ネットバンキングの不正利用に備える｜多要素認証と気づき方

ネットバンキングでは、「多要素認証などの設定を確かめる」「届いた連絡のリンクを開かない」「ログインや利用の通知・履歴を見る」の3つを軸に見直すことを、筆者は提案します。

身に覚えのない操作に気づいたときは → 相談先を見る

口座の話なので、何から確かめればいいのか分からないまま、後回しにしている方も多いのではないでしょうか。

この記事は筆者の体験談ではなく、公的機関の案内をもとにした「筆者の提案」です。

IPA（独立行政法人情報処理推進機構）の「情報セキュリティ10大脅威 2026」では、個人向けの脅威のひとつに「インターネットバンキングの不正利用」が挙げられています。以下の「IPAの案内」は、同ハンドブック（P.8-10）の内容を筆者が要約したものです。

ネットバンキングの不正利用は、どんなふうに起きるの？

IPAの案内では、ログイン情報が盗まれることが出発点とされています。 経路としては、次の2つが挙げられています。

• 銀行などを名乗る偽のメールで偽サイトに誘導され、ログイン情報を入力してしまう「フィッシング」
• 端末がマルウェア（不正なプログラム）に感染して、情報が盗まれる場合

被害としては、口座への不正ログインや不正送金のほか、口座が悪用されて違法行為に巻き込まれることもある、とされています。ここでは、手口の細部には踏み込みません。

二要素認証を設定していれば、それだけで防げるの？

設定は大切ですが、それだけで万全とは言えない、と筆者は受け取っています。 IPAの案内では、近年は「リアルタイム型フィッシング」と呼ばれる手口が横行し、二要素認証（多要素認証のひとつ）を有効にしていても突破される場合がある、と説明されています。

なお、IPAの表記は二要素認証・多要素認証です。当サイトの「パスワードの使い回しをやめたい」では、2段階認証という言葉で説明しています。

筆者は次のように整理しています。

• ワンタイムパスワードや認証コードは、偽サイトに入力したり、電話で誰かに伝えたりしない
• こうした求めがあったら、一度止まる
• 二要素認証は有効な手段のひとつですが、「リンクを不用意に開かない」習慣と組み合わせて考える

これは「パスワードの使い回しをやめたい」で書いた、2段階認証を使っても万全とは言えない、という考え方とも同じです。

不正利用に備えて、どんな予防ができるの？

IPAの案内では、多要素認証や本人認証が使える銀行で設定を有効にする、パスキーを使う、メール・SMSのリンクを安易に開かない、セキュリティソフトのアクセスブロックを有効にする、などが挙げられています。 筆者の言葉に直して並べます。

• 多要素認証や、本人認証サービス（3Dセキュアなど）が使える銀行をできるだけ利用し、設定を有効にする
• パスキー（パスワードの代わりに、指紋や顔などでログインする方法）が使えるなら、できるだけ利用する
• 相手の言い分や、名乗る組織名・肩書を、むやみに信用しない
• 添付ファイルや、メール・SMSのURLを、安易に開かない
• セキュリティソフトを導入し、危険なサイトへの接続を止める機能（アクセスブロック）を有効にする

パスキーや多要素認証にどんな方法があるかは、銀行によって違います。利用する銀行の公式の案内で確かめてください。

不正利用に、早く気づくにはどうすればよいの？

IPAの案内では、ログインアラートや利用状況の通知機能を使うこと、ログイン履歴を確認することが挙げられています。 あわせて、カードやポイントの利用履歴を定期的に見ることも挙げられています。

筆者の考えでは、予防をしても完全に防げるとは言えないため、「早く気づく」手段も持っておくことが役に立ちます。通知の設定ができるかどうかは、銀行のアプリや公式サイトで確かめてください。

どの順番で見直せばよいの？

設定の確認から始めて、連絡への向き合い方、気づく仕組みの順に進めます。 次の順番を、筆者の提案として置いておきます。

1. 多要素認証・本人認証の設定: 使っている銀行で利用できるか、有効になっているか
2. パスキーの利用: 使える場合は、設定を検討する。銀行の公式の案内で確かめる
3. 銀行を名乗る連絡への向き合い方: メール・SMSのリンクは開かず、公式アプリや保存した公式の入口から確かめる
4. 認証コードの扱い: 偽サイトへの入力や、電話で伝えることはしない
5. ログインアラート・通知: 設定できるか確かめる
6. ログイン履歴・取引の確認: 見る日を決める

銀行から連絡が来たときは、どうすればよいの？

連絡の中のリンクや電話番号は使わず、公式アプリや、自分で保存しておいた公式の入口から確かめます。 「至急」など、急がせる言葉があっても同じです。

リンクを開く前の確認の順番は、「怪しいメール・SMSのリンクを開く前に」にまとめています。スマホ側の備えは「スマホを守る3つの習慣」にあります。

身に覚えのない操作に気づいたら、どうすればよい？

筆者の提案は、まず公式アプリや公式サイト、通帳・カードに書かれた銀行の窓口に連絡し、実際に被害に遭った場合は警察にも通報・相談することです。

迷うときの相談先は、次のとおりです。

• 今まさに危険なとき: 110番
• #9110（警察相談専用電話）: 緊急でない生活の安全の相談
• 188（消費者ホットライン）: 契約や支払いなど消費生活のトラブル
• 情報セキュリティ安心相談窓口（IPA）: 技術的な相談

クレジットカードの不安は「クレジットカードの不正利用に備える」も参考にしてください。

今日から、何をすればよいの？

最初の1つとして、使っている銀行のアプリや公式サイトで、ログインの通知や多要素認証の設定を確かめることです。 設定画面が見つからなければ、公式の案内ページで探してみます。

そのうえで、「銀行を名乗る連絡は、リンクを使わず確かめる」と決めておくだけでも、迷う場面は減ると感じています。1週間に1つ、のように小分けにして構いません。

よくある質問

偽サイトにIDやパスワードを入力してしまったら、どうすればよいですか？

筆者の提案は、一人で抱えず、まず公式アプリや公式サイト、通帳・カードに書かれた銀行の窓口に連絡することです。実際に被害に遭った場合は、警察にも通報・相談してください。

ワンタイムパスワードは、電話で聞かれたら伝えてもよいですか？

IPAの案内では、電話で伝えると二要素認証を有効にしていてもログインされる場合があるとされています。聞かれたときは、いったん切って、公式アプリや公式サイトに載っている連絡先から確かめる、というのが筆者の提案です。

パスキーとは何ですか？

パスワードの代わりに、指紋や顔などでログインする方法です。IPAの案内では、使えるならできるだけ利用することが挙げられています。使えるかどうかは銀行によって違うため、公式の案内で確かめてください。

セキュリティソフトは入れたほうがよいですか？

IPAの案内では、導入して、危険なサイトへの接続を止める機能（アクセスブロック）を有効にすることが挙げられています。導入するかどうかや製品の選び方は、お使いの環境に合わせて、公式の案内などを確かめて決めてください。

ログイン履歴は、どのくらいの頻度で見ればよいですか？

IPAの案内では、ログイン履歴を確認することが挙げられています。頻度について筆者は、月に一度の確認日を決める方法を提案しますが、続けられる頻度でかまいません。

相談できる人が身近にいないときは、どこに相談すればよいですか？

情報セキュリティ安心相談窓口（IPA）が、一般的な情報セキュリティの技術的な相談にアドバイスを提供しています。ほかに、警察相談専用電話（#9110）や消費者ホットライン（188）も使えます。

関連記事

• クレジットカードの不正利用に備える｜予防と気づき方の順番
• パスワードの使い回しをやめたい｜2段階認証と見直しの順番
• 怪しいメール・SMSのリンクを開く前に｜フィッシングを見分ける順番
• スマホを守る3つの習慣｜更新・公式ストア・スマホ決済の設定

一次情報・確認先

確認日: 2026-10-18

• IPA「情報セキュリティ10大脅威 2026」個人向け（公開2026-01-29）: https://www.ipa.go.jp/security/10threats/10threats2026.html
• IPA「10大脅威 2026 個人編 ハンドブック」（P.8-10）: https://www.ipa.go.jp/security/10threats/omgdg50000008fi8-att/setsumei_2026_kojin.pdf
• 情報セキュリティ安心相談窓口（IPA。ハンドブックP.31の表記は「IPA 安心相談窓口」）: https://www.ipa.go.jp/security/anshin/about.html
• 警察相談専用電話（#9110）: https://www.npa.go.jp/bureau/safetylife/sos47/manga/dial/
• 消費者ホットライン（188）: https://www.caa.go.jp/policies/policy/local_cooperation/local_consumer_administration/hotline/188_pamphlet/