個人情報漏えい対策 7選｜証券口座を守る設定と便乗詐欺に要注意！

2026年10月、個人情報の漏えいニュースが毎日のように流れています。スカイチケット、ブックオフ、ローソン、JR東日本、第一興商……。たった数日で、公表された件数の合計は数千万件規模です。

そして10月9日には、金融庁が銀行・証券会社などに緊急の注意喚起を出しました。背景は、サイバー攻撃で運転免許証などの本人確認書類の画像まで流出する事件が相次いでいること。つまりこれは「迷惑メールが増える」という話ではなく、お金の口座が狙われる話です。

この記事では、個人情報漏えいが起きたあとに実際に何が起きるのか、そして今日30分でできる対策を優先順位つきで整理します。証券口座（SBI証券・楽天証券）の具体的な設定手順まで落とし込みました。

ワッピー

パパ、ニュースで「情報が漏れた」ってずっと言ってるよ。ぼくのお金も取られちゃうの？

ワッシー

いい質問だね。漏れただけでお金がなくなるわけじゃないんだ。でもね、漏れた情報を使って「あなたの情報が漏れました」って電話をかけてくる悪い人がいる。そっちのほうが怖いんだよ。

コッコ

えっ、漏れたお知らせが詐欺なんですか……？それ、いちばん信じちゃいそうです。

2026年10月、個人情報漏えいが止まらない【最新まとめ】

まず事実の確認から。2026年9月末から10月上旬にかけて公表された、主な漏えい・不正アクセスを並べます。件数の大きさだけでなく、どんな種類の情報が漏れたかに注目して見てください。

この1〜2週間で公表された主な漏えい

※各社の公表資料・報道をもとに2026年10月10日時点で整理。件数は「可能性がある最大値」を含み、調査中のものもあります。楽天の件はハッカー側の主張で、同社は漏えいを確認していないと説明しています。

※大和証券は件数が小さく見えますが、証券口座の番号を含むため危険度は別の話です。

件数より怖いのは「漏れた情報の中身」

ニュースは「◯◯万件」という数字を大きく報じますが、お金を守る視点では件数より中身が重要です。漏えいした情報は、危険度でだいたい3段階に分かれます。

レベル1メールアドレス・氏名・電話番号だけ。これは「迷惑メールや詐欺メールの宛先リストに載る」段階です。被害は、あやしい連絡が増えること。ここで止まれば、無視していれば実害は出ません。

レベル2住所・生年月日・会員番号・購入履歴まで入ったもの。ここからが本題で、「本人しか知らないはずの情報」を相手が握った状態になります。詐欺の電話で「ご住所は◯◯、ご登録は◯年◯月ですよね」と言われたら、ほとんどの人は本物だと思ってしまいます。これが詐欺の成功率を一気に上げます。

レベル3パスワード（ハッシュ化含む）と、運転免許証などの本人確認書類の画像。ここが最悪で、タイムズカーの約160万件がこのレベルでした。本人確認書類の画像があれば、第三者があなたになりすまして口座を開いたり、サービスに登録したりできてしまう可能性があります。

つまり、「どこから漏れたか」より「自分のどの情報が、どのレベルで漏れたか」を考えるのが正しい使い方です。レベル3に当たる心当たりがある人（タイムズカー会員だった、どこかに免許証の写真をアップしたことがある）は、この記事の対策をぜんぶやる価値があります。

金融庁が10月9日に緊急の注意喚起を出した

2026年10月9日、金融庁は金融機関に対してサイバーセキュリティ対策の再点検を要請しました。ポイントは2つあります。

1つ目は、「本人確認書類の画像」による本人確認（いわゆる eKYC のホ方式など）をやめて、ICチップの読み取りに一本化する時期を前倒しするよう求めたこと。もともと2027年4月に廃止予定だったものを、「施行日を待たず、可及的速やかに」対応せよという内容です。対象は銀行・証券だけでなく暗号資産交換業者も含みます。

2つ目は、既存のサイバーセキュリティガイドラインの遵守と、同日に内閣官房の国家サイバー統括室が出した注意喚起を踏まえた点検です。

ここで誤解しやすいのが、「運転免許証が本人確認に使えなくなる」わけではないということ。廃止されるのは「免許証を写真に撮って送る方式」で、ICチップを読み取る方式なら引き続き使えます。むしろ画像が流出して悪用される事件が相次いだので、画像方式をやめる方向に動いた、という流れです。

私たち利用者の側からすると、この要請は「免許証の画像を送れと言ってくる手続きは、今後どんどん減っていく」という目印になります。逆に言えば、これから「本人確認のため免許証の写真を送ってください」と連絡してくる相手は、怪しさが一段上がったと考えていいわけです。

ワッピー

じゃあ、漏れちゃった人はどうすればいいの？

ワッシー

漏れた情報は取り戻せない。だから「使われ方」をふさぐんだ。悪い人が情報をお金に変えるルートは、だいたい3つしかないからね。

漏えいした情報はこう悪用される【3つのルート】

対策を考える前に、攻撃側の動きを知っておくと優先順位がはっきりします。漏えいした個人情報がお金に変わるルートは、大きく3つです。

ルート1：情報漏えい便乗詐欺（いま最も危ない）

漏えいが大きく報道された直後にいちばん増えるのが、「漏えいの対応」を装った詐欺です。典型的な文面はこうです。

怖いのは、相手が本物の情報を持っている点です。「◯◯様ですね。ご住所は◯◯、カード末尾は◯◯◯◯でお間違いないですか」と言われると、「そこまで知っているなら本物だ」と思ってしまいます。これが漏えい後の詐欺が刺さる理由です。

覚えておくべき原則は1つだけ。金融機関・カード会社・役所が、電話やメールで暗証番号やワンタイムパスワードを聞くことは絶対にありません。「本人確認のために暗証番号を」と言われた時点で、相手が偽物だと確定します。例外はありません。

また、補償や返金の話が出たら、いったん電話を切って自分で公式サイトを調べて、自分からかけ直す。相手が言った番号にかけ直すのはNGです。かけ直し先ごと偽物の可能性があります。

ルート2：リスト型攻撃（パスワードの使い回しが命取り）

次に多いのが、漏れた「メールアドレス＋パスワード」の組み合わせを、別のサイトで片っ端から試す攻撃です。リスト型攻撃、またはパスワードリスト攻撃と呼ばれます。

ここで効いてくるのが、使い回しです。たとえば通販サイトから漏れたパスワードが、たまたまネット証券と同じだったら、攻撃側は何の苦労もなく証券口座にログインできてしまいます。本人は「証券会社からは漏れていないのに、なぜ？」となりますが、漏れたのは別のサイトだったという話です。

実際、2025年には国内のネット証券で不正アクセスによる不正取引が相次ぎ、勝手に株を売られて中国株などを買い付けられる被害が大量に発生しました。入口の多くは、フィッシングで奪われたIDとパスワード、そして使い回しでした。

対策は単純で、パスワードを1サイト1つにすること。これだけでルート2はほぼ消えます。人間が覚えられる数ではないので、パスワード管理アプリかブラウザの標準機能を使うのが前提です。

ルート3：本人確認書類の画像による「なりすまし」

3つ目が、免許証やマイナンバーカードの画像が漏れたケースです。画像だけで通る本人確認がまだ残っているため、第三者があなたの名前で後払いサービスやアカウントを作る、といった悪用の可能性があります。

これは個人の努力では止めにくく、だからこそ金融庁が「画像での本人確認をやめろ」と前倒しを求めたわけです。利用者側でできるのは、

• 免許証やマイナンバーカードの写真を、LINEやメール、クラウドに置いたままにしない
• どうしても提出が必要なときは、提出先が正規の事業者か、ICチップ読み取りに対応しているかを確認する
• 身に覚えのない請求・督促・郵便が来たら、無視せず発行元に直接確認する

この3つくらいです。あとは、後述する「お金が動く出口をしぼる」対策で被害額を小さくするのが現実的な守りになります。

今すぐやる個人情報漏えい対策7つ【優先順位つき】

ここからが本題です。全部やるのがベストですが、時間がない人は対策1と対策2だけでも今日やってください。効果の大きさが段違いです。

対策1：パスワードの使い回しをやめる【最優先】

いちばん地味で、いちばん効きます。やることは「重要なサイトのパスワードを、ぜんぶ別々にする」だけです。

優先順位は、①ネット証券・銀行 → ②メール（Gmailなど） → ③Apple ID・Googleアカウント → ④クレカ・決済アプリ → ⑤通販サイトの順。ここで意外と抜けるのが②と③です。メールを乗っ取られると、ほかのサービスのパスワード再設定メールを全部受け取れてしまうので、メールは実は証券口座と同じくらい重要です。

Apple IDとGoogleアカウントも同格です。パスキー（顔・指紋でログインする仕組み）をスマホに預けていると、Apple IDやGoogleアカウントを乗っ取られた時点で、そこに入っているパスキーも使われてしまう可能性があります。実際、SBI証券は2026年10月初旬に「パスキーを設定していても、Apple・Googleのアカウントを乗っ取られて口座が狙われるケースがある」と警告を出しています。土台のアカウントこそ、強いパスワード＋2段階認証で固めてください。

管理方法は、パスワード管理アプリ（1Password、Bitwardenなど）か、iPhoneの「パスワード」アプリ、Googleパスワードマネージャーで十分です。紙のノートでも、使い回しをやめるという目的なら機能します。大事なのはツールではなく「同じパスワードを2回使わない」ことです。

パスワードの作り方は、長さが命です。記号を混ぜた8文字より、意味のない単語を4つつなげた16文字以上のほうが強く、しかも覚えやすい。管理アプリを使うなら自動生成に任せてしまえば考える必要もありません。

対策2：証券口座をパスキー＋ログインパスワード無効化にする【最優先】

投資をしている人にとって、ここが一番の守りどころです。証券口座は、残高がそのまま奪える金額になるので、攻撃側から見ていちばん「おいしい」標的です。

基本の考え方は「パスワードで入れるルートを消す」。パスキーを設定しても、ユーザーネーム＋パスワードで入れるルートが生きていたら、フィッシングでパスワードを奪われた時点で突破されます。だから、パスキーを設定したうえでパスワードでのログインそのものを無効化するのが正解です。

SBI証券には「ログインパスワード無効設定」という項目があり、これをオンにするとパスキー以外のログインがブロックされます。さらに「アプリ・ツールのログイン制限設定」で使っていないアプリからのログインを止めれば、攻撃面はかなり小さくなります。具体的な手順は次の章でまとめました。

加えて、取引パスワード（注文時のパスワード）はログインパスワードと別のものにすること。ここを同じにしている人がけっこういます。ログインを突破されても、取引パスワードが違えば売買を止められる可能性が残ります。

対策3：お金の「出口」をしぼる

乗っ取られた前提で、被害額を小さくする設計です。攻撃側は最後に必ず「お金を外に出す」必要があるので、そこを狭くしておくと効きます。

やることは3つ。①出金先の銀行口座を自分名義の1つに固定しておく、②ネットバンキングの1日あたり振込上限を、生活に必要な額まで下げる、③使っていない口座・使っていないカードは解約する。

特に②は効果が大きいのに、やっている人が少ない設定です。多くのネット銀行は初期設定で上限がかなり高くなっています。「普段の振込は月に数回、多くても30万円」という人なら、上限を50万円に下げておけば、万が一のときの被害額に天井ができます。上げるのはいつでも数分でできるので、不便になりません。

③の「使っていない口座」も地味に重要です。残高が少なくても、本人確認済みの口座は詐欺の受け皿として価値があります。ログインもしていない口座が放置されているなら、この機会に閉じてしまいましょう。

対策4：メール・SMSのリンクは踏まない【意識だけで0円】

技術的な対策をどれだけしても、本人がフィッシングサイトでパスワードを入力したら終わりです。そこで、行動のルールを1つに決めてしまうのが確実です。

ルールはこれだけ。「お金に関係するサイトには、メールやSMSのリンクからは絶対に入らない」。入るのは、自分がブックマークしたURL、または公式アプリから。これを例外なしで守ると、フィッシング被害はほぼゼロになります。

実際のメールが本物だったとしても、リンクを踏まずに公式アプリから入れば、同じお知らせが必ず中にも表示されています。だから「リンクを踏まない」で損をすることはありません。急かす文面（「24時間以内に」「本日中に」「凍結されます」）が入っていたら、それ自体が詐欺のサインです。

ドメイン（URLの住所部分）を見分ける方法もありますが、最近は本物とほぼ見分けがつかない偽サイトが普通にあります。見分ける勝負に乗らず、そもそもリンクを踏まない運用にしたほうが強いです。

対策5：クレカの利用通知をオンにして、月1で明細を見る

漏えいのあと、カードの不正利用は「小さな金額のテスト決済」から始まることが多いです。数百円の見慣れない決済が通るかを試して、通ったら一気に大きく使われます。

だから、カードアプリの利用通知（即時通知）を必ずオンにする。使った瞬間にスマホに通知が来る状態にしておけば、自分の決済でない通知にすぐ気づけます。これはほぼ全てのカード会社で無料です。

そして月に1回、明細をざっと見る。身に覚えのない決済があれば、すぐカード会社に連絡してカードを止めます。不正利用は原則、カード会社の補償対象ですが、気づくのが遅れると補償の対象外になる期限（多くは60日程度）を超えてしまいます。早期発見が補償を受けるための条件でもあるわけです。

ネット専用のバーチャルカードや、使い切りの番号を発行できるカードを通販用に使うのも有効です。番号が漏れても、その番号を止めれば本体のカードは生き残ります。

対策6：自分の情報が漏れていないかを定期チェックする

「自分は対象なのか」を調べる方法もあります。

いちばん手軽なのは、ブラウザやスマホに入っているパスワードの点検機能です。iPhoneなら「設定 → パスワード → セキュリティに関する勧告」、Chromeなら「設定 → 自動入力とパスワード → パスワードチェックアップ」。漏えいが確認されたパスワードや使い回しが一覧で出てくるので、出てきたものから順に変えていけば効率的です。

それから、漏えいを公表した企業は必ず自社サイトにお知らせを出し、対象者には個別に連絡するとしています。だから、「自分が対象か」を調べるときも、その企業の公式サイトを自分で開いて確認する。検索結果の広告や、届いたメールのリンクから入らないのが鉄則です。

会員登録しているサービスの棚卸しも、この機会にやる価値があります。もう使っていない通販サイトやアプリは退会する。ただし、タイムズカーの事例では退会者の情報まで残っていて漏えいしたことがわかっています。退会しても過去の情報が消えるとは限らないので、「これ以上増やさない」ための対策と考えるのが正しい見方です。

対策7：家族（親・子ども）の設定も見る

自分の設定を固めても、家族が突破されると家計としては同じダメージです。特に注意したいのが、高齢の親と、スマホを持ったばかりの子どもです。

親に対しては、「銀行・証券・役所から電話で暗証番号を聞かれることは絶対にない」という1点だけを、繰り返し伝えてください。細かい技術の話より、これ1つを徹底したほうが効きます。あわせて、固定電話に留守番電話を設定しておく（知らない番号は取らない）、警告表示が出る機種に変える、といった物理的な対策も有効です。

子どもには、ゲームやSNSのパスワードを学校・習い事・誕生日から作らないこと、そして「IDとパスワードを友だちに教えない」ことを教えておきます。これはお金の話というより、将来の口座管理の練習です。こどもNISAのように子ども名義の資産を持つ時代になるので、早めに慣れておく価値があります。

コッコ

対策7つって多くないですか……全部できる気がしません。

ワッシー

全部やらなくていいよ。1番と2番だけで、被害の入口はほとんどふさげるんだ。残りは週末にゆっくりでいい。

ワッピー

よかった！じゃあ今日はパスワードと証券口座だけやる！

証券口座を守る設定【SBI証券・楽天証券】

投資をしている人向けに、いちばん大事な部分を具体的にまとめます。ここは10分で終わるのに、守れる金額がいちばん大きい作業です。

SBI証券でやるべき3つの設定

1パスキー認証を設定する。ログイン後、My設定 → セキュリティ関連 → パスキー認証の設定へ。顔認証や指紋認証でログインできるようになり、IDとパスワードの入力が不要になります。パスワードが漏れてもログインされにくくなる、いわゆるリアルタイムフィッシングにも有効な対策です。

2ログインパスワード無効設定をオンにする。My設定 → 各種サービス → セキュリティ関連 → ログインパスワード無効設定。これが本命です。ユーザーネーム＋ログインパスワードで入るルートそのものを消せるので、パスワードが流出していても、それだけではログインできません。パスキーを設定した人向けの設定なので、必ず1の後にやってください。

3アプリ・ツールのログイン制限を設定する。株アプリ、米国株アプリ、HYPER SBI2など、自分が使っていないアプリやツールからのログインを止めます。使っていない窓を閉めるイメージで、守る場所を減らせます。あわせてFIDO（スマホ認証）を設定すると、アプリ側でもスマホの生体認証が必要になります。

スマホの操作が苦手な人や家族には、電話番号認証という選択肢もあります。ログインのたびに電話がかかってくる手間はありますが、Web・PCツール・アプリのすべてに効き、フィッシングにも強い設定です。

楽天証券でやるべき設定

楽天証券も考え方は同じで、①ログイン追加認証（パスキー・生体認証）を設定する、②ログイン通知メールをオンにする、③出金先口座を自分名義に固定するという順番です。

そして楽天の場合は、楽天IDそのものの守りが同じくらい大事です。楽天市場・楽天カード・楽天銀行・楽天証券が1つのIDでつながっているので、楽天IDのパスワードが使い回しだと、被害が一気に広がります。楽天IDは必ず他のサービスと違うパスワードにして、2段階認証を入れてください。

緊急時の動きも先に知っておくと強いです。楽天証券は、乗っ取りが疑われるときにフリーダイヤル（0120、原則24時間）で「ログインを含むすべてのお取引の制限」をかけられます。ログイン・投信売買・積立・国内株・外国株・出金のすべてを止める措置です。番号は公式サイトで確認して、スマホに登録しておきましょう。

「乗っ取られたかも」と思ったときの初動3ステップ

口座を持っていない人や、これから分散先として口座を増やす人向けに、セキュリティ設定が充実している大手ネット証券2社を挙げておきます。どちらも無料で、口座を分けておくこと自体がリスク分散になります。

やってはいけないNG行動5つ

対策と同じくらい大事なのが、「やらないこと」です。漏えい後にやりがちな失敗を5つ挙げます。

NG1：届いたメール・SMSのリンクからログインする。本物に見えても踏まない。公式アプリかブックマークから入る、を例外なしで。

NG2：電話で暗証番号・ワンタイムパスワード・口座番号を伝える。相手が住所やカード末尾を知っていても関係ありません。知っているのは、情報が漏れているからです。

NG3：かかってきた番号にかけ直す。折り返し先ごと偽物の可能性があります。必ず自分で公式サイトを調べて、自分からかけ直す。

NG4：「補償金の受け取り口座」を登録する。漏えいの補償は、企業が商品券やQUOカードを郵送するか、既存の支払い方法で行うのが基本です。新たに口座やカード情報を入力させる補償案内は詐欺と考えてください。

NG5：乗っ取りに気づいて、先に自分でパスワードだけ変える。気持ちはわかりますが、相手がログイン中なら間に合いません。まず電話で取引を止めるのが正解です。順番を間違えると、その間に売却・出金まで進むことがあります。

よくある質問

Q. 漏えいしたと言われても、実害がなければ何もしなくていい？
A. メールアドレスと氏名だけなら、迷惑メールが増える程度で済むことが多いです。ただしパスワードや本人確認書類の画像が含まれていた場合は、放置はおすすめしません。パスワードの変更と、証券・銀行の設定見直しはやっておきましょう。

Q. マイナンバーカードを使うのは危なくない？画像が漏れる事件が起きているのに。
A. 今回金融庁が求めているのは「画像を送る方式をやめて、ICチップを読み取る方式にする」という変更です。ICチップの読み取りは、券面の画像をどこかに保管する必要がないので、保管されたデータが漏れるリスクそのものを減らせます。カードを持ち歩くこと自体のリスクは別問題として、画像方式より安全性が高い方向への移行だと理解しておけば十分です。

Q. パスキーを設定していれば安全ですか？
A. パスワードより大幅に安全ですが、万能ではありません。パスキーの保管先であるApple IDやGoogleアカウントが乗っ取られると、そこから口座を狙われるケースが報告されています。パスキー＋土台のアカウントの2段階認証＋ログインパスワード無効化、の3点セットで考えてください。

Q. 情報が漏れた企業に損害賠償を請求できますか？
A. 実際に被害が出た場合は請求の対象になり得ますが、個人が単独で動くのは負担が大きいです。まずは企業の公表するお知らせと対応（お見舞い金、モニタリングサービスの無償提供など）を確認し、金銭的な被害が出たならカード会社や金融機関の補償制度、消費生活センター（188）への相談から入るのが現実的です。なお、個別の判断は専門家に相談してください（私は弁護士ではありません）。

Q. 投資はやめたほうがいい？
A. 乗っ取りが怖いからといって現金に戻すのは、別のリスク（インフレで目減りする）を取ることになります。守りの設定を固めて投資は続ける、が基本です。どれくらい資産が増える前提で設計するかは、NISA積立シミュレーターで一度試算してみてください。

まとめ｜漏れた前提で、出口をふさぐ

2026年10月の個人情報漏えいラッシュで、はっきりしたことがあります。それは「漏れないようにする」のは企業側の仕事で、私たちにできるのは漏れた情報が使われるルートをふさぐことだということです。

ニュースを見て不安になった日こそ、設定を変える絶好のタイミングです。15分で終わる作業で守れる金額を考えれば、これほど時給の高い作業はありません。今日のうちに、パスキーとログインパスワード無効設定だけでも片づけてしまいましょう。