金融庁、漏えい情報を使う偽メールの増加に注意 利用者に4つの要請

何が起きたのか

金融庁は2026年11月6日、金融機関の利用者に向けたお願いを公表しました。ネットに公開された顧客向けサービスや業務システムへの不正アクセスが相次ぎ、顧客情報などが漏れていることが背景です。同じ日に、サイバーセキュリティに関する関係閣僚会議が「サイバーセキュリティ緊急対策パッケージ」を決めました。政府はこれに基づいて対応を進めており、金融庁は利用者に、自分の財産を守るための協力を求めています。

同庁は、漏れた情報が悪用されると、実在の事業者や行政機関を装った巧妙な不審メールが今後さらに増える可能性があるとしています。件数や被害額は示していません。

利用者への4つのお願い

• メール内のリンクを安易に押さない
• パスワードを使い回さない
• フィッシング耐性のある多要素認証を使う
• 覚えのない取引の通知があれば、取引先の金融機関にすぐ連絡する

最初の項目にだけ理由が添えられており、漏れた情報が悪用されて偽メールが増える恐れがあるため、というものです。

フィッシング耐性のある認証とは偽のサイトでは働かない方式を指し、パスキーがその一例です。金融庁のページには、この項目に2026年4月16日付の別のページへのリンクが付いています。パスキーの始め方はパスキーの始め方 まず管理者のアカウントからで説明しています。

警察と委託先の漏えい

警察庁は10月23日に更新した「サイバー警察局便り」で、流出元の企業をかたる偽メールの可能性を挙げました。企業や団体には、ネットにつながる機器のソフトウェアの更新やパスワードの強さの確保など、基本的な対策の再確認を求めています。個人にはリンクを安易に押さないこと、パスワードを使い回さないこと、ワンタイムパスワードなどの多要素認証も有効であることを伝えており、流出元をかたる電話の可能性もあるとして、無料でできる詐欺電話対策の「警察庁推奨アプリ」をすすめています。少しでも不審なときの相談先として、サイバー犯罪相談窓口と、警察相談専用電話の「#9110」を案内しています。

広島県警は10月の注意喚起で、流出元の企業をかたる電話にも触れています。パスワードは15桁以上をすすめ、可能なら多要素認証やパスキーでさらに強めるよう案内しています。

身分証のデータが漏れたときは、信用情報機関へ「本人申告」をすると、不正な契約のリスクを減らせます。本人申告は、運転免許証などが漏えいなどの被害に遭ったとき、「第三者に悪用される恐れがある」という注意喚起を自分の信用情報に登録する制度です。機関は3つあり、記録される内容が違います。

• CIC：クレジットカード、ショッピングローン
• JICC：消費者金融の借入、カードローン
• KSC（全国銀行個人信用情報センター）：銀行ローン、住宅ローンなど

委託先の事故でも同じことが起きます。インターネットイニシアティブ（IIJ）は11月4日、メール配信を委託していたアララ株式会社のサービスへの不正アクセスにより、IIJmio を契約している人のメールアドレス98万3,458件が漏れたと公表しました。解約済みの人も含まれ、現在の契約者と解約者の内訳は示されていません。クレジットカード情報はメール配信でアララ社に渡していないため対象外としています。同社は、IIJ やそのサービスを装う不審なメールが届く恐れがあると伝えています。不正アクセスの時期や手口、ほかの項目が漏れたかどうかは、アララ社に確認中です。アララのサービスの事故はメール配信「アララメッセージ」に不正アクセス、約8,100万件が流出にもあります。

自社で決めておくこと

金融庁の4つのお願いのうち、中小企業が自社で決められるものは次のとおりです。

• 法人口座の取引通知（メールやアプリ）を誰が受け取り、覚えのない通知があったときに誰が銀行へ連絡するかを決める
• ネットバンキングがパスキーなどのフィッシングに強い認証に対応しているかを、取引先の銀行に確かめる
• メール配信などの委託先が漏えいを公表したら、そのサービスを装った偽メールに注意するよう、社内に伝える

金融庁のページには問い合わせ先として電話と、ウェブの問い合わせフォームが示されています。個人情報の流出に遭った人向けには、「個人情報流出の被害に遭われた方・ご心配のある方」という別のページも用意されています。