りくたろうXENO

【早朝コラム】証券口座はどこまで守れるのか。そして、我々は誰に怒ればいいのか。 おはようございます🙆‍♂️ 昨日は証券口座の乗っ取り対策と、被害に遭った場合の補償についてまとめました。 調べていくと、同じ「証券口座」でも会社によって仕組みや方針がまったく違うことが見えてきます。 今日は2本立てです。 ◆ ① 自分の証券口座、本当に守れている？ まず、皆さんにひとつ確認してほしいことがあります。 「パスキーを設定したから、もう安心」と思っていませんでしょうか。 パスキーは、偽サイトにパスワードを入力させて盗むような攻撃にめちゃくちゃ強い認証方式です。証券口座の乗っ取り対策として、各社が導入を進めています。 ただし、「パスキーが使えること」と「パスキー以外ではログインできないこと」は別です。 パスキー設定後も従来のログイン方法を残せる会社もあれば、必須にして他をシャットアウトできる会社もあります。取引や出金の際だけ別の認証を求める会社もあります。 もうひとつ、意外と知られていないのが「補償」のリアルです。 例えば、口座を乗っ取られて100万円分の株を勝手に売られた場合と、100万円分の知らない株を買われて大損した場合。 どちらも身に覚えのない被害ですが、補償の扱いが同じとは限りません。 さらに、被害が発生した時期や自分の認証設定によって、補償方針が変わるケースもあります。 「勝手に取引されたんだから、当然すべて元に戻るでしょ」とは言い切れないのが現実です。 そこで、主要10社について「パスキー以外のログインを止められるか」「緊急時に取引を止められるか」「乗っ取られた場合、どこまで補償されるか」を添付の4枚の図解にまとめました。 ここで一つ、大切な区別があります。 これらの補償方針は、主に「顧客の認証情報が盗まれて口座を乗っ取られた場合」の話です。 岩井コスモ証券の事例のように、証券会社側のシステム自体が攻撃されたケースとは事情が異なります。 パスキーを設定しても、会社側のシステムへの攻撃は防げません。 「自分で防げる被害」と「企業に守ってもらうしかない被害」。この二つを混同しないことが大切です。 ※画像の補償方針は各社の公表情報をもとにした比較です。実際の補償は個別事情を踏まえて判断されるため、記載された割合が必ず支払われることを保証するものではありません。 ◆ ② 我々は誰に怒ればいいのか 連日のように流れてくる情報漏洩やサイバー攻撃のニュース。 被害企業の発表を見るたび、なんとも言えないやりきれない気持ちになります。 企業にも言いたいことはあります。 明らかな脆弱性を放置する（タイムズのHPに見受けられました）。 T部門を軽視し、セキュリティ予算を削る。 その一方で、顧客の氏名や住所、本人確認書類は当たり前のように集めている。（ビッグデータ万歳！） 「守る気がないなら、最初から集めないでくれ」と言いたくなりますし、私もそのような発信をしてきました。 もちろん、すべての企業が対策を怠っていたわけではありません。十分な備えをしていても突破されてしまうことはあります。（FBIや米の防衛省が突破されるんですから） 政治や行政にしたって、犯罪の捜査や国際的な取り締まり、社会インフラの防衛など果たすべき役割があるでしょう。もっと何かできたと思います。 ただ、最近の報道を見ていて少し気になることがあります。 私たちはどうしても、身近で叩きやすい相手に怒りを向けてしまいがちです。 サービスが止まれば運営企業を責め、情報漏洩が起きればその企業を叩く。 でも、「被害に遭ったこと」と「対策を怠ったこと」はイコールではありません。危険を察知して一時的にサービスを止めることだって、立派な防御行動です。多くの企業や担当者が尽力したことは間違いないのです。 そもそもの話。他人の情報や財産を奪おうと企んでいるのは、犯罪者（攻撃者）です。 企業には預かった情報を守る責任がある。政府には社会を守る責任がある。 ですが、それらを追及することと、犯罪者の責任を曖昧にすることは全く別問題です。 攻撃者は姿が見えず捕まらないから、目の前にいる企業や担当者に怒りが集中してしまう。 そのやり場のない感情は理解できます。でも、本来の敵を見失いたくはありません。 怒りの矛先を間違えない、何としても世界の犯罪者に自分の個人情報を悪用されて、資産を奪われてはならない。そういう気構えに繋がってほしいんです。 ◆ 最後に 前回のコラムで「AIによって攻撃コストが下がる一方、守る側には現実の時間と膨大な費用がかかる」とお話ししました。 今後、企業も個人も、防御のためにいっそう多くの負担を強いられることになります。 冷静に考えると、本当に理不尽な話ですよね。 誰かが悪さをしようとするせいで、私たちがパスワードを変え、認証を増やし、不便に耐え、膨大なコストを払ってシステムを守らなきゃいけない。 「大切なものを絶対に奪わせない」という意思だけは、強く持ち続けたいものです。 不必要に怯えず、けれど無防備にはならず。今日も賢く自衛していきましょう🙆‍♂️ （※書きづらい本音：ハッカーが儲かるのが嫌すぎる。反社系の人間が連行される映像を見るたび、こんなやつに情報を悪用されるのは本当に嫌だなと思います。まぁ気色悪い話です。撃退していきましょう。） ーーーーー 皆さんは最近のサイバー攻撃や情報漏洩を見て、何に一番理不尽さを感じていますか？ 思ったことや気になったことがあれば、気軽にコメントや引用リポストで教えてもらえると嬉しいです。次のテーマの参考にさせていただきます。ご感想お待ちしています。