SBI証券のログイン通知は信用できる？不正アクセスでも通知はくる？

 

最近、SBI証券の口座で勝手に中国株を買われたって話を聞いて、怖いですよね。

そんなニュースを目にして、「うちは大丈夫かな…」と不安を感じた方も多いはず。

実際、フィッシング詐欺や不正ログインの話題は、もう他人事とは言えない時代になってきました。

中でも気になるのが、SBI証券のログイン通知。

「これ、ちゃんと機能してるの？」

「不正アクセスされたら本当に気づけるの？」

そんな疑問がネットでも飛び交っています。

この記事では、ログイン通知の仕組みや不正アクセス時の挙動、そして通知の限界と実践的な対策まで、気になるポイントをわかりやすく整理しました。

なんとなく「通知＝安心」と思い込んでいた方ほど、知っておいて損はありません。

知らずに放っておくと、気づいた時には…なんてことがあるかもしれないですよ。

SBI証券ログイン通知の仕組み

「SBI証券って、ログインされたら本当にメール通知が届くの？」

そんな疑問を抱いたことはありませんか？

実は、SBI証券には「ログイン通知サービス」という仕組みがあります。

これは、自分の証券口座に誰かがログインした際、登録済みのメールアドレスに即座に通知が届くという機能です。

設定方法はとても簡単です。

SBI証券のウェブサイトにログインし、「口座管理」→「お客さま情報 設定・変更」→「Eメール通知サービス」から有効化するだけ。

ですが、ここが重要。

このログイン通知、初期設定ではオフになっているため、自分で明示的に設定しなければ機能しません。

つまり、「通知なんて来てないよ」と思っていたら、そもそも設定していなかっただけ…なんてことも。

実際、設定を忘れていたために不正ログインに気づけなかったケースも報告されています。

これ、まるで家の鍵をかけ忘れたまま安心しているようなもの。

防犯対策は“意識して初めて機能する”んですね。

では、このログイン通知が届けばそれだけで安心なのか？

確かに、第三者がログインしてきた場合に通知で異常に気づけるのは大きなメリットです。

たとえば、夜中に知らないタイミングでログイン通知が届いたら、「これはおかしい」とすぐに対応できます。

しかし、注意すべき点があります。

この通知はあくまでも「ログインという行為」が発生したことを知らせるもの。

逆に言えば、「ログインされてから気づく」仕組みなのです。

ただし、マルウェアや特定の不正アクセスでは通知が届かない場合もあるので、通知だけで完全に守られるわけではありません。

特にセッション乗っ取り（いわゆるAiTM攻撃）や、かつて問題になったバックアップサイト経由の不正アクセスでは、通知が機能しないケースも確認されています。

つまり、ログイン通知は「備えのひとつ」であって「絶対的な盾」ではないということ。

だからこそ、まずはこの通知機能を正しく理解し、自分の口座に設定されているかを今この瞬間にでも確認することが大切です。

不正アクセスでも通知はくる？

「不正アクセスされたら、ちゃんと通知って届くの？」

この問い、実はものすごく重要です。

SBI証券のログイン通知は、誰かがあなたのIDとパスワードで正規の方法でログインした場合、設定さえしていれば原則としてメールで通知される仕組みになっています。

つまり、典型的なフィッシング詐欺によるログイン。

偽サイトでIDとパスワードを盗まれ、それを使って犯人が本物のSBI証券にアクセスした場合――このときは、通知が届く可能性が高いです。

とはいえ、「通知が来た＝防げた」ではないのが現実。

たとえば、メールに気づくのが遅れれば、すでに被害が進行しているケースもあります。

 

実際、資産が勝手に売却されて、中国株や香港株に投資されていた――そんな被害例が2025年の春ごろから各証券会社で相次ぎました。

しかも、その株は流動性が低く、犯人側が価格を操作しやすい銘柄。

最終的に購入者側（つまり被害者）だけが損を被る構図です。

そして、ここからがさらにややこしい話。

通知がそもそも届かない場合もあります。

その一つが、近年話題のAiTM攻撃（Adversary in The Middle）です。

これは、偽サイトを介してあなたが本物のサイトにログインしたときに、犯人がその通信の“中間”に割り込む手口。

ログイン後の「セッション情報」をそのまま奪って、犯人自身が口座を操作するという流れです。

この場合、初回のログイン時には通知が届くこともありますが、セッションを乗っ取られた後の操作については、通知が届かないことがあります。

つまり、「通知が来ないなら安心」ではなく、通知が来なくても操作されている可能性があるということです。

さらにもう一つ、バックアップサイトの脆弱性も話題になりました。

これは、SBI証券のメインサイトが一時的に使えないときに案内される別のログインページのこと。

ここでは、しばらくの間多要素認証が適用されていなかったため、IDとパスワードだけでログインできる状態が続いていました。

この影響で、通知が届いても、認証の甘さから不正アクセスを防げなかったケースが報告されています。

なお、SBI証券は2025年5月31日よりこのバックアップサイトにも多要素認証を導入し、セキュリティ強化に乗り出しています。

つまり、通知が届くかどうかは、アクセスの経路と手口次第ということ。

どこからアクセスされたのか、どうやってログインされたのかで、挙動が変わるということです。

だからこそ、ログイン通知は頼れる味方ではありますが、「通知さえあれば大丈夫」という油断は禁物です。

日頃から通知にすぐ反応できるようにしておくこと。

加えて、通知だけに頼らない多層的な防御策を意識することが、不正アクセス対策の本質なのです。

対策まとめ

「通知を設定してれば、もう安心じゃない？」

そんなふうに思っている人、実はけっこう多いんです。

でも、実際はそう単純じゃありません。

SBI証券のログイン通知は、とても心強いセキュリティ機能のひとつです。

誰かがあなたの口座にログインすれば、メールで即座に知らせてくれる――これは間違いなく便利な仕組みです。

でもその反面、通知には“限界”があるという現実も知っておく必要があります。

 

あのね、通知が届いた時点で、すでに誰かにログインされた後なんですよ。

つまり、「入られたことを後から知る」タイプの防御。

玄関のチャイムが鳴った後に、「え、もう家の中にいるじゃん？」という感じに近いんですよ。

しかも、通知が届かない場合や、届いても不正を防げないケースもあります。

たとえば、セッション乗っ取り（AiTM攻撃）では、初回のログイン時に通知が届く場合もありますが、その後の不正な操作は通知されず気づけないというパターンも。

また、バックアップサイトでは、かつて多要素認証が適用されていなかったため、IDとパスワードだけでアクセスできてしまったことも。

その結果、通知が届いても、不正アクセス自体は防げないという落とし穴にハマるわけです。

なお、バックアップサイトも2025年5月31日からは多要素認証が必須となり、セキュリティ強化が進められています。

「じゃあ、どうすればいいの？」

通知だけでは足りない今、私たちにできることを整理しておきましょう。

まず、最も重要なのが多要素認証の設定です。

IDとパスワードだけでなく、スマホの生体認証や確認コードなど、“もう一段階”の認証を加えることで、不正アクセスのハードルを大きく上げられます。

 

SBI証券では2025年5月31日以降、デバイス認証やFIDO認証がログイン時に必須になります。

また、2025年5月9日からは出金時の二要素認証も全件に適用されるため、設定していない方は今すぐ確認を。

通知は、あくまで「気づきのツール」です。

それだけに頼らず、 自分で守るためにはこちらが重要です。

通知メール、ほんとうに自分に届いてますか？

「何かおかしい」と思ったら、 確認だけでも、してみる価値はあります。

 

さらに、パスワード管理も見直しポイントです。

簡単なパスワードや、他のサービスと同じものを使っていませんか？

定期的に変更し、英数字・記号を組み合わせた強固なパスワードを使うのが基本です。

加えて、フィッシング詐欺対策も欠かせません。

公式サイトへのアクセスは、必ずブックマークやアプリから。

メールやSMSに記載されたリンクは、一切クリックしないのが鉄則です。

セキュリティソフトの導入や、公共Wi-Fi利用時のVPN活用も、できれば取り入れておきたいですね。

 

そして最後に、意外と大事なのが、「通知メールを見逃さない環境づくり」です。

メールアプリの通知をオンにし、迷惑メールフォルダに振り分けられないよう設定を確認しましょう。

一瞬の見落としが、被害拡大につながることもあります。

「通知はあるけど、万全ではない」

だからこそ、“通知＋複数の対策”を組み合わせて、自分の資産を守る習慣を持つことが大切なんです。