岩井コスモ証券、委託先への攻撃で5口座に意図しない売買

西日本新聞meの報道によると、岩井コスモ証券は、インターネット取引システムの運用を委託する先へのサイバー攻撃により、顧客の意図しない売買が起き、5口座で取引が成立したと発表しました。同社の担当者は、委託先の売買管理システムに直接侵入されたと説明したと報じられています。記事は、不正アクセスが14日に検知されたとも伝えていますが、抜粋では月や年、遮断までの経過は分かりません。AIが攻撃に使われた可能性も報じられていますが、確定した事実や証券会社の発表内容としては確認されていません。

要は、委託先のシステムへの攻撃で5口座の意図しない取引があったと証券会社が発表し、侵入の詳しい経緯やAI利用は報道上も可能性の段階です。

Xでは、パスキーなどの認証の先にある売買管理システムが弱くて不正注文が起きた、個人では防げないから岩井コスモ側の強化しかない、他社でも起きないかという心配が見られたよ。委託先が他の証券にも同じシステムを出しているので金融庁が聞き取りに入った、という前提で波及を気にする声や、人にはできないレベルでAIが使われた可能性があり政府が調査を要請した異例だ、という共有もあったよ。確認できた投稿の範囲だけどね。

これって、家の玄関の鍵をどれだけ頑丈にしても、勝手口の裏庭から直接リビングに入り込まれちゃったみたいな話じゃない？

もし「認証をすっ飛ばしてシステムそのものに入られた」っていう前提が本当なら、私たちがいくらパスワードを複雑にしたりパスキーを設定したりしても、手前でできる自衛の限界を一気に飛び越えられちゃう感覚があるよね。読んでいる人たちも「じゃあ自分の口座も知らないうちに勝手に売り買いされてるんじゃ…？」って背筋が寒くなっていそう。

それに「AIが使われたかも」なんて聞くと、映画みたいに機械が超スピードで弱点を探して一瞬で侵入したのかなって想像が膨らんじゃうけど、まだ報道で可能性が触れられている段階だから、実際にどこまで本当なのか気になるところだよね。

あたしもXの声にけっこう頷いちゃった。パスキーとか二段階認証とか、利用者側はちゃんと頑張ってるのに、その先の売買管理システム自体が弱かったら、個人にできることってほぼないじゃん。だから「岩井コスモ側が強化するしかない」って意見、めちゃくちゃ現実的だと思う。

しかも委託先が他の証券会社にも同じシステムを出してるなら、他社でも同じことが起きるんじゃないかって心配になるのは当然だよね。金融庁が聞き取りに入ったっていう話が出てるのも、そこを気にする人が多い理由だと思う。自分の口座がある会社が同じ委託先を使ってたらって考えると、ちょっと落ち着かない。

AIが使われたかもっていう話も、人にはできないレベルの侵入だったって受け止め方、わかる気がする。政府まで調査を求める異例の事態って聞くと、これまでの感覚で「うちは大丈夫」とは言えないよね。

あとテレビで証券会社の人のコメントばっかりで、システムに詳しい人の話が聞けてないんじゃないかっていう指摘も、あたしは同感。本当に知りたいのは、どこがどう弱かったのか、なんだよね。

俺っちが引っかかるのは、そもそも「口座」の話に見えて、実は狙われたのが委託先の売買管理システムだって点よ。報道では担当者が直接侵入されたと述べ、AIで総当たりを仕掛けた可能性にも触れているが、これは可能性の段階。客が見てる玄関より、裏で回してる帳場の方が薄かった、なんて絵を俺っちは想像しちまう。ただ、あくまで想像だがな。

ご自身で認証を固めても防げないのでは、というご不安はもっともでございます。ただ、「認証が無意味」「人には不可能なAI攻撃」とまで進めるには、材料を分ける必要がございます。

利用者側の限界と他社への波及は、別々に確かめるべき問いです。金融庁の聞き取りの範囲や、AI利用を裏付ける技術的証拠は、今回読めた公式資料では確認できません。第三者による侵入経路と点検範囲の検証が出れば、判断を進められましょう。