セキュリティ・金融制度まとめ © Yamanashi Internet Cyber Security Team.

マネックス証券不正アクセス事案と
eKYC（オンライン本人確認）ルールの動向

2026年11月13日公表の事案概要から、外部委託の規制、本人確認方式の仕組み、2027年4月の法改正スケジュールまでを整理しました。

1. マネックス証券不正アクセス事案の概要

2026年11月13日、マネックス証券株式会社は外部委託先が運営・管理する一部の口座開設システムが第三者による不正アクセスを受け、個人情報が外部に漏えいしたおそれがあると発表しました。

不正検知の経緯：2026年10月18日（日）に外部委託先が不正アクセスの試みを検知し、翌19日にネットワークを遮断。具体的な侵入経路や攻撃手法は外部専門機関と連携して調査中です。
外部委託先名：公式発表や報道においても一貫して「外部委託先」と表記されており、社名・システム名は非公開となっています。
今後の対応と注意点：対象者へは順次個別連絡が行われます。同社を装ったフィッシングメール・SMSに注意が必要です（専用窓口：0120-846-365 / 03-6737-1666、平日8:00〜17:00）。

金融機関が口座開設などのシステムを外部ITベンダーへ委託することは、法令および金融庁の監督指針で認められている一般的な運用形態です。

許可制ではなく「管理義務」：金融庁の監督指針では、外部委託に事前の個別許可は不要である一方、金融機関自身の責任で「適切な委託先の選定」や「定期的なモニタリング・監査」を行うことが義務付けられています。
責任の所在：業務を外部委託しても、顧客情報保護やシステムリスク管理の最終的な責任は委託元の証券会社が負います。
外部委託が選ばれる理由：スマホでの撮影照合技術や頻繁な法改正（犯罪収益移転防止法など）へ迅速に対応するため、専門ベンダーのシステムを組み込み、資産を扱う基幹システムと分離する設計が主流となっています。
今後の焦点：事案発生後は「マネックス証券が委託先のセキュリティ体制を十分に監督・点検できていたか」が金融庁への報告や行政上のチェックポイントとなります。

犯罪収益移転防止法に基づき、オンライン口座開設では主に2つの方式が利用されています。今回の事案では、採用していた方式によって被害の有無が明確に分かれました。

本人確認の方式	具体的な手順	今回の事案での影響と特徴
① 画像撮影方式（ホ方式）	免許証やマイナンバーカードの「表面・裏面・厚み」と本人の顔（セルフィー）をスマホカメラで撮影して送信・照合する方式。	漏えいのおそれあり（1,592件）審査完了まで外部委託先サーバーに画像データが一時保管されるため、侵入を受けた際に影響を受けました。
② 公的個人認証方式（ワ方式）	マイナンバーカードのICチップをスマホで読み取り、署名用電子証明書のパスワードを入力して公的機関と直接照合する方式。	影響なし（安全）顔や書類の「画像」を撮影してサーバーに保存する工程自体が存在しないため、画像漏えいリスクがありません。

一般的なeKYCのセキュリティ対策：通常は通信・保存データの暗号化、首振りやまばたきを促す生体検知（なりすまし防止）、審査完了後の画像データの即時削除などの多層防御がとられていますが、一時保管領域の脆弱性や設定不備があるとリスクが生じます。

犯罪収益移転防止法（犯収法）の改正により、2027年4月1日から従来の「画像撮影方式（ホ方式）」が原則廃止され、ICチップ読み取り・公的個人認証へ一本化されます。

時期	主な動き・法改正の内容
2025年6月24日（施行済み）	スマホ搭載マイナンバーカードの対応開始スマートフォンに搭載された電子証明書を使った本人確認が制度上認められました。
2026年4月1日（施行済み）	携帯電話契約での「画像撮影方式」廃止携帯電話不正利用防止法の改正により、金融機関に先行して携帯契約時の非対面本人確認がICチップ方式へ一本化されました。
2026年10月9日（金融庁の要請）	金融庁による「早期移行」の注意喚起セキュリティ事案の増加を受け、2027年4月の施行を待たず可及的速やかにICチップ方式へ切り替えるよう金融機関へ要請。大手銀行等で前倒し廃止が進行中です。
2027年4月1日（改正犯収法全面施行）	銀行・証券などでの「画像撮影方式」原則廃止オンライン口座開設における書類撮影方式および本人確認書類コピーの郵送が原則廃止され、公的個人認証（JPKI）またはICチップ読み取り＋顔撮影方式に集約されます。