- 第1章 エグゼクティブサマリー：2つの大規模攻撃が示した教訓
- 第2章 2020年の不正アクセス事件：警鐘となった最初の攻撃
- 第3章 2025年の危機：システミックな障害と新たな攻撃パラダイム
- 第4章 SBI証券の対応戦略におけるパラダイムシフト
- 第5章 競合他社との比較分析と将来展望
- 引用文献
第1章 エグゼクティブサマリー：2つの大規模攻撃が示した教訓
情報システム部のセキュリティ担当として、私は常に「攻撃者の経済合理性」を注視しています。SBI証券が直面した2つのインシデントは、単なる技術的欠陥の露呈ではなく、「攻撃コストに対するリターンの最大化」を目指すサイバー犯罪の進化を象徴しています。
本記事では、2020年の「直接窃取型」から2025年の「市場操作型」への移行を分析し、なぜSBI証券が「50%補償」という極めて現実的かつ非情な決断を下さざるを得なかったのか、その戦略的背景を専門家の視点で解剖します。
第2章 2020年の不正アクセス事件：警鐘となった最初の攻撃
2020年の事件は、古典的ながらも「認証の連鎖」を突いた巧妙なものでした。
2.1 攻撃の解剖学：直接的な資金流出
攻撃の起点はリスト型攻撃と推測されますが、核心は「なりすまし口座」の悪用です。偽造書類で被害者名義の銀行口座を他行に開設し、SBI証券の「本人名義への出金」というセキュリティポリシーを、制度の隙間を縫って回避しました [1]。
2.2 事件発生直後の対応と企業の責任
被害総額は約1億円に留まり、SBI証券は100%全額補償を即断しました [1]。
この時点では、被害が限定的であったため、ブランド毀損を避ける「評判リスクの管理コスト」として全額補償が経済的に合理性を持っていました。
城咲子の視点：システムの「信頼」をどこに置くか 当時の対策は「出金プロセス」の強化に偏っていました。しかし、ゼロトラストの観点では「一度ログインしたユーザーは信頼できる」という前提自体がリスクとなります。
第3章 2025年の危機：システミックな障害と新たな攻撃パラダイム
2025年、攻撃手法は「点」から「面」へと進化しました。
3.1 攻撃者の目的：「パンプ＆ダンプ」への転換
フィッシングにより数千規模の口座を掌握。資金を盗み出すのではなく、乗っ取った口座で「特定の低位株を強制買付」させ、株価を吊り上げた後に攻撃者自身の持ち株を売り抜ける手法がとられました [5, 9]。
3.2 市場への影響と壊滅的な打撃
不正取引額は業界全体で約954億円に達しました [5]。被害者のポートフォリオが本人の知らぬ間に「ゴミ同然の株」に書き換えられるという、資産価値の破壊が行われたのです。
攻撃者は、2020年の対策で「出金」が難しくなったことを受け、口座内での「取引」そのものをマネーロンダリングのエンジンとして利用する手法に最適化したと考えられます。
城咲子の視点：大量アクセスをどう制御すべきか このような大規模かつ一斉の不正アクセスは、もはや個別のログイン防御だけでは防げません。インフラレイヤーでの可視化と防御が不可欠です。
第4章 SBI証券の対応戦略におけるパラダイムシフト
2025年の危機を受け、SBI証券は技術的防御を「義務」へと昇華させました。
4.1 技術的防御の要塞化：アクセス基準の引き上げ
【一次情報・ファクト】 SBI証券は、FIDO認証（パスキー）を含む多要素認証（MFA）を、2025年5月末までに「義務化」しました [15]。また、フィッシングを防ぐためメール内からリンクを排除する「リンクレス」ポリシーを導入しました [11]。
4.2 物議を醸した50%補償方針：責任の再定義
最大の争点は「50%補償」への方針転換です。
全額補償を行えば企業の財務基盤を揺るがす規模（数百億〜数千億のリスク）に膨らんだため、経営陣は「企業が最高水準の鍵（FIDO認証等）を提供している以上、管理不備の責任は顧客と分担する」という責任分担モデルへ舵を切ったと分析します。
城咲子の視点：アプリケーション保護の限界点
認証の強化は必須ですが、正規の認証をパスしてくる攻撃（セッションハイジャック等）に対しては、WAFによる振る舞い検知などの多層防御が必要です。
第5章 競合他社との比較分析と将来展望
5.1 競合他社とのベンチマーキング
楽天証券や松井証券も50%補償に同調しましたが、GMOクリック証券のように全額補償を維持する企業もあり、対応は二分されました [15]。
5.2 将来の展望とステークホルダーへの提言
SBI証券が導入したFIDO2/パスキーは現状で最も強力な防御策の一つですが、SMS認証などの「抜け道」が残っている限り、SIMスワップ等の攻撃リスクは消えません。
専門家としての結論： SBI証券の決断は、金融機関が「無限責任」を負う時代の終焉を告げるものです。私たちユーザーは、「利便性」というコストを支払ってでも「セキュリティ（パスキー）」を自ら設定し、資産を守る主体的行動が求められています。
