とした。これはアドレスの数で、人数ではない。公表された事案は LifeMakers の漏えいチェックに1件1行でためている。
いちばん手間がかかるのは3つ目
4つのうち、言葉が分かりにくいのは「フィッシング耐性のある多要素認証」だろう。警察庁のサイバー警察局便り (10月23日更新) は、個人向けに「ワンタイムパスワードなどを用いた多要素認証も有効」と書いている。金融庁のお願いは、そこからもう一段先の方式を名指ししたことになる。
違いは、偽のサイトに誘い込まれた時に出る。ワンタイムパスワードは数字を自分で打ち込むので、画面が偽物でも入力できてしまう。代表例のパスキーは、スマホやパソコンに保存した鍵を顔認証や PIN で呼び出す方式で、FIDO Alliance の説明では、サービスと共有する秘密を持たない。打ち込む文字列がそもそも無いので、騙されて渡すものが減る。
金融庁は4月に、銀行・信用金庫・信用組合・労働金庫・証券会社と警察庁と組んだ広報を公開し、監督指針の改正で導入を求めていると説明した。ただ、いま自分の口座で使えるかどうかは金融機関とサービスによって違う。
切り替えの手間もある。スマホを替えた時やなくした時の戻し方を確かめないまま設定すると、自分が口座に入れなくなるおそれがある。家族の口座の手続きを手伝っている人は、どの端末で設定するかも決めておくことになる。
軽い順に3つ
金融庁は順番を示していない。以下は手間の軽い順に並べた一案だ。
- 口座の連絡先をメールの外に控える。身に覚えのない通知が来た時、通知の中の番号やリンクを使わずに、キャッシュカードや公式サイトで確かめた番号へかけるためだ。
- 金融機関とメールアカウントのパスワードから、使い回しをやめる。全部を一日で変えるのは続かないので、お金に近いものを先にする。パスワード管理アプリに頼るなら、その鍵をなくした時の備えも要る。
- 口座ごとに、ログインの選択肢を確かめる。パスキーがあれば、戻し方を読んでから設定する。
取引の通知をメールやアプリで受け取る設定になっていなければ、身に覚えのない取引に気づくのが遅れる。3つとあわせて見ておきたい。
困った時の窓口
金融庁はこのお願いの問い合わせ先として、0570-016811 (IP 電話からは 03-5251-6811・平日10時〜17時) とウェブの受付を載せている。身に覚えのない取引なら、先に連絡する相手は取引先の金融機関だ。不審に思った時の相談先として、警察庁は警察相談専用電話 #9110 を挙げている。
次に開く先は、この週末に、口座を持つ金融機関の公式サイトにある「パスキー」か「多要素認証」の案内だ。見つからなければ、そのこと自体が窓口に尋ねる理由になる。
ことば
- フィッシング耐性のある多要素認証 — 偽のサイトに誘導されても、ログインの情報を渡しにくい認証の仕組み。金融機関を騙った不正送金が増えたため、金融庁が監督指針で導入を求めるようになった。
- パスキー — FIDO の規格にもとづくログインの鍵。スマホやパソコンなどに保存し、顔認証や PIN で使う。パスワードのように打ち込んだり相手と共有したりする秘密を持たない。
いま口座を持っている金融機関のうち、ログインの方式を確かめたことがあるのはいくつだろうか？
