PayPay証券、SIMスワップ詐欺による不正ログインに注意喚起|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年05月12日更新日時: 2026年05月12日

2026年5月8日、PayPay証券は、SIMスワップ詐欺を起点とした不正ログインや不正取引への注意喚起を公表しました。公式お知らせの検索表示では、同社は利用者に対し、PayPay証券から身に覚えのないログイン、パスワード変更、登録情報変更などの通知が届いた場合や、身に覚えのないログイン、取引、入出金、登録情報変更などがある場合には、問い合わせフォームから速やかに連絡するよう求めています。あわせて、不正アクセスや不正取引の疑いがある場合には、被害拡大防止のため、同社判断でログイン、取引、入出金などを一時的に制限する場合があると案内しています。

1 注意喚起の詳細
2 SIMスワップ詐欺とはどういう手口か
3 想定される攻撃シナリオ
4 利用者が取るべき対応

注意喚起の詳細

公式お知らせの検索表示から確認できる範囲では、PayPay証券が想定している異常の兆候は、身に覚えのないログイン、パスワード変更、登録情報変更、取引、入出金です。単にログインだけでなく、認証後に行われる資産移動や設定変更まで視野に入れた注意喚起になります

また、PayPay証券は同社のセキュリティ関連ページで、サービス開始当初からログイン時の多要素認証を必須としていると案内しています。さらに、パスキー認証も提供しており、端末内の生体認証やPINを使って、パスワードを入力せずにより安全にログインできる仕組みだと説明しています。

なお、現時点では不正アクセスによる被害は確認されていないとしています。

SIMスワップ詐欺とはどういう手口か

SIMスワップ詐欺は、攻撃者が携帯電話会社をだまして、被害者の電話番号を攻撃者側のSIMに移してしまうアカウント乗っ取り型の犯罪です。FBIの注意喚起では、攻撃者が電話番号を掌握すると、通話やSMSを受け取れるようになり、SMSベースの認証コードを使って金融口座や各種オンラインアカウントへアクセスされる危険があると説明されています。FTCも、SIMスワップは携帯、銀行、暗号資産などの口座にアクセスするために個人情報を狙う詐欺の一種だと注意喚起しています。

証券サービスとの相性が悪い理由は、電話番号が本人確認や異常検知、各種通知の起点になりやすいからです。もし攻撃者が電話番号の支配権を奪い、そのうえで別経路から会員IDやパスワード、登録メールなども押さえていれば、SMS認証や本人確認の一部を突破しながら不正ログインを狙う足場になります。

想定される攻撃シナリオ

考えられる流れとしては、まず攻撃者がフィッシングや漏えい済み情報、ソーシャルエンジニアリングなどで利用者の個人情報を集め、携帯電話会社に対してSIM再発行や回線移行を働きかけます。その後、被害者の電話番号を掌握したうえで、証券口座側のログイン、パスワード変更、登録情報変更、資金移動や取引を試みる形です。PayPay証券が、身に覚えのないログインや登録情報変更の通知に注意し、異常があれば問い合わせるよう求めているのは、この初期兆候を見逃さないためです

利用者が取るべき対応

PayPay証券の案内に沿えば、まず身に覚えのないログイン、取引、入出金、登録情報変更、パスワード変更の通知が届いた場合は、問い合わせフォームから速やかに連絡することが第一です。加えて、パスキー認証を有効化し、パスワード依存を減らすことも重要です。FBIやFTCも、SIMスワップ被害が疑われる場合は携帯電話会社、金融機関、関係アカウントの管理者へすぐ連絡し、パスワード変更などを実施するよう勧めています。

出典