1. 事件の概要
X（旧Twitter）で投資情報を発信する個人投資家 テスタ さん（累計投資益100億円超）が、2025年4月30日夜～5月1日朝にかけて 楽天証券口座を不正アクセスされた と報告しました。
本人の投稿によれば「乗っ取られました。証券会社は楽天証券です」 (テスタ on X: “朝一2段階認証の確認メールがきて 誰かログイン試み …)。ニュースサイトでも直ちに取り上げられ、ネット証券のセキュリティを巡り大きな話題になっています。Rocket Boys
2. 時系列で見るハッキングの手口の推測
| 日時 (推定) | 犯人の行動（推測） | なぜ気づかなかったか（推測） |
|---|---|---|
| 4/30 夜 |
楽天証券にログイン→二段階認証メール発行 | 犯人がテスタさんのメールにもアクセスし、認証メールを開封・削除 |
| 同夜 | 株を売買し、約定通知メールも削除 | ログインしない限り、わからない |
| 5/1 早朝 |
再びログイン→二段階認証メール発行 | 今回は犯人の認証メール削除前に本人がメールを発見し被害判明 |
私の推測は 「証券口座のID・パスワードだけでなくメールアカウントまで突破されていた」 のではないか？ということ。二段階認証メールを犯人が読める状態では、追加認証は事実上機能しません。
3. 二段階認証は“無意味”ではない
二段階認証は 「別チャネルで本人確認」 する仕組み。ところが今回のように メール が乗っ取られると無力化 されることが多くあります。
対策は「攻撃者が同時に奪えない別チャネル」を選ぶこと。
4. 今日からできる実践的セキュリティ対策
- パスワードを使い回さない
- パスワード管理アプリで長く複雑・サイトごとに個別設定。
- 二段階認証に使うメールの“ログイン履歴”を定期確認
- Gmailなら「詳細」をクリック→IP や端末をチェック。
- メールより安全度が高い手段を使う
- 電話番号認証
- 認証アプリ（Google Authenticator・Microsoft Authenticator 等）
- 物理セキュリティキー（FIDO2／YubiKey 等）
- メール内のリンクを踏まない
- 「Amazonアカウント停止」など緊急を装うメールでも、必ず公式アプリ／ブックマークから直接ログインして確認。
- SNSでの“生活リズムのヒント”を減らす
- テスタさんは頻繁にポストしているため、犯人が就寝時間を推測した可能性あり。投稿時間や位置情報には注意。
5. まとめ
- 二段階認証は メールが安全であることが前提。
- メールまで漏洩していると、簡単に突破される。
皆さんも今日から早速、パスワード管理と二段階認証の見直し、メールアカウントのログイン履歴チェックを始めてみてください。