★☆★JNSAメールマガジン 第320号 2025.9.5☆★☆
2025/09/05 (Fri) 15:30
★☆★JNSAメールマガジン 第320号 2025.9.5☆★☆
こんにちは
JNSAメールマガジン 第320号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンはJNSA フェロー 松本 泰様にご寄稿いただきました。
【連載リレーコラム】
【第2回】
証券口座乗っ取り問題（2）
──「分断された対策をつなげる。フィッシング耐性と制度の再設計」
NPO JNSA フェロー 松本 泰
前回は、証券口座乗っ取り問題と偽造キャッシュカード事件との類似性、
そして預金者保護法が果たしてきた制度的な役割について勉強会資料(※1)を
ベースに解説しました。
今回は、2025年7月15日に金融庁が公表した「金融商品取引業者等向けの
総合的な監督指針」等の一部改正（案）（※2）と、同日に公表された日本証券
業協会の「インターネット取引における不正アクセス等防止に向けたガイド
ライン（案）」(※3)をもとに、フィッシングへの対策とその限界、さらには
国際的な潮流を踏まえた課題の整理を行います。改成案は、証券口座乗っ取り
問題を踏まえたものだと考えられますが、証券業界、金融業界のみならず、
インターネット上の様々なサービスのためのセキュリティ対策の一つの基準を
示すことになる可能性も高く、注目に値するものになります。
監督指針改定案では、次の二つが注目点となります。
1）フィッシング耐性のある多要素認証の導入
2）フィッシング詐欺等による被害の未然防止のための措置
（2）フィッシング耐性のある多要素認証とは
監督指針改定案では、サイバー攻撃の高度化を受けて「フィッシングに耐性の
ある多要素認証」の導入が求められています。ここで重要なのは、単に「複数の
要素を用いた認証」では不十分であり、中継型フィッシングやリアルタイム
フィッシングといった攻撃手法に有効かどうか、つまり"フィッシング耐性"を
備えているかどうかが問われているという点です。
この「フィッシング耐性（phishing resistance）」という概念は、米国NISTが
2025年7月に公表したSP 800-63B Revision 4(*4)に詳しく記されています。
ご関心のある方は、そちらをご参照いただくとよいでしょう。
さらに、フィッシング耐性を備えた認証方式を導入することは、証券会社等に
とって、万が一の被害発生時における「利用者の過失の有無」の判断をより
明確に立証しやすくなるという意味においても、非常に重要です。
したがって、導入にあたっては技術的な観点だけでなく、責任関係の明確化を
見据えた運用の観点も含めて検討する必要があります。ここでも、NISTガイド
ラインは有用な参考資料となるでしょう。
（3）未然防止のための措置は、誰が担うのか
同じく監督指針では、「フィッシング詐欺等による被害の未然防止のための
措置」が求められています。これは、証券会社や金融機関が、利用者の誤認を
前提とした攻撃に対して「利用者保護の観点から何をすべきか」を問うものです。
しかし、フィッシングメールや偽サイトは、通信インフラやドメインの悪用、
検索エンジンや広告の誘導など、複数の関係者をまたぐ形で展開されています。
このため、金融機関などの努力だけでは攻撃の"入口"を遮断することができない
という、構造的な課題が横たわっています。
また、指針では「利用者がアクセスしているウェブサイトが真正であることの
証明を確認できるような措置」を講じるよう求めていますが、これは現実的には
極めて困難な要請とも考えられます。
真正なサイトは一つでも、偽サイトは数十・数百といった規模で量産が可能に
なっているという異常とも言える現状のなかで、利用者が正規性を見抜くことを
前提とするのは無理があるとも言えます。また、同様に送信ドメイン認証に対応
した偽メールサーバも増加しています。
このような状況に対しては、金融機関などにおける対策のみならず、社会全体と
しての連携した対応が求められています。
（4）欧州の動向に学ぶ：制度と技術の二段構え
欧州では、「利用者がアクセスしているウェブサイトが真正であることの証明を
確認できるような措置」に対して、2024年に成立したeIDAS規則2.0(*5)の45条で
「ウェブブラウザプロバイダーは、証明書（QWAC：Qualified Website Authenti
cation Certificates）で証明されたアイデンティティデータと追加の証明され
た属性がユーザーフレンドリーな方法で表示されることを保証する必要がある」
といったウェブサイトが真正であることの証明の制度的対応を行おうとして
います。ここで「追加の証明された属性」は、例えば、正当な金融機関である
ことの「属性証明」になります。
この45条は、eIDAS規則2.0の成立の過程において大きな議論を引き起こしており、
その実現において課題が多いことも事実ですが、こうした議論が日本では皆無
なのはなぜなのでしょうか。それは、フィッシングを防ぐための根本的な議論が、
個別にしか考えられていないためではないでしょうか。
（5）いま求められる多角的な議論
このように、証券口座乗っ取り問題に代表されるフィッシング攻撃などへの対応には、
1. 認証技術の高度化（フィッシング耐性）
2. セキュリティ監視体制の整備
3. 多プレイヤー連携による流通対策
4. 制度的枠組みの整備（補償や責任、ウェブサイト証明）
といった、複数の観点が同時に求められます。これは、20年前に金融庁が設置
した「偽造キャッシュカード問題に関するスタディグループ」が行ったような、
多角的かつ本質的な課題解決を目指す議論が、今こそ必要なのではないでしょうか。
金融業界、証券業界だけでなく、通信事業者、IT企業、行政、そして利用者保護
の視点を持つ団体など、関係する幅広い主体による共通課題の整理と、持続的な
制度設計の議論が待たれています。
証券口座乗っ取り問題は、単なる「技術的対策の遅れ」の問題ではなく、現代的
なサイバーリスクと制度設計のギャップが生み出した"複合問題"だと考えられます。
今こそ、個別最適から抜け出し、「信頼」という社会基盤を再構築するための
本質的な議論を、私たち自身の手で始めるべき時ではないでしょうか。
【注記】
1： NPO JNSA社会活動部会主催の勉強会資料
https://www.jnsa.org/result/act/data/jnsaact_20250729.pdf
2： 金融庁「金融商品取引業者等向けの総合的な監督指針」等の一部改正（案）
https://www.fsa.go.jp/news/r7/shouken/20250715/20250715.html
3： 日本証券業協会の「インターネット取引における不正アクセス等防止に向けた
ガイドライン」 の改正について（案）
https://www.jsda.or.jp/about/public/bosyu/files/20250715_guideline_public.pdf
4： NIST SP 800-63B-4
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.pdf
5： eIDAS規則2.0
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02014R0910-20241018
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/dj5khpej
※googleアンケートフォームを利用しています。
【イベントのお知らせ】
★「2nd AJCCA Conference 2025 in Tokyo」の参加受付を開始しました。
2025年10月10日（金）東京大学弥生講堂一条ホールにて開催！！
https://www.jnsa.org/ajcca/
★「国産セキュリティ推進フォーラム2025」の参加受付を開始しました！
2025年10月29日（水）14:00－17:00経済産業省 別館7階（通称：ベツナナ）にて開催です。
https://www.jnsa.org/seminar/kouryu/nsi/20251029/
【部会・WGからのお知らせ】
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
JNSAホームページをご確認ください
https://www.jnsa.org/
【事務局からのお知らせ】
★社会活動部会 中小企業支援施策ワーキンググループが「SECURITYACTION
宣言事業者（二つ星）における 情報セキュリティ自社診断の実態調査」を公開しました。
https://www.jnsa.org/result/act/index.html
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に実際に足を運んで御相談下さい！！
★セキュリティにまつわる課題解決を支援！「JNSAソリューションガイド」
JNSAの会員企業が取り扱うネットワークセキュリティに関する製品やサービス、
イベント情報などをご紹介しています。是非お役立てください！
https://sg.jnsa.org/
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第320号
発信日：2025年9月5日
発 行：JNSA事務局 sec@jnsa.org
*************************************
こんにちは
JNSAメールマガジン 第320号 をお届けします。
メールマガジンはJNSAのホームページでもご覧いただけます。
JNSAメールマガジン https://www.jnsa.org/aboutus/ml.html#passed
コラム最後にワンクリックアンケートがあります。
ぜひこのコラムの感想をお寄せください。
今回のメールマガジンはJNSA フェロー 松本 泰様にご寄稿いただきました。
【連載リレーコラム】
【第2回】
証券口座乗っ取り問題（2）
──「分断された対策をつなげる。フィッシング耐性と制度の再設計」
NPO JNSA フェロー 松本 泰
前回は、証券口座乗っ取り問題と偽造キャッシュカード事件との類似性、
そして預金者保護法が果たしてきた制度的な役割について勉強会資料(※1)を
ベースに解説しました。
今回は、2025年7月15日に金融庁が公表した「金融商品取引業者等向けの
総合的な監督指針」等の一部改正（案）（※2）と、同日に公表された日本証券
業協会の「インターネット取引における不正アクセス等防止に向けたガイド
ライン（案）」(※3)をもとに、フィッシングへの対策とその限界、さらには
国際的な潮流を踏まえた課題の整理を行います。改成案は、証券口座乗っ取り
問題を踏まえたものだと考えられますが、証券業界、金融業界のみならず、
インターネット上の様々なサービスのためのセキュリティ対策の一つの基準を
示すことになる可能性も高く、注目に値するものになります。
監督指針改定案では、次の二つが注目点となります。
1）フィッシング耐性のある多要素認証の導入
2）フィッシング詐欺等による被害の未然防止のための措置
（2）フィッシング耐性のある多要素認証とは
監督指針改定案では、サイバー攻撃の高度化を受けて「フィッシングに耐性の
ある多要素認証」の導入が求められています。ここで重要なのは、単に「複数の
要素を用いた認証」では不十分であり、中継型フィッシングやリアルタイム
フィッシングといった攻撃手法に有効かどうか、つまり"フィッシング耐性"を
備えているかどうかが問われているという点です。
この「フィッシング耐性（phishing resistance）」という概念は、米国NISTが
2025年7月に公表したSP 800-63B Revision 4(*4)に詳しく記されています。
ご関心のある方は、そちらをご参照いただくとよいでしょう。
さらに、フィッシング耐性を備えた認証方式を導入することは、証券会社等に
とって、万が一の被害発生時における「利用者の過失の有無」の判断をより
明確に立証しやすくなるという意味においても、非常に重要です。
したがって、導入にあたっては技術的な観点だけでなく、責任関係の明確化を
見据えた運用の観点も含めて検討する必要があります。ここでも、NISTガイド
ラインは有用な参考資料となるでしょう。
（3）未然防止のための措置は、誰が担うのか
同じく監督指針では、「フィッシング詐欺等による被害の未然防止のための
措置」が求められています。これは、証券会社や金融機関が、利用者の誤認を
前提とした攻撃に対して「利用者保護の観点から何をすべきか」を問うものです。
しかし、フィッシングメールや偽サイトは、通信インフラやドメインの悪用、
検索エンジンや広告の誘導など、複数の関係者をまたぐ形で展開されています。
このため、金融機関などの努力だけでは攻撃の"入口"を遮断することができない
という、構造的な課題が横たわっています。
また、指針では「利用者がアクセスしているウェブサイトが真正であることの
証明を確認できるような措置」を講じるよう求めていますが、これは現実的には
極めて困難な要請とも考えられます。
真正なサイトは一つでも、偽サイトは数十・数百といった規模で量産が可能に
なっているという異常とも言える現状のなかで、利用者が正規性を見抜くことを
前提とするのは無理があるとも言えます。また、同様に送信ドメイン認証に対応
した偽メールサーバも増加しています。
このような状況に対しては、金融機関などにおける対策のみならず、社会全体と
しての連携した対応が求められています。
（4）欧州の動向に学ぶ：制度と技術の二段構え
欧州では、「利用者がアクセスしているウェブサイトが真正であることの証明を
確認できるような措置」に対して、2024年に成立したeIDAS規則2.0(*5)の45条で
「ウェブブラウザプロバイダーは、証明書（QWAC：Qualified Website Authenti
cation Certificates）で証明されたアイデンティティデータと追加の証明され
た属性がユーザーフレンドリーな方法で表示されることを保証する必要がある」
といったウェブサイトが真正であることの証明の制度的対応を行おうとして
います。ここで「追加の証明された属性」は、例えば、正当な金融機関である
ことの「属性証明」になります。
この45条は、eIDAS規則2.0の成立の過程において大きな議論を引き起こしており、
その実現において課題が多いことも事実ですが、こうした議論が日本では皆無
なのはなぜなのでしょうか。それは、フィッシングを防ぐための根本的な議論が、
個別にしか考えられていないためではないでしょうか。
（5）いま求められる多角的な議論
このように、証券口座乗っ取り問題に代表されるフィッシング攻撃などへの対応には、
1. 認証技術の高度化（フィッシング耐性）
2. セキュリティ監視体制の整備
3. 多プレイヤー連携による流通対策
4. 制度的枠組みの整備（補償や責任、ウェブサイト証明）
といった、複数の観点が同時に求められます。これは、20年前に金融庁が設置
した「偽造キャッシュカード問題に関するスタディグループ」が行ったような、
多角的かつ本質的な課題解決を目指す議論が、今こそ必要なのではないでしょうか。
金融業界、証券業界だけでなく、通信事業者、IT企業、行政、そして利用者保護
の視点を持つ団体など、関係する幅広い主体による共通課題の整理と、持続的な
制度設計の議論が待たれています。
証券口座乗っ取り問題は、単なる「技術的対策の遅れ」の問題ではなく、現代的
なサイバーリスクと制度設計のギャップが生み出した"複合問題"だと考えられます。
今こそ、個別最適から抜け出し、「信頼」という社会基盤を再構築するための
本質的な議論を、私たち自身の手で始めるべき時ではないでしょうか。
【注記】
1： NPO JNSA社会活動部会主催の勉強会資料
https://www.jnsa.org/result/act/data/jnsaact_20250729.pdf
2： 金融庁「金融商品取引業者等向けの総合的な監督指針」等の一部改正（案）
https://www.fsa.go.jp/news/r7/shouken/20250715/20250715.html
3： 日本証券業協会の「インターネット取引における不正アクセス等防止に向けた
ガイドライン」 の改正について（案）
https://www.jsda.or.jp/about/public/bosyu/files/20250715_guideline_public.pdf
4： NIST SP 800-63B-4
https://nvlpubs.nist.gov/nistpubs/SpecialPublications/NIST.SP.800-63B-4.pdf
5： eIDAS規則2.0
https://eur-lex.europa.eu/legal-content/EN/TXT/?uri=CELEX%3A02014R0910-20241018
＃連載リレーコラム、ここまで
＜お断り＞本稿の内容は著者の個人的見解であり、所属団体及びその業務と
関係するものではありません。
＜ワンクリックアンケートお願い＞
今回のメールマガジンの感想をお寄せください。
https://tinyurl.com/dj5khpej
※googleアンケートフォームを利用しています。
【イベントのお知らせ】
★「2nd AJCCA Conference 2025 in Tokyo」の参加受付を開始しました。
2025年10月10日（金）東京大学弥生講堂一条ホールにて開催！！
https://www.jnsa.org/ajcca/
★「国産セキュリティ推進フォーラム2025」の参加受付を開始しました！
2025年10月29日（水）14:00－17:00経済産業省 別館7階（通称：ベツナナ）にて開催です。
https://www.jnsa.org/seminar/kouryu/nsi/20251029/
【部会・WGからのお知らせ】
★JNSA主催セミナー／イベントの動画・講演資料順次公開中！
JNSAホームページをご確認ください
https://www.jnsa.org/
【事務局からのお知らせ】
★社会活動部会 中小企業支援施策ワーキンググループが「SECURITYACTION
宣言事業者（二つ星）における 情報セキュリティ自社診断の実態調査」を公開しました。
https://www.jnsa.org/result/act/index.html
★JNSA事務局を騙った詐欺事件が発生しています。
当協会から個人の方へ金銭のご請求を行うことはございません。
お心当たりのある方は最寄りの警察署に実際に足を運んで御相談下さい！！
★セキュリティにまつわる課題解決を支援！「JNSAソリューションガイド」
JNSAの会員企業が取り扱うネットワークセキュリティに関する製品やサービス、
イベント情報などをご紹介しています。是非お役立てください！
https://sg.jnsa.org/
☆コラムに関するご意見、お問い合わせ等はJNSA事務局までお願いします。
sec@jnsa.org
☆メールマガジンの配信停止は以下URLの「解除」よりお手続き下さい。
配信停止連絡 <https://www.jnsa.org/aboutus/ml.html>
*************************************
JNSAメールマガジン 第320号
発信日：2025年9月5日
発 行：JNSA事務局 sec@jnsa.org
*************************************