トレーダーのサイバーセキュリティ — 2FA、フィッシング、出金、端末の保護

取引口座の安全対策は、メール口座、使い回さないパスワード、適切な認証方法から始まります。端末、ログインセッション、出金ルール、スマートフォンを紛失した場合の復旧準備も重要です。この記事では対策を順に説明し、その限界と口座乗っ取りを疑う場合の対応を示します。VPSや自動売買ロボットの利用者向けに、リモートアクセス、APIキー、保有ポジションの保護も解説します。企業を装う詐欺は、別の記事である 偽ブローカーの記事で扱います。

1. パスワードの使い回し — 一度の漏えいが取引口座を脅かすとき

ごく普通の状況から考えてみましょう。そのありふれた性質こそが危険を生みます。フード姿のハッカーも暗号の解読も登場しません。これはクレデンシャルスタッフィング、つまりデータベース漏えいで入手したユーザー名とパスワードの組合せを複数のサービスで自動的に試す攻撃です^[1]。

仕組みは単純です。2024年1月22日、Cybernewsの調査チームは、260億件を超える記録と12テラバイトのデータを含む、一般公開状態のデータ集を報告し、「Mother of All Breaches」と呼びました^[5]。その位置付けと性質は、この数字の意味を変えるため正確に示す必要があります。 これは新たな単独の漏えいではなく、過去の数千件の漏えいや非公開で売買されたデータベースの記録を集めたものでした。報告自体が重複の可能性は非常に高いとし、未公表情報の存在を確定した事実ではなく可能性として扱っています。その後の公開状態についての説明も、 組織の発言であり、独立に確定した結論ではありません。漏えい検索サービスLeak-Lookupはデータ集の所有者だと主張し、公開はファイアウォールの設定ミスによるもので修正済みだと述べました^[5]。コピーの流通が止まったとの独立した確認はありません。トレーダーにとっての実務上の結論は、この不確実性に左右されません。取引フォーラム、Gmail、ブローカー口座でパスワードを使い回せば、これら数千のデータ集の一つから、攻撃者が三つすべての認証情報を得るおそれがあります。

想定される攻撃の流れは、メール侵害 → ブローカーのパスワードリセット → 連絡先の変更 → 攻撃者の口座への出金申請です。メール侵害から出金申請までの時間は短い場合がありますが、具体的な時間は示しません。ブローカーの登録情報変更手続や決済経路によって異なり、正確な数値を裏付ける測定値が見つからなかったためです。ブローカーはメールで出金確認を送りますが、そのメール口座は既に攻撃者の管理下にあります。

層別モデル — 何を守るのかを明確にする

何かを設定する前に、まず 脅威モデルを定めます。何を、誰から守り、ある層が破られた場合に何が起きるのか、という整理です。これがなければ、パスワードの復旧を古いGmail口座に依存したまま、ハードウェアキーを買うことになりかねません。

取引口座の依存関係には七つのつながりがあります。次の順で確認してください。

1. メール — 上流の口座です。侵害されると、他の口座の復旧にも危険が及びます。
2. 本人確認 — 電話番号、復旧コード、ブローカーで本人であることを示す書類です。
3. 端末 — 秘密情報を入力し、コードを受け取るコンピューターとスマートフォンです。
4. ブローカー — パスワード、MFA、有効なセッション、顧客ポータルの設定です。
5. API — 顧客ポータルのパスワードやMFAとは独立してアクセスを認証できる、プログラム用のキーです。
6. 決済 — 入出金の方法と、送金先口座の許可リストです。
7. 復旧 — アクセスを取り戻す経路であり、攻撃者が好む迂回路になりがちです。

実務上の原則は、 各層はそれを支える層に依存するということです。出金先の変更確認を受け取るメール口座を攻撃者が支配していれば、出金許可リストも頼れません。そのため、この記事には意図した順序があります。第1節と第2節はメール、本人確認、ブローカー、第5節と第6節は端末とAPI、第4節は決済を扱います。復旧は他の層への別経路になるため、全体を通して取り上げます。

実践する対策

ブローカー専用のパスワードを使う。 他では一切使い回さないでください。Bitwarden、1Password、KeePassなどのパスワード管理ソフトを使い、少なくとも16文字のランダムなパスワードを生成します。これは、単独の認証要素として使うパスワードについて、現行のNIST指針が定める15文字の基準に余裕を持たせたものです^[2]。自分でパスワードを考えるのは避けてください。人間は無作為な文字列を作るのが苦手です。

取引用メールアドレスを分ける。 ブローカーや取引プラットフォームとの連絡専用口座を作り、フォーラム、SNS、他のサービスへの登録に使わないでください。主に使うメールアドレスが流出しても、同じ登録記録から取引口座のアドレスまで明らかになるのを避けられます。リスクは下がりますが、それだけで口座を安全にするものではありません。

自分の情報が流出していないか確認する。 haveibeenpwned.comでメールアドレスを入力し、どの情報が公開されたかを調べます。パスワードが流出した、使い回している、侵害を疑う根拠がある場合は直ちに変更してください。別サービスの漏えいにメールアドレスが含まれていても、それだけで別の使い回していないブローカーパスワードの侵害を示すわけではありません。

2. 2FA — 任意ではなく最低限の対策

二要素認証（2FA）はパスワードの後に第2の層を加えます。適切に実装されていれば、盗まれたパスワードでのログインを難しくしますが、フィッシングでコードを盗まれたり、口座復旧やセッション窃取で通常のログイン画面を迂回されたりする可能性があります。問題は、2FAの方式が同等ではないことです。鍵の種類で防御力が違うように、SMSとTOTPには大きく異なる弱点があります。

SMSの2FAでは不十分な理由

SMSの2FAは2FAなしより安全ですが、TOTPやハードウェアセキュリティキーより弱い方式です。SIMスワップでは、詐欺師が番号の所有者になりすまして携帯電話事業者に連絡し、交換用SIMへの番号移転を求めます。短時間かつ低費用の場合もありますが、時間、費用、成功率は事業者、国、被害者情報の質によって異なります。交換時の確認手順は各事業者が定め、確認に使われる情報が漏えい済みの場合もあります。米国では規模が記録されており、FCCのConsumer Complaint Centerを通じたSIMスワップと番号移転の苦情は、およそ300件が2020年、400件が2021年、500件が2022年と報告されています^[4]。

TOTP — 実用的な標準

TOTP（時間ベースのワンタイムパスワード）は端末内で30秒ごとにコードを生成します。携帯電話網を使わないため、SIMスワップでコードを奪われず、生成にインターネット接続も不要です。英国NCSCの推奨順位では、アプリ生成コードはメッセージで届くコードより大幅に上位です^[7]が、最上位ではありません。より上位の方式はパスキーの項で説明します。

TOTPを設定するには認証アプリを入れ、アカウントなしの利用を選ぶかクラウド同期を無効にします。Google AuthenticatorはログインするとGoogleアカウントとコードを同期し、アカウントなしでも使えます。Authyはクラウドバックアップを提供します。便利ですが、下記の2022年12月に確認されたLastPassのインシデントは、認証情報をクラウドに置くことで増える障害点を示します。オフライン生成器と物理的な復旧コードの控えを優先してください。ブローカーの口座設定で「セキュリティ」→「二要素認証」を探し、アプリでQRコードを読み取ります。その後のログインにはパスワードとアプリの6桁コードが必要です。

重要な手順：復旧コードを保存する。 紛失時用の使い捨て予備コードが発行されるなら、設定時に保存します。発行されない場合は、公式に文書化された復旧手順を確認し、必要になる前に記録してください。コードは印刷し、スマートフォン、クラウド口座、パスワード管理ソフトとは別の安全な場所に保管します。管理ソフトへのアクセスを失っても、コードまで失わないことが大切です。金庫や鍵付きの引き出しに紙を置く方法があります。

パスキーとFIDO2 — 今後の方向

表のハードウェアキーは、より広い標準である FIDO2/WebAuthnを物理的に実装したものです。誰かに読み上げたり偽ページに貼り付けたりできるコードではなく、ブラウザーと認証器が正しいドメインに結び付いた暗号署名を交換します。別ドメインは登録済み認証情報の認証を取得できません。このドメインとの結び付きがTOTPとの本質的な違いです。

この パスキー は、スマートフォン、コンピューター、パスワード管理ソフトに保存したFIDO2認証情報を指紋や端末のPINで解除してこの仕組みを使うため、別のキーホルダー型端末が不要な場合があります。NCSCは推測、フィッシング、認証秘密の窃取への耐性でFIDO2認証情報を最上位に置いています。アプリ生成コードは第三位で、同文書は横取りへの弱さを明記しています^[7]。NISTは各水準の要件を満たす場合に、最上位の保証水準で多要素暗号認証器を認めています。同期型パスキーが自動的にAAL3認証情報になるわけではありません。SMSを含む電話網による認証は制限付きの扱いです^[2]。

今日できること。 リテール向けブローカーのパスキー対応はさまざまで、TOTPとSMSだけの顧客ポータルもあります。設定で「security key」「passkey」「WebAuthn」を確認し、対応していれば主な認証方式にしてTOTPを予備に残します。未対応なら、オフライン復旧コードを備えたTOTPが妥当な最低限です。メールは上のモデルの第1層なので、ブローカーとは別にメール口座でもパスキーを有効にしてください。

3. フィッシング — FXのメール、電話、ソーシャルエンジニアリング

FXのフィッシングは標的型の場合があります。攻撃者はトレーダーが口座に資金を置き、「マージン コール」や「セキュリティ警告」に反応することを知っています。ブローカーのロゴと安く取得したドメインを使う普通の迷惑メールもあります。成功に高度な技術は必ずしも必要ありません。

「ブローカー」を装うメール

費用の安い攻撃経路なので、よく使われます。メールはブローカーの配色、ロゴ、フッターを模倣します。件名は「緊急：口座を確認してください」「セキュリティ警告：通常と異なるログインを検出」「対応が必要：支払方法を更新してください」などです。リンク先は別ドメインにある偽ログインページで、認証情報を入力すると攻撃者に渡ります。NCSCの組織向け指針は、DMARC、SPF、DKIMによる送信者詐称対策と、不審なメッセージを簡単かつ迅速に報告できる仕組みの二点を扱っています^[6]。その文書は類似ドメインを扱っていません。下記はNCSCの主張ではなく、当サイトの説明です。

「セキュリティ部門」からの電話

より手の込んだ手法が、音声によるフィッシング、ビッシングです。ブローカーのセキュリティ部門を名乗る人が電話し、不審な口座活動を検知したとして、「口座番号と今送った2FAコードを教えてください」と本人確認を求めます。そのコードを渡すと攻撃者のログインを承認するおそれがあります。

適切に運営するブローカーは電話でログイン用2FAコードを求めるべきではありません。 求める相手は口座を守るのでなく、侵害している可能性があります。電話を切り、メールではなく公式サイトの番号へかけ直してください。急がせる圧力はマルウェアより効果的なこともあります。

偽のMT4/MT5ダウンロードリンク

トレーダーはGoogleで「MT4 download」「MT5 download」を検索します。攻撃者は改変インストーラーに誘導する広告を購入できます。見慣れた画面で正常に動きながら、攻撃者のサーバーに認証情報を送る場合があります。利用者がインストーラーを実行して権限を与えるため、偽ダウンロードページは有効なマルウェア配布手段です。

取引グループでのソーシャルエンジニアリング

Telegram、Discord、Facebookの取引グループはソーシャルエンジニアリングの場にもなります。管理者を装う人が「ブローカーXの特別提案がありますが、私のリンクから登録が必要です」と個別に連絡します。または「口座画面を投稿すれば EAの設定を手伝います」と持ち掛けます。画面にはブローカーの口座番号が映り、攻撃者が弱い電話本人確認を悪用する助けになる場合があります。「今日の利益」をグループに投稿する前に、この情報露出を理解してください。

4. 安全な出金 — 方法、許可リスト、KYC書類

口座を奪った攻撃者はポジションを閉じて資金を損なうことができますが、有効な許可リストがあれば送金先の変更は難しくなります。意図する管理は、承認済みの本人名義口座に資金を送ることです。出金設定は利便性だけでなく安全性の問題です。

銀行口座の許可リスト

「Approved Withdrawal Destinations」「Withdrawal Whitelist」があれば、詳細な規則を確認します。有効にすると、承認済みの銀行口座に出金先を限定できます。追加には追加確認や待機期間が必要な場合があり、有無や時間はブローカー次第です。送金先変更は難しくなりますが、乗っ取り後の出金阻止を保証しません。

対応していれば出金許可リストを有効にしてください。 顧客ポータルで「withdrawal whitelist」「approved withdrawal destinations」「trusted accounts」を探します。契約と安全設定も確認してください。提供状況は変わり、同じグループでも法人ごとに異なります。未提供は管理策の比較上の弱点ですが、不正直さを確定する証拠ではありません。

出金通知

出金申請ごとにメールとプッシュ通知を有効にします。身に覚えのない申請があれば、メールは既に侵害されている可能性があるため、すぐ電話してください。通常、申請とブローカー・銀行の実行の間には処理時間がありますが、具体的な法人の条件次第です。事件中ではなく事前に確認します。この時間が送金阻止の最良の機会になることが多いものの、唯一ではありません。送信後も銀行や決済業者が組戻し手続を開始できる場合があります。

登録情報の変更 — 安全性の重要点

重要なのはログイン自体より、メール、電話番号、銀行口座、出金受取人の変更であることが多いものです。毎週出金方法を変えると手動審査が発生し、利益を引き出したい時に一時制限がかかる場合があります。適切な方法を決め、確認し、継続的に使ってください。

KYC書類 — 別のブローカー口座を開ける情報

開設時には身分証かパスポートの写し、住所証明、場合により銀行明細を送ります。これらがそろうと、別口座の開設や復旧に使われる可能性があります。普通の添付ではなく、機密性の高い本人情報として扱ってください。

実際には、 顧客ポータルで書類をアップロードし、メールやメッセージアプリは避けます。メールで求められたら、確認済みサイトの電話番号で依頼を確認してください。 写しをダウンロードフォルダーやスマートフォンの写真一覧に放置しないでください。保存するなら暗号化領域や添付に対応するパスワード管理ソフトを使います。 確認後は作業用のコピーを削除し、送信済みメールやチャットからも消します。漏えい書類は「パスワードを忘れ2FAも失った」という復旧の試みに使われ得ます。可能なら電話連絡用パスワードも事前設定します。母の旧姓や最初の学校などの質問は別の問題で、答えが漏えいやSNSから推測可能です。ブローカーが使う場合も、強いMFAと確認された復旧手続を補助する確認として扱い、代替にしないでください。

5. 端末の保護 — VPN、公衆Wi-Fi、更新、用途の分離

コンピューターとスマートフォンは取引口座への入口です。端末が侵害されれば、パスワード、2FA、許可リストを組み合わせても不十分な場合があります。攻撃者が画面操作を観察できる可能性があるためです。

公衆Wi-Fi — VPNが解決すること、しないこと

公衆Wi-Fiについては誇張が多いため、基本と追加対策を区別します。基本は正しく検証されたHTTPS、正しいドメインのポータルの手入力、証明書警告を無視しないこと、更新された端末、フィッシングに強いMFAです。米国の消費者保護当局は、暗号化の普及により公衆Wi-Fi接続は通常安全だと明記しています^[13]。同時に、詐欺師も自分のサイトの証明書を取得できるため、暗号化だけでは情報の受取人を特定できないとも指摘しています。

公衆Wi-Fiには偽ホットスポット、偽ログインページへの転送、フィッシングのリスクが残ります。VPNや自分のホットスポットは、 補助的な防御層であり、安全性の必須条件ではありません。補助通信の露出や不慣れなネットワークへの依存を減らせますが、感染端末を修復したり、偽ドメインへのパスワード入力を止めたりはできません。

VPNを選ぶならログ方針が明確な提供者を選び、資金源も確認します。無料サービスでは価格以上に重要です。有料会員が無料枠を支えるものも、通信や利用者データを収益化するものもあります。有料なら信頼できると考えず、その企業の事業モデル、ログ方針、独立監査を評価してください。自分のスマートフォンのLTE/5Gテザリングは簡単なことが多く、信頼する事業者を増やさずに済みます。

VPNや、 VPS上のスキャンは、ネットワーク遅延や端末負荷に影響する場合があります。自分の構成で測定してください。 約定インフラの記事 で、ニュース取引や スキャルピングなど、影響する場合としない場合を説明しています。

有効なセッション — 確認と失効

ログインで作られるセッションはブラウザー、アプリ、端末で有効なまま残ることがあります。Cookieを盗むマルウェアはパスワードも2FAコードも不要で、有効なセッションだけで足りる場合があります。事件後にパスワードだけ変えて失効させなければ、攻撃者の接続が残る可能性があります。

ポータルで「active sessions」「devices」「logged-in devices」「security activity」を探します。定期確認し、別のパソコン、古い電話、知らない場所など、不明なものをログアウトさせます。「全端末からログアウト」があれば場所を事前に把握してください。第1層である連携メール口座も同様に確認します。

端末の使い分け

資金を管理する以上、取引環境を清潔に保ちます。 取引専用端末 とは、無関係な閲覧、添付、不明なソフトを避けるノートパソコンやタブレットです。必要なツールは取引プラットフォーム、顧客ポータル用ブラウザー、パスワード管理ソフトです。

ポーランドの予算例では、約千PLNの再生ThinkPadが保護の選択肢になります。専用端末が難しければOSの別ユーザープロファイルは整理と一部の露出軽減に役立ちますが、深刻なマルウェアに対し別端末の代わりにはなりません。

更新 — 日常的でも重要

Windows、macOS、Android、iOS、 MT5 と cTrader はセキュリティ修正を含む更新を受けます。MT4は下で別に扱います。古い環境には攻撃者が悪用できる既知の脆弱性があり得ます。無期限に延期せず、自動更新を有効にしてください。

MetaTrader 4は現在も開発元の更新を受けています。開発元による正式終了の発表が見つからないため、MetaQuotesがMT4の開発を正式に終えたとは述べません。利用するならブローカーか開発元から最新を入手します。無関係なサイトの古いビルドには既知の脆弱性があり得ます。

6. VPSとEAの安全性 — 管理を失った取引とリモートアクセス

Expert Advisor（EA）を VPS で動かすと攻撃面が増えます。このリモートコンピューターは24/7稼働し、ブローカーに接続し続け、口座にアクセスできます。侵害されると取引環境を攻撃者に支配されるおそれがあります。

安全なRDP設定

Remote Desktop Protocol（RDP）はWindows VPSへの標準的な接続方法です。インターネットに直接公開したRDPは常時標的になり、スキャンするボットが24/7パスワード攻撃を試みます。

RDPのポート変更だけでは保護は小さいものです。優先するのは、 RDPを公開しないこととVPN/WireGuardトンネル経由のアクセス、 IP許可リスト （ISPが安定したアドレスを提供する場合）、 Network Level Authentication（NLA）; VPS提供者でのMFA と利用する場合は接続ゲートウェイ側でも別途MFA、そして 定期的なスナップショットとイベント記録です。最小権限を適用し、取引環境に必要なものだけを入れます。

VPSのMT4/MT5でのパスワード保存を管理する

MT4とMT5にはログイン時の「パスワードを保存」があります。目的の運用に不要なら無効にします。保存情報はホストやセッション侵害後のアクセスを容易にするためです。ただし24/7のEAでは再起動後の再接続を確認してください。再認証の計画なしに保存を切ると、自動売買が止まるおそれがあります。

これはパスワード管理ソフトへの保存とは異なります。管理ソフトは独自の認証の背後で秘密を暗号化し、ホストと接続経路をMFAとIP許可リストで守れば、24/7のEA構成にも使えます。順序は、 まずホストとアクセスを保護し、その後に認証情報の渡し方を決めることです。どちらも他方の代わりにはなりません。保存と権限は自動化に必要な範囲に限定し、手入力だからといって初期設定のRDPを公開してよいわけでもありません。

管理を失った取引 — 制御者のいないポジション

EAが建てたものの、VPS障害、切断、再起動後に管理されなくなった取引です。アルゴリズムが動的に決済する想定だったため、 ストップロス も利食いもなく、誰も監視していない場合があります。マージンコールや他の介入までリスクにさらされ続けるおそれがあります。

対策： EAは仮想ストップだけに頼らず、サーバー側で受理されたストップロスを置くべきです。EAが止まってもSLはサーバーに残りますが、約定価格や予定額までの損失を保証しません。流動性が低く、 スプレッドが広がるロールオーバー時などには、想定以上に悪い条件で発動する場合があります。ニューヨーク17:00のロールオーバーは、ポーランドの例では通常23:00、夏時間切替日のずれがある期間は22:00です。これだけでブローカーのストップ狙いを示すわけではありません。仮想ストップは端末内の待機水準を隠しますが、インフラ依存を増やします。約定条件と取引手法に合わせて選びます。

VPSを共有しない

節約のための共有は、端末、ファイル、ログ、秘密情報にアクセスし得る他人にEAと保有ポジションをさらします。ポーランドの例ではPLN 50の節約がそのリスクを生みます。一人のトレーダーが管理し、無関係な利用者と口座環境を共有しないでください。

大きな口座やアルゴリズム取引は、FIX APIやサーバー付近のコロケーションを使うことがあり、 約定インフラの記事で扱います。他のAPIキーと同じく、読取専用と注文可能な認証情報を区別してください。

7. 10分のチェックリストとインシデント対応

今日アクセスできる保有ポジションにも、明日はアクセスできないかもしれません。以下は、 10分の点検として、一覧を確認し、まだ完了できていない項目を把握するためのものです。

リンク先でパスワードを入力しMFAも承認した — 次に何をするか？

第二要素が技術的に破られたのでなく、自分で承認したため難しい状況です。攻撃者は有効なセッションと登録情報変更権限を持つ可能性があります。一つの操作の速さだけでなく順序が重要です。 別の信頼できる端末 を使い、不審なメールとのやり取りを止めます。

1. パスワード変更に加えてセッションを失効する。 ポータルで全端末をログアウトさせ、その後パスワードを変更します。変更だけではセッションが終わらないことがあります。操作がなければ電話窓口に明確に伝えてください。
2. メールを保護する。 パスワードを変え、セッションを終了し、転送規則とフィルターを確認します。ブローカーのメールをゴミ箱へ移す規則が乗っ取りを隠す場合があります。
3. 事前に保存した番号でブローカーに電話し、メッセージ内の番号は使いません。出金停止と侵害疑いの記録を依頼し、ここ数時間で連絡先や出金先が変わっていないか尋ねます。
4. 第二要素を再設定する。 影響を受けた認証情報を失効し、MFAを再設定します。新しい復旧コードを生成して旧コードを無効にします。
5. APIキーを失効 させ、新規キーが作られていないか確認します。取引権限付きキーはパスワード変更後も有効な場合があります。
6. 出金情報と許可リストを確認する。 不明口座は別の事務処理でなく同じインシデントの一部として報告します。
7. すべてを記録する。 日時付き画面、全ヘッダー付きメール、ログイン履歴、電話の受付番号を残します。苦情や後の ブローカーとの紛争に役立ちます。
8. 端末を調べる。 不明な画面、拡張機能、理由不明の遅延などでマルウェアも疑うなら、第5節のとおり調査が済むまで清潔な端末を使います。
9. 報告する。 不正出金は警察と監督当局へ報告します。ポーランドの例では、フィッシング、メールや端末の侵害などの技術的事件は別途incydent.cert.plでCERT Polskaへ報告します^[14]。技術窓口は被害届やブローカーへの苦情の代わりではなく、返金を決定しません。他国では適切な国内報告窓口を使ってください。 記事13.7 は、苦情と監督措置の違い、および関連手続を説明します。

しては ではなく：突然の電話で送られた「パソコン点検ソフト」を入れず、遠隔操作を許可せず、「出金解除」の追加入金もしません。いずれも同じ攻撃の第二段階かもしれません。

この一覧は市場損失を防ぎません。目的は、市場以外の理由で口座管理を失うリスクを下げることです。その多くは丁寧な設定で対処できます。