もちろん、前述のような対策をとったからといってフィッシングサイトでワンタイムパスワードを入力させられる等の手口もあるため100%リスクを回避できるというわけはないが、現時点で一般的に実施されているIDとパスワードによる認証に加えて、SMSやワンタイムトークンによる二段階認証を採用すれば、IDとパスワードの流出に起因する不正アスセスのリスクの大部分は回避できるであろうと思われるのにも関わらず、国内の多くの証券会社がその対応をしていないのは、単純に対応を怠っているとしか思えない。

私が確認したところでは

においては、この記事の執筆時点ではIDとパスワードが流出した”後”におけるこれらの対策はされていないようだった。

以前、何社かにこれらのセキュリティリスクについて電話窓口で指摘したところ、例のごとく「パスワードを定期的に変更（以下略」と言われてしまった。

しかしこの「パスワードの定期変更」については以前から、定期変更を繰り返すことで必然的に覚えやすい簡単なパスワードを設定するユーザーが増えてしまう、毎回複雑なパスワードを設定したとしても覚えられない為にメモを残してしまいそれがセキュリティリスクになる等の問題点が指摘されており、2018年からは総務省でも「パスワードの定期変更は不要」という見解を示している。

利用者としては、大金を預けている以上は最低限のセキュリティ対策をしてほしいところではあるが、専用窓口でその旨を伝えても「面倒くさい人が来た」という対応をされてしまい、何だかなぁという感じだった。

大事件が起こる前に、早急に対策が取られることを願う。

（2020/09/16）

ついにその”大事件”が起きてしまった。

報道各社によると、SBI証券で悪意のある第三者による不正アクセスにより利用者の有価証券売却および、偽造した本人確認書類を利用するなどして、当該銀行口座そのものを不正に開設した“偽口座”への出金が複数件確認されたとのこと。被害総額は現時点で9864万円とのことらしい。第三者の不正アクセスによる有価証券の不正取引どころか、偽口座へ出金までされる事態になってしまった。SBI証券では、利用者の任意ではあるが「PC 登録あんしんサービス」というサービス名でメールアドレスによる二段階認証を早期に導入した数少ない証券会社であっただけに残念。余談ですが、この記事を最初に投稿してから以降、7ペイ騒動等の相次ぐセキュリティインシデントの発覚を受けて、松井証券など一部の証券会社では電話番号等による二段階認証を導入している。しかしこれらの利用はあくまで任意であり、セキュリティ意識の高い利用者以外は従来通りのIDとパスワードだけの認証に留まっているのが現状のようです。