不正送金の手口、口座開設詐欺との関係、送金先を悪用した資金移動のリスクを解説。金融機関・フィンテック事業者に求められる認証強化と不正検知の論点を整理します。
不正送金の被害状・況と金融機関に求められる対応
不正送金とは、第三者がインターネットバンキングやスマートフォン決済アプリなどに不正にアクセスし、口座保有者本人の意思に反して資金を移動させる被害のことです。攻撃者は盗み取ったID・パスワードやワンタイムパスワードを使い、口座保有者になりすまして送金操作を行います。移動させた資金は、多くの場合、あらかじめ調達しておいた別の口座（不正口座）を経由して転送され、最終的に現金化されます。この「送金先となる不正口座をどう調達するか」という問題が、口座開設詐欺と不正送金が密接に関わってくる理由です。金融機関にとっては、送金操作そのものの不正検知と、送金先となる不正口座の実態把握という、両方の観点からの対策が求められます。
不正送金・口座開設詐欺の被害状況
警察庁によると、2025年中の不正アクセス行為の認知件数は7,190件（前年比約34.2%増）で、そのうち「インターネットバンキングでの不正送金等」が4,747件（66.0%） 、不正アクセスの主要な被害形態になっています。
※出典：国家公安委員会・総務大臣・経済産業大臣「不正アクセス行為の発生状況及びアクセス制御機能に関する技術の研究開発の状況」令和8年3月12日公表 https://www.soumu.go.jp/main_content/001059979.pdf
こうした状況を受けて、金融庁と警察庁は2024年8月、預金取扱金融機関の業界団体等に対し、口座開設時の実態把握強化や、検知後の出金停止・凍結の迅速化などを含む対策強化を要請しました。その後も対策強化は継続しており、2025年9月には、法人口座やインターネットバンキングを含む預貯金口座の不正利用防止に向け、口座開設時の実態把握、アクセス環境や取引の妥当性に着目した多層的な検知、検知後の顧客確認・出金停止・凍結等の迅速化を改めて要請しています。
また、暗号資産交換業者の金融機関口座に対する異名義送金については、金融庁・警察庁が2024年2月に振込・送金取引の拒否を要請しています。さらに2026年8月には、出庫制限や送金依頼人名と口座名義人名の一致確認など、より踏み込んだ対策の要請が行われています。
※出典：金融庁「暗号資産を用いた詐欺被害等防止に向けた対策の一層の強化について」令和8年8月6日公表 https://www.fsa.go.jp/news/r8/sonota/20260806/20260806.html金融庁「第三者への資金移動が可能な暗号資産交換業者への不正送金対策の強化について」令和6年2月7日公表 https://www.fsa.go.jp/news/r5/sonota/20240207.html
不正送金の主な手口
不正送金には、次のような手口があります。
フィッシング・スミッシング
銀行や決済サービスを装った偽のメールやSMS（スミッシング）で偽サイトへ誘導し、インターネットバンキングのID・パスワードやワンタイムパスワードを入力させて盗み取る手口です。
リアルタイムフィッシング（AiTM）
攻撃者が正規サイトとの間に偽サイトや中継サーバーを介在させ、利用者が入力したID・パスワード、ワンタイムパスワード、認証後のセッション情報をリアルタイムで転用する手口です。SMSで届くワンタイムパスワードを使う認証や、内容を確認せずに承認するプッシュ認証は、この手口で突破されるおそれがあります。対策としては、接続先ドメインと認証情報を暗号学的に結び付けるFIDO認証・パスキーのような、フィッシング耐性の高い認証方式への移行が重要です。
サポート詐欺と遠隔操作ソフトの悪用
偽の警告画面や電話をきっかけに、被害者へ遠隔操作ソフトの導入を促す手口です。攻撃者は端末画面の表示を妨げたり、被害者に操作を指示したりしながら、インターネットバンキングの認証・送金操作を進めることがあります。本人が正規の端末で認証しているように見える場合もあるため、認証情報だけでなく、遠隔操作ツールの起動や送金時の操作状況もリスクシグナルとして扱う必要があります。
マルウェア感染（バンキングトロジャン）
端末に感染して認証情報や取引情報を盗み取り、不正送金を試みるマルウェアです。PCではブラウザ上の画面改ざんや入力情報の窃取、スマートフォンでは正規アプリに偽画面を重ねるオーバーレイ攻撃などが用いられることがあります。
SIMスワップ詐欺
携帯電話会社へのなりすまし等により、被害者の電話番号を攻撃者側のSIMへ移す手口です。SMSで届く認証コードを攻撃者が受信できるようになり、SMS認証を突破されるおそれがあります。国内では2022年9月の総務省・警察庁からの要請を受けた携帯電話事業者の本人確認強化により、被害は大きく減少したとされていますが、SMSのみを認証の唯一の要素にしない観点は依然として重要です。
振り込め詐欺・ビッシング
電話で親族や金融機関の職員などを装い、被害者自身に振込操作をさせる手口です。システムへの不正アクセスではなく、被害者本人が認証を行って自ら送金してしまうため、システム的な検知が難しいという特徴があります。
口座開設詐欺と不正口座の調達・資金移動
不正送金で移動させた資金は、多くの場合、あらかじめ調達された不正口座を経由します。本記事では、他人になりすました口座開設、架空・虚偽の情報を用いた口座開設、犯罪利用を目的とした口座開設を「口座開設詐欺」として扱います。一方、既に開設された口座を買い取る、譲り受ける、貸し借りする行為は、口座の不正譲渡・不正売買に当たり（預貯金口座の譲渡・譲受等は法律で禁止されています）、別の経路で犯罪に利用される不正口座を生み出します。
不正口座の入手経路は、大きく3つの類型に分けられます。
| 類型 | 典型例 | 主な対策 |
|---|---|---|
| なりすまし・虚偽による新規開設 | 偽造本人確認書類、他人名義、eKYCの不正突破 | 本人確認、真正性確認、口座開設後のモニタリング |
| 既存口座の不正譲渡・売買 | SNS・闇バイトを通じた口座の譲渡・売買 | 勧誘検知、初期取引監視、疑わしい口座の迅速な制限 |
| 正規口座・外部サービスの悪用 | 暗号資産交換業者や公営競技事業者名義の口座への送金 | 送金先リスク評価、異名義送金の確認、連携・情報共有 |
オンライン本人確認（eKYC）では、偽造・変造された本人確認書類、他人の本人確認情報の悪用、容貌画像の偽装などがリスクになります。本人確認時だけでなく、開設後の口座利用状況も継続して確認する必要があります。また、SNS等を通じて、口座の譲渡・売買や、犯罪収益の受け取り・引き出しに関与する者を募集する動きもあり、金融機関は口座開設直後の入出金、送金先・送金頻度、複数口座間の資金移動などを継続的に確認する必要があります。
不正送金の送金先としては、犯罪者が管理する個人名義口座だけでなく、暗号資産交換業者や公営競技事業者が保有する事業者名義の口座が悪用される事例も指摘されています。こうした経路では、送金後に暗号資産の取得等を通じて資金移動が行われるおそれがあるため、金融庁・警察庁は、暗号資産交換業者の金融機関口座に対する異名義送金の拒否など、送金先の悪用を防ぐ対策を求めています。
事業者に必要な不正送金対策
事業者（金融機関・フィンテック企業）に求められる不正送金対策には、次のようなものがあります。
利用者への案内（自己防衛の支援）
長く十分に強いパスワードの設定、サービス間での使い回し防止、パスワードマネージャーの活用、漏えい・不正利用の兆候を検知した場合の速やかな再設定を利用者へ案内します。これらは基本ですが、利用者側のリテラシーや対応に依存するため、事業者側で強制することが難しく、巧妙化した現在の攻撃を防ぎきることは困難です。そのため、事業者側でシステム的に強制力を持たせる対策を併せて整備することが不可欠です。
電子証明書の厳格な管理
法人向けインターネットバンキング等で使われる電子証明書について、発行・管理の運用を厳格化します。証明書の発行時に複数経路での本人確認を求めるなど、なりすましによる不正な証明書発行を防ぎます。
FIDO認証・パスキーの導入
FIDO認証・パスキーは、公開鍵暗号を利用して認証を行う、フィッシング耐性の高い方式です。利用者は端末上で、指紋・顔認証・PINなどにより本人確認を行いますが、これは端末のロック解除の手段であり、FIDO認証そのものが生体認証を意味するわけではありません。SMSによるワンタイムパスワードのみの認証に依存せず、FIDO認証、ハードウェアセキュリティキー、アプリ型認証などを、取引リスクに応じて組み合わせることが重要です。
不正検知と継続的なリスク評価の導入
ログイン時だけでなく、アプリ利用中や送金操作時にも、端末・ネットワーク・操作・取引のリスクを継続的に評価します。IPアドレス、デバイス情報、ログイン場所・時間帯、送金額、送金頻度、新規受取人の登録、受取人口座、画面操作や遠隔操作ツールの兆候などを組み合わせて判定します。高リスクと判定した取引では、追加認証、送金保留、金額・受取人の再確認、コールバック、オペレーター審査、出金停止・凍結など、段階的な対応を設計します。なお、マウスの軌跡やスワイプの癖といった行動生体情報を利用する場合がありますが、プライバシー・誤検知・アクセシビリティへの配慮も必要です。
今後の不正送金対策は、利用者の注意喚起に頼るのではなく、FIDO規格などの強固な認証技術と、システムによるリアルタイムな不正検知・継続的なリスク評価を軸に、テクノロジーで強制的に防御するアプローチが重要になります。
まとめ
不正送金は、フィッシング、マルウェア、遠隔操作、SIMスワップなどの経路で認証や送金操作を悪用し、犯罪者が管理・利用する口座や外部サービスへ資金を移す犯罪です。対策では、口座開設時の本人確認だけでなく、口座開設後の取引監視、送金先リスクの評価、ログイン・送金時の継続的なリスク評価を一体で設計する必要があります。FIDO認証・パスキー等によるフィッシング耐性の高い認証に加え、高リスク取引に対する追加認証、送金保留、顧客確認、出金停止・凍結を迅速に行える不正検知・対応基盤を整備することが重要です。