金融機関・フィンテック企業・資金移動業を狙う不正の手口と業態別の課題を整理し、入口・期中・出口の各フェーズで求められる対策を解説します。
金融機関・フィンテック企業・資金移動業を狙う不正被害が増える背景
金融機関・フィンテック企業・資金移動業を狙う不正は、手口の多様化と対象領域の拡大が続いています。被害件数・被害額は不正類型によって増減しますが、フィッシング、アカウント乗っ取り、不正口座、決済・口座連携の悪用など、複数の経路を横断した対策が求められています。
不正の被害規模と深刻な現状
警察庁によると、2025年中の不正アクセス行為の認知件数は7,190件で、前年比1,832件（約34.2%）増加しました。内訳では「インターネットバンキングでの不正送金等」が4,747件（66.0%）と依然最多を占めていますが、証券会社のインターネット取引サービスでの不正取引等も2件から1,484件（20.6%）へ急増しています 。
※出典：国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」令和8年3月12日公表 https://www.soumu.go.jp/main_content/001059979.pdf
クレジットカードの不正利用被害額は2024年に555億円と過去最高を記録しましたが、2025年は510.5億円で前年から減少しています。不正の種類ごとに増減の傾向は異なるため、一律に「増加」と捉えるのではなく、類型ごとの動向を踏まえた対策が必要です。
不正が巧妙化する背景
キャッシュレス化やインフラのデジタル化が進むほど、攻撃者にとっての「攻撃対象（タッチポイント）」も増えていきます。加えて、生成AIにより自然な文面や多言語のコンテンツを作成しやすくなったことで、フィッシングの巧妙化も想定する必要があります。
金融機関への不正手口
金融機関が特に注意すべき不正手口は次の通りです。
なりすまし・アカウント乗っ取り
SIMスワップ（携帯番号を攻撃者名義のSIMに不正に移す手口）や、他社から流出したID・パスワードを悪用するリスト型攻撃（クレデンシャルスタッフィング）によってアカウントが乗っ取られます。乗っ取り後は、口座からの不正送金や定期預金の解約、個人情報の抜き取りが行われるケースが典型的です。
フィッシング・スミッシングとリアルタイムフィッシング
SMSやメールで偽サイトへ誘導し、ID・パスワードやワンタイムパスワード（OTP）を盗み取る手口です。リアルタイムフィッシング（AiTM攻撃）も重要な脅威です。攻撃者は、利用者が入力した認証情報や認証後のセッション情報をリアルタイムで正規サイトに転用し、不正ログインや不正送金を試みます。従来のSMS等による二段階認証だけでは、この手口を防ぎきれない場合があります。
サポート詐欺・遠隔操作ソフトの悪用
パソコン画面に「ウイルスに感染した」などの偽警告を表示させ、電話をかけさせた上で正規の遠隔操作ソフトを導入させる手口です。被害者がバンキングサイトにログインした隙に、攻撃者が裏で遠隔から不正送金を実行します。
クラウド環境・エンドポイントへの不正アクセス
顧客情報を格納しているクラウドサービスへの不正侵入や、行員が使用する端末（PC・スマートフォン）へのマルウェア感染です。認証情報の使い回しや脆弱性を突かれ、エンドポイントがネットワーク全体の侵入の起点になるリスクがあります。
不正口座（トバシ口座）の開設・悪用
闇バイト等を通じて売買される「トバシ口座」（偽造身分証や他人名義で開設・買い取られた不正口座）が、不正送金の受け皿やマネー・ローンダリング（資金洗浄）に悪用されるケースが確認されています。
フィンテック企業・資金移動業への不正手口
フィンテック企業・資金移動業が特に注意すべき不正手口は次の通りです。
後払い決済（BNPL）不正
BNPLでは、なりすましや虚偽情報でアカウントを開設し、後払いで商品を購入して転売・換金する不正が問題になります。支払意思・支払能力を偽るケースのほか、盗用された本人情報の悪用、アカウント乗っ取り、配送先・受取人の不正といったリスクもあります。組織的な集団が大量のアカウントを作成して攻撃を仕掛けるケースも見られます。
口座連携・口座振替の脆弱性を突いた不正出金
銀行口座と決済・ウォレットサービスを連携する設計で、口座名義人とサービス利用者の本人性を十分に確認できない場合、第三者が不正に入手した口座情報を使って口座連携やチャージを試みるリスクがあります。口座連携時とチャージ時の双方で、銀行に登録済みの連絡先を活用した確認や、複数の認証手段を組み合わせることが重要です。
盗用クレジットカードによる不正チャージ
ダークウェブ等で流通する他人のクレジットカード情報を入手し、ウォレットアプリや決済アプリへ不正にチャージを行う手口です。盗用カード情報による不正チャージの後、換金性の高い商品・サービスの購入や、第三者への資金移転を通じて不正利益を得ようとするケースがあります。
プロモーション・キャンペーンの悪用
新規登録時のポイント還元や友達紹介クーポンなどの施策に対し、自動化ツール（Bot）を用いて架空アカウントを量産し、プロモーション原資を不正に搾取する手口です。
金融機関・フィンテック企業が取るべき不正対策
金融機関・フィンテック企業が取るべき不正対策は、「入口（口座・アカウント開設）」「期中（ログイン・送金・取引）」「出口（出金・送金先・換金）」の3つのフェーズに分けて設計することが重要です。
| フェーズ | 守る対象 | 実務上の対策例 |
|---|---|---|
| 入口 | 口座・アカウント開設、口座連携、カード登録 | eKYCの方式選定、ICチップ・JPKI活用、名義・連絡先照合、デバイス・電話番号・申込行動のリスク評価 |
| 期中 | ログイン、送金、チャージ、後払い購入、ポイント付与 | FIDO／パスキー、取引単位の追加認証、デバイス・行動・取引のリスク評価、速度・金額・受取人の異常検知 |
| 出口 | 出金、送金先、換金、資金移動 | 受取人・出金先リスク評価、名義不一致の確認、送金保留、コールバック、取引制限、凍結、外部連携・情報共有 |
| 横断 | 不正対策の継続運用 | ケース管理、インシデント対応、関係機関との連携、適法な情報共有、モデル・ルール改善 |
入口：厳格な本人確認（eKYC）
券面画像の撮影だけに依存する本人確認では、偽造・変造書類やなりすましへの対応に限界があります。本人確認のリスクが高い手続きでは、マイナンバーカードのICチップ読み取りや公的個人認証（JPKI）等を活用し、書類の真正性と本人性を高めることを検討します。加えて、口座・アカウント開設後の初期取引監視、端末・連絡先・取引行動のリスク評価を組み合わせることが重要です。
期中：フィッシング耐性の高い認証と取引時の追加認証
パスキー（FIDO2）は、公開鍵暗号により認証を正規の接続先に結び付ける、フィッシング耐性の高い方式です。認証アプリによるプッシュ承認やワンタイムパスワードも多要素認証として有効ですが、認証内容を十分に確認しない承認や、リアルタイムフィッシングへの対策としては、取引内容を表示する仕組み、リスクベースの追加確認、FIDO認証等との組み合わせが必要です。ログイン時だけでなく、高額送金や口座連携といった重要処理の実行時にも追加認証を求める設計が求められます。
入口〜期中：オープンAPIの安全設計と当事者認証
BaaSやオープンバンキングAPIを提供する際は、OAuth2.0やOpenID Connectを適切に実装することに加え、接続元のフィンテック事業者と銀行側の口座名義人が一致しているかを確認する「当事者認証」が求められます。連携先事業者に対する定期的なセキュリティ審査やモニタリングも欠かせません。
期中〜出口：継続的なリスク評価と段階的な対応
取引金額、過去の行動、アクセス環境、送金先、取引頻度などを、ルール・統計モデル・機械学習等で継続的に評価します。高リスク取引には、追加認証、送金保留、利用者への確認、目視審査、取引制限を段階的に適用します。正常な利用者への負荷を抑えつつ、疑わしい取引だけに確認を求める設計が、利便性とセキュリティの両立につながります。
システム基盤：境界防御とエンドポイント対策
WAF、TLSの適切な設定、脆弱性管理、特権アクセス管理に加え、従業員端末にはEDR等のエンドポイント対策を導入します。ログ監視・インシデント対応は、自社SOCまたは外部の監視サービスを含め、事業規模とリスクに応じた体制を整備します。端末・ネットワーク監視と、顧客取引の不正検知は役割が異なるため、両者を連携させる設計が重要です。
横断：情報共有とインシデント対応体制
不正口座、攻撃インフラ、攻撃手口に関する情報は、業界団体、関係金融機関、決済事業者、警察等との間で、法令・契約・個人情報保護上の整理を行ったうえで共有します。共有可能な情報を検知シナリオや取引審査に反映できるよう、CSIRT、AML/CFT、リスク管理、不正対策、法務・コンプライアンスの連携体制を整備することが重要です。
あわせて、被害発覚時の出金停止・口座凍結・関係機関への通報フローも明確化しておく必要があります。これらの情報共有・インシデント対応・ルール改善の仕組みは、出口の対応だけでなく、入口の口座開設審査や期中の取引モニタリングの精度向上にも反映されるべき、全フェーズを支える基盤機能です。
最新規制・法令対応のポイント
金融庁の要請と対応状況
金融庁は警察庁と連名で、2025年9月に全国銀行協会等に対し、預貯金口座の不正利用等防止に向けた対策の一層の強化を要請しました。
※出典：金融庁「法人口座及びインターネットバンキングの利用を含む預貯金口座の不正利用等防止に向けた対策の一層の強化について」 https://www.fsa.go.jp/news/r7/sonota/20250912/20250912.html
口座開設時の実態把握強化、多層的な取引検知、検知後の出金停止・凍結の迅速化、インターネットバンキングに係る対策強化、異名義送金の停止、金融機関間の情報共有、警察への情報提供・連携強化など、8項目にわたる対応が求められています。金融機関には、これらの要請内容を踏まえて優先度の高い項目から着手することが求められます。
フィンテック事業者への対応
不正送金された資金が、暗号資産交換業者や資金移動業者の口座へ送金される事例が指摘されていることから、振込名義の確認や送金停止といった対応が金融機関側にも求められるようになっています。フィンテック事業者側も、こうした資金の受け皿にされないよう、取引モニタリングの強化が必要とされています。
まとめ
金融機関・フィンテック企業・資金移動業が直面する不正は、フィッシングやアカウント乗っ取りだけでなく、口座開設、口座連携、後払い購入、不正チャージ、資金移動・換金まで連鎖します。対策は、入口の本人確認・口座連携審査、期中の認証・取引モニタリング、出口の送金先・出金先管理という3段階で設計することが重要です。
FIDO／パスキー等のフィッシング耐性を持つ認証、リスクベースの追加確認、不正検知・取引保留、迅速な顧客確認・利用制限・情報共有を組み合わせ、自社の業態・商品・チャネルに応じて優先順位を定めましょう。