金融機関を狙うサイバー攻撃が相次いでいます。実在する証券会社をかたる偽サイトでIDやパスワードを盗む口座の乗っ取りや、業務の委託先がランサムウェアに感染したことによる顧客情報の漏洩が起きています。手口も侵入経路も広がり続けており、預金・有価証券・顧客情報という価値の高い資産を預かる金融機関は、攻撃者にとって格好の標的です。
こうした状況を受けて、金融庁は2024年10月に「金融分野におけるサイバーセキュリティに関するガイドライン」を公表しました。銀行・証券・保険・ノンバンクといった金融機関には、このガイドラインが求める管理態勢や対応事項に自社が応えられているかが、監督対応の面でも社内説明の面でも問われています。
本記事では、近年金融機関で実際に起きたサイバー攻撃の事例を手口とともに整理し、金融庁ガイドラインが求めること、そしてガイドラインの各領域に沿って自社で整えるべき具体的な対策を解説します。限られた人員や予算の中で何から着手すればよいか、優先順位の考え方もあわせて取り上げます。
目次
一括ダウンロードする
金融業界で今起きているサイバー攻撃の実態と近年の事例
ここからは、金融機関がなぜ狙われるのか、そして近年どのような攻撃が実際に起きているのかを、手口とともに整理します。自社の備えを考える前提として、攻撃の実像を押さえておきます。
なぜ金融機関が標的になるのか
金融機関は、預金や有価証券といった資産そのものに加え、氏名・住所・口座番号・取引履歴などの機微な顧客情報を大量に保有しています。攻撃者が金銭を得やすく、漏洩した情報も悪用しやすいため、継続的に狙われてきました。
独立行政法人情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2025」でも、組織向けの脅威は1位が「ランサム攻撃による被害」、2位が「サプライチェーンや委託先を狙った攻撃」とされており、金融機関が受けている被害もこの傾向と重なります。
攻撃を受けた場合の影響も深刻です。金融サービスの停止は利用者の生活や企業活動に直結し、顧客情報の漏洩や不正取引は、損害賠償や行政対応だけでなく、金融機関の信頼そのものを損ないます。
出典・参考資料（1件）
近年金融機関で起きた主な攻撃事例
実際に起きた事例を、手口とあわせて見ていきます。いずれも公的機関や被害企業の公表に基づくものです。金融機関が受ける攻撃には、自社の顧客（口座）が直接狙われるものと、自社や委託先のシステムが狙われるものがあり、守り方の考え方も変わります。
証券口座の乗っ取り（インターネット取引の不正アクセス・不正取引）。実在する証券会社のウェブサイトを装った偽サイト（フィッシングサイト）でログインIDやパスワードを窃取し、そのIDとパスワードで証券口座に不正アクセスして、口座内の株式等を勝手に売却、その代金で別の銘柄を買い付ける手口です。
金融庁は、特定の証券会社に限らず広く発生し得る事象として注意を呼びかけています。
2025年1月から2026年9月までの集計（暫定値、2026年10月時点）では、不正アクセス件数は合計19,252件、不正取引件数は合計10,642件、売却金額は合計約4,372億円にのぼると公表されています。
この数値は発生日ベースの暫定値で更新が続いており、売却・買付金額は顧客の損失額と一致するものではない点にも注意が必要です。
出典・参考資料（2件）
委託先を経由したランサムウェア感染による情報漏洩。金融機関自身ではなく、業務を委託していた会社がランサムウェアに感染し、預けていた顧客情報が漏洩するケースです。株式会社伊予銀行は、帳票の作成・発送業務を委託していた株式会社イセトーがランサムウェアに感染し、顧客情報が漏洩した事実を公表しています。
株式会社伊予銀行（以下、当行）がお客さま向け各種帳票の作成・発送業務を委託しております株式会社イセトー（京都市中京区）（以下、イセトー社）より、イセトー社がランサムウェア（※）に感染したとの報告を 2024 年 5 月 27 日に受けました。……2024 年 6 月 25 日に改めてイセトー社より報告があり、当行のお客さまの情報が漏洩した事実が確認されたとの説明を受けました。
出典：業務委託先での不正アクセスによるお客さま情報の漏えいについて｜株式会社伊予銀行
伊予銀行の公表によれば、漏洩した可能性があるのは氏名・住所・電話番号・口座番号・取引金額等の情報です。同じイセトーを経由して、ほかの金融機関や事業者でも同様の漏洩が公表されています。自社のセキュリティ対策が万全でも、委託先や連携先を経由して被害が及ぶ点が、この攻撃の特徴です。
法人口座を狙ったボイスフィッシング。銀行をかたる自動音声の電話やメール・SMSから偽サイトへ誘導し、ネットバンキングのIDとパスワードを窃取して不正送金を行う手口です。
警察庁は、遠隔操作ソフトを悪用する新たな手口が発生しているとして注意を呼びかけています。偽メールのリンクから「セキュリティ強化のためのソフト」と称する遠隔操作ソフトをインストールさせ、企業の端末を遠隔操作しながら、別途窃取したIDとパスワードで不正送金を実行するという流れです。
出典・参考資料（1件）
攻撃手口の巧妙化と侵入経路の広がり
攻撃手口は年々巧妙になっています。上の事例でも、本物と見分けにくい偽サイトや、正規の案内を装った遠隔操作ソフトの悪用など、従来の「怪しいメールに注意する」だけでは防ぎきれない手口が現れています。こうした手口は一過性ではなく、継続する脅威として備える必要があります。
攻撃の侵入経路も、自社の正面からの攻撃だけでなく、委託先や利用しているクラウドサービスを経由するものへと広がっています。入口を一つ塞げば終わりではなく、複数の経路を想定した備えが求められます。
金融庁「金融分野におけるサイバーセキュリティに関するガイドライン」が求めること
ここからは、金融業界固有の基準である金融庁ガイドラインが、自社に何を求めているかを整理します。自社の態勢を照らし合わせる枠組みとして押さえておきます。
ガイドラインの全体像と最新の改正状況
「金融分野におけるサイバーセキュリティに関するガイドライン」は、金融庁が2024年10月4日に公表した文書です。従来の監督指針等とは別に、より詳細な指針として策定されました。全体は3つの節で構成されています。
今般、これまでの検査・モニタリングの結果及び金融セクター内外の状況の変化を踏まえ、監督指針等とは別に、更に詳細な本ガイドラインを策定した。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
3つの節は、第1節「基本的考え方」、第2節「サイバーセキュリティ管理態勢」、第3節「金融庁と関係機関の連携強化」です。金融機関が実務で参照する対応事項の多くは、第2節に集約されています。
その後、2025年（令和7年）7月4日には一部改正が行われました。これは内閣サイバーセキュリティセンター（NISC）が「国家サイバー統括室」へ改組されたことに伴う名称等の技術的な修正で、対応事項の実質的な変更ではありません。さらに2025年10月20日には英訳版も公表されています。自社の態勢を確認する際は、こうした最新の版を参照することが大切です。
出典・参考資料（2件）
第2節の対応事項とリスクベース・アプローチ
第2節では、ガバナンス、リスクの特定、防御、検知、対応・復旧、サードパーティリスク管理という領域ごとに着眼点が示され、それぞれについて「基本的な対応事項」と「対応が望ましい事項」が明確化されています。両者の違いは次のように説明されています。
「基本的な対応事項」は、いわゆるサイバーハイジーンと呼ばれる事項その他の金融機関等が一般的に実施する必要のある基礎的な事項を指す。「対応が望ましい事項」は、金融機関等の規模・特性等を踏まえると、インシデント発生時に、地域社会・経済等に大きな影響を及ぼしうる先において実践することが望ましいと考えられる取組みや、……大手金融機関及び主要な清算・振替機関等が参照すべき優良事例を指す。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
重要なのは、これらを一律に求めるものではないという点です。ガイドラインは、各金融機関が自らの事業環境・経営戦略・リスクの許容度を踏まえてリスクを特定・評価し、リスクに見合った対策を講じる「リスクベース・アプローチ」を求めています。規模や特性に応じて、どこから・どこまで対応するかを判断する余地が設けられています。
出典・参考資料（1件）
管理態勢の構築と経営陣の関与
ガイドラインは、対策を現場任せにせず、組織全体として取り組む管理態勢を求めています。そのうえで、形式的な遵守に終わらせないよう念押ししています。
こうした状況の下、金融機関等には、本ガイドラインを形式的に遵守することのみを重視したリスク管理態勢とならないように留意し、関係法令、監督指針等及び本ガイドライン等の趣旨を踏まえ、実質的かつ効果的な対応を行うことが求められている。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
組織全体で対応するためのガバナンスを確立するには、経営陣のリーダーシップが欠かせないとされています。チェックリストを埋めるだけの対応ではなく、経営層が自社のリスクを理解し、投資判断や体制づくりに関与することが前提になっています。
ガイドラインの各領域に沿って整えるべき具体的な対策
ここからは、前半で見た攻撃の手口と、ガイドライン第2節の各領域（リスクの特定・防御・検知・対応と復旧・サードパーティリスク管理）を結び付けながら、自社で整えるべき対策を具体的に見ていきます。全体像は次のとおりです。
- リスクの特定・情報資産の可視化：何を守るべきか（重要なシステム・端末・データ）を洗い出す
- 多要素認証（防御）：窃取されたID・パスワードだけでは突破されない認証にする
- ネットワーク・端末の検知：侵入や不審な通信・挙動に早く気づく（NDR・EDR）
- インシデント対応と復旧：バックアップを守り、原因を確かめてから業務を立て直す
- サードパーティリスク管理：委託先・連携先のリスクを契約・点検で管理する
- 従業員教育・訓練：人を狙う手口に対応できるよう定期的に訓練する
リスクの特定と情報資産の可視化
前半で見た委託先経由の漏洩では、氏名・住所・口座番号・取引金額といった情報が流出しました。まず自社が「何を・どこに持っているか」を把握しておかなければ、守りようも、漏洩したときの影響の見極めもできません。
対策の出発点は、自社が何を守るべきかを把握することです。どのシステム・端末・データが業務上重要で、どこにどのような情報資産があるのかを洗い出し、その重要度に応じて守り方を決めます。守る対象が見えていなければ、攻撃を受けても異常に気づけず、優先順位も付けられません。ガイドラインが求めるリスクベース・アプローチも、この資産とリスクの可視化が前提となります。
多層防御と多要素認証（フィッシング耐性）
サイバー攻撃対策は、認証・検知・復旧といった複数の防御を層のように重ねる「多層防御」の考え方が基本です。どれか一つの層が破られても、別の層で被害を食い止めることをねらいます。ここでは、その最初の層となる認証を取り上げます。
証券口座の乗っ取りやボイスフィッシングは、いずれもIDとパスワードの窃取が起点でした。パスワードだけに頼る認証は、窃取されればそのまま突破されてしまいます。ガイドラインは、認証要件をシステムや情報の重要度に応じて決めることを求めており、特に重要なシステムへのリモートアクセスについては明確に多要素認証を挙げています。
システムや情報の重要度に応じて、認証要件（多要素認証、リスクベース認証等、認証時におけるリスク低減策等）を決定すること。特に、重要なシステムへのリモートアクセスには、多要素認証を使用すること。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
ただし、多要素認証であればどれでも同じというわけではありません。SMSやワンタイムパスワードを使う方式には、それを突破する攻撃手法も現れています。
こうした背景から、金融庁・警察庁・業界団体は、偽サイトに認証情報を入力させても悪用されにくい「フィッシング耐性のある多要素認証」の普及に向けた官民一体の広報を2026年4月に行っています。認証を固める際は、方式ごとの耐性の違いまで踏まえて選ぶことが求められます。
出典・参考資料（2件）
多要素認証の仕組みや、二段階認証との違い・方式ごとの安全性の差を基礎から確認したい場合は、以下の記事で整理しています。
ネットワーク・端末の検知（NDR・EDR）
侵入を完全に防ぎきることは難しいため、侵入された後にいかに早く気づくかが重要になります。前半で見たように、委託先や外部から入り込んだ攻撃者が内部で気づかれずに動き回ることもあり、その兆候を捉える監視が要ります。ガイドラインの検知の領域でも、ネットワークとサーバ・端末の両面で監視を行うことが示されています。
ネットワークについて、例えば、以下の監視をすること。・組織内ネットワークへの不正侵入（IPSやIDSの利用等による監視）。・DDoS 攻撃等によるネットワークフローやトラフィックの異常値。・不正又は通常と異なるネットワーク接続やデータ転送。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
ネットワーク側の監視を担うのが、通信そのものを監視して不審な侵入や内部の異常な通信を検知するNDR（Network Detection and Response）です。社内ネットワークを流れる通信を取り込んで分析することで、外部からの侵入だけでなく、侵入後に内部で横方向に広がる動き（ラテラルムーブメント）やデータの持ち出しなど、通信に痕跡が残る不正を捉えられます。
一方、個々のパソコンやサーバの不審な挙動を監視するのがEDR（Endpoint Detection and Response）です。ネットワークに現れない端末上の操作はEDRや端末の調査が担うため、両者は置き換えではなく補完の関係にあります。
出典・参考資料（1件）
インシデント対応と復旧（バックアップ・事業継続）
攻撃を受けたときに被害を最小限に抑え、業務を立て直すための備えも求められます。ランサムウェアへの対策として重要なバックアップについて、ガイドラインは復旧時の留意点を次のように示しています。
バックアップからの復旧の際には、攻撃の手法に応じて、既にバックアップデータ等が改ざんされている可能性や、マルウェア等に感染している可能性に留意すること。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
単にバックアップを取るだけでなく、そのバックアップ自体が汚染されていないかを確かめることが求められます。また、被害の原因を特定しないまま復旧すると同じ攻撃を再び受けるおそれがあるため、業務再開の判断には原因への対応が済んでいることの確認を含める必要があります。復旧できる状態を保ちながら業務を継続する備えが、対応・復旧の要になります。
出典・参考資料（1件）
バックアップは、通常の社内ネットワーク上に置かれていると、侵入した攻撃者から本体のデータと一緒に暗号化・破壊されてしまうことがあります。バックアップ自体を守る仕組みや、感染したときに速やかに復旧するための備えも、検知や認証と同じく外部のソリューションを活用できる領域です。自社の復旧体制に不安がある場合は、バックアップの保護・隔離に対応したサービスの検討も選択肢になります。
ランサムウェアへの備えを、予防・検知・バックアップ・感染時対応・復旧の流れで体系的に整理したい場合は、以下の記事が参考になります。
サードパーティ（委託先・連携先）リスク管理
前半で見た委託先経由の情報漏洩は、自社だけを守っても防げない攻撃でした。ガイドラインも、サプライチェーンに由来するインシデントを正面から取り上げています。
金融機関等のサードパーティへの依存が増大するとともに、金融機関等のサプライチェーンは拡大・複雑化しており、金融機関等にとってそのリスク管理の難度は増大している。こうした中、サプライチェーンに由来するサイバーインシデントにより、金融機関等が多大な影響を受ける事例が発生している。金融機関等は、こうした状況を踏まえ、サプライチェーンのサイバーセキュリティリスクを適切に管理する必要がある。
出典：金融分野におけるサイバーセキュリティに関するガイドライン（令和6年10月4日）｜金融庁
委託先や連携先がどのような情報を扱い、どのような対策を講じているかを把握し、契約や点検を通じてリスクを管理することが求められます。自社の管理が行き届いていても、預けた情報が委託先で漏洩すれば責任を問われます。委託先の選定・監督を、自社の対策と一体のものとして組み込む必要があります。
出典・参考資料（1件）
委託先や利用サービスを経由するサプライチェーン攻撃の手口や、取引先を含めた具体的な対策をより詳しく知りたい場合は、以下の記事で手口の類型と被害事例とあわせて解説しています。
従業員教育とフィッシング対応訓練
技術的な対策を整えても、偽メールのリンクを開く、遠隔操作ソフトをインストールしてしまうといった入口は、人を介して開かれます。ボイスフィッシングのように、担当者をだまして操作させる手口が増えている以上、従業員が最新の手口を知り、不審な連絡に適切に対応できることが防御の一部になります。
ガイドラインの防御の領域でも、役職員への教育・研修が位置付けられています。定期的な訓練を通じて、技術と人の両面から備えることが求められます。
具体的には、疑似的なフィッシングメールを定期的に送り、開封率や報告状況を確かめる標的型メール訓練が有効です。あわせて、前半で見た「取引先や公的機関を装った電話で遠隔操作ソフトの導入を求める」ボイスフィッシングの手口も想定します。不審な依頼を受けたときの確認先と社内エスカレーションの手順を、訓練の中で繰り返し周知しておくことが欠かせません。
自社の態勢を点検し、着手の優先順位を決める
ここまで見てきた対策をすべて一度に整えることは、特に人員や予算の限られる金融機関には現実的ではありません。ここからは、自社の手薄な領域を把握し、何から着手するかを判断する方法を整理します。
セルフアセスメントと業界横断演習で自社の手薄な領域を把握する
自社の態勢を客観的に点検する物差しとして、金融庁と日本銀行が共同で実施するサイバーセキュリティセルフアセスメントがあります。2023年度の集計結果は、地域金融機関の現状を次のように示しています。
殆どの先が経営方針としてサイバーセキュリティの確保を掲げていたが、経営方針を定めていない先が8％程度みられた。また、経営計画については15％程度の先がこれを策定していなかった。
出典：金融機関におけるサイバーセキュリティセルフアセスメントの集計結果（2023年度）｜金融庁・日本銀行
この集計は地域金融機関498先を対象としたもので、サイバーセキュリティ人材についてはいずれの機能でも十分に確保できていないとの回答が大半を占めていました。自社の状況を同じ項目で点検すれば、どこが手薄かが見えてきます。
あわせて、金融庁は業界全体のインシデント対応能力の向上を目的に「金融業界横断的なサイバーセキュリティ演習（Delta Wall）」を実施しており、2025年の演習は通算10回目にあたります。こうした演習への参加は、自社の対応手順を実地で検証し、社内説明の根拠を得る機会になります。
出典・参考資料（2件）
限られた予算・人員での現実的な着手順
リスクベース・アプローチの考え方に沿えば、守るべき資産とリスクの大きい領域から順に手を付けるのが基本です。まず守る対象と現状を可視化し、次に侵入や不正な通信に気づける検知の仕組みを整え、認証を固めて窃取されたID・パスワードだけでは突破されないようにし、万一の際に復旧できる備えを用意する、という順序が一つの目安になります。
これは記事の解説順ではなく、着手の優先順位の目安です。可視化で全体像をつかんでから検知・認証・復旧へと広げていくと、限られた体制でも無理なく積み上げられます。
人材が限られる場合は、自社だけで抱え込まず、監視や調査を外部のサービスや専門家に委ねる選択肢もあります。すべてを内製するのではなく、自社の体制に合わせて優先順位を付け、手薄な領域を外部の手も借りながら段階的に埋めていくことが、現実的な進め方です。
一括ダウンロードする
社内の侵入・不審通信を検知し認証を固めるソリューション
ここからは、これまで整理した対策のうち、検知・端末の調査・認証の3つの領域について、具体的なソリューションを紹介します。これらは対策全体の一部で、バックアップ保護や従業員教育などにはそれぞれ別のソリューションがあります。
ここで紹介する3つのサービスは、いずれも資料請求で詳細を確認できます。まずは各サービスがどの対策に対応するかを一覧で示します。
| サービス名 | Network Blackbox | CoWorker 端末侵害診断サービス | CloudGate UNO |
|---|---|---|---|
| 対策の種類 | ネットワーク検知（NDR） | 端末の侵害診断（フォレンジック） | 認証・アクセス管理（IDaaS） |
| 守る・調べる対象 | 社内ネットワークを流れる通信 | 業務用のPC（端末） | クラウドサービスへのログイン・ID |
| ガイドライン上の対応領域 | 検知（ネットワークの監視） | 検知・事後調査（端末） | 防御（多要素認証・アクセス制限） |
| 主にできること | 通信を保存・分析し、外部からの侵入・内部の不審な通信・データの持ち出しを検知。保存した通信を遡って事後調査（フォレンジック）できる | 端末のログをAIと専門家が解析し、マルウェア感染・情報の持ち出し・内部不正の痕跡を調査。退職者PCの確認や定期的な点検に対応 | パスキー（FIDO2）によるパスワードレス認証と、端末・場所・時間の3軸でのアクセス制限により、窃取されたID・パスワードによる不正ログインを防ぐ |
| 実施のタイミング | 常時（通信を継続的に収集・分析） | スポット・定期（退職時・インシデント疑い・年1〜2回など） | ログイン時（リアルタイムに認証・制限） |
| 提供形態 | ミラーリング方式（詳細な提供形態は非公表） | 専用ツールの実行→データ送信による遠隔診断（現地対応も相談可） | クラウド型（IDaaS） |
| 料金 | 要問い合わせ（非公開） | 定価50万円/台（税別） 台数に応じたボリュームディスカウント・トライアル価格あり | 月額400〜600円/ユーザー（税抜） プランにより別途初期費用（金額は非公開） |
| 無料トライアル | なし（デモ申請は可） | なし（無料相談・見積りは可） | 30日間の無料体験 |
| 詳細情報 | 公式資料を見る | 公式資料を見る | 公式資料を見る |
1. Network Blackbox（株式会社クワッドマイナージャパン）
Network Blackboxは、社内ネットワークを流れる通信を取り込んで分析する、フルパケットキャプチャ方式のNDR（Network Detection and Response）ソリューションです。
株式会社クワッドマイナージャパンが提供しています。通信を保存・分析することで、外部からの侵入や内部の不審な通信、データの外部への持ち出しなど、ネットワーク上に痕跡が残る動きの検知と事後調査を担います。
保存した通信を遡って検索・分析できるため、不正アクセスが疑われた際に、いつ・どの宛先と・どのような通信が行われたかを確認する調査（フォレンジック）に活用できます。
既存のEDRや、ログを集約して分析するSIEMとはSyslogやREST API経由で連携する設計で、端末側やログ側の仕組みを置き換えるのではなく、ネットワーク層の検知を補う位置付けです。前述のガイドラインが求める「組織内ネットワークへの不正侵入」の監視に対応するソリューションといえます。
2. CoWorker 端末侵害診断サービス（CoWorker株式会社）
CoWorker株式会社が提供する端末侵害診断サービスは、会社が管理するパソコンなどの端末が、ランサムウェアに感染していないか、情報漏洩や内部不正が行われていないかを調べるサービスです。退職者のPCを解析して機密情報の持ち出しがなかったかを確認する用途と、在籍社員の支給PCを定期的にチェックして感染や不正の有無を確認する用途があります。
端末のログを解析して挙動を調べるフォレンジックの技術を、同社のAIエージェント「Blue Agent」を用いて行う点が特徴です。従来のフォレンジックは費用が高く専門家も限られていましたが、AIの活用により、問題が小さいうちに簡易かつ短期間で診断できるようにしています。
AIの作業内容はログとして残り、最終的なレポートは人が確認・承認する流れをとっています。脆弱性の公表をきっかけに「自社の端末がすでに侵害されていないか確かめたい」といった相談にも対応しており、ネットワーク側の検知とあわせて端末側を点検する手段になります。
このサービスを開発した背景と、診断を定期的に行う必要性について、同社はインタビューで次のように語っています。
フォレンジックはこれまで、1台あたり100万円から200万円ほどの費用がかかり、専門家も少ないという課題がありました。そこにAIの発達が組み合わさって、高速化・低価格化が実現できるようになったことが、このサービスを開発した大きなきっかけです。従来のフォレンジックは、何か大きな問題が起きてから重い腰を上げて対応するというイメージが強かったのですが、問題がまだ小さいうちに、より簡易でスピーディーに診断できるものが必要だと考えました。あわせて、攻撃者側もAIを使ってランサムウェアを高速化させていますので、年に1回ではなく、より定期的な診断が不可欠になってきているという背景もあります。
3. CloudGate UNO（株式会社インターナショナルシステムリサーチ）
CloudGate UNOは、社内外を問わずアクセスのたびに検証するゼロトラストの考え方に基づき、シングルサインオンを提供するIDaaS（Identity as a Service）です。株式会社インターナショナルシステムリサーチが提供しています。一度の認証で複数のクラウドサービスにアクセスできる利便性と、必要最小限の権限に絞るアクセス制御を組み合わせ、認証とアクセス管理を一元化します。
認証方式として、パスキー（FIDO2）によるパスワードレス認証に対応している点が特徴です。偽サイトに認証情報を入力させて悪用するフィッシングに対して強い耐性を持つ方式で、ガイドラインや官民広報が求めるフィッシング耐性のある認証の考え方に沿います。
加えて、端末・場所・時間の3つの軸でアクセスを制限でき、私用端末からのアクセスの禁止や特定拠点への限定といった制御が可能です。国産の自社開発で、導入前から導入後まで日本語でのサポート体制を備えています。
SMSやワンタイムパスワードを用いる認証を狙う攻撃との違いについて、同社はインタビューで次のように述べています。
当社が採用しているパスキーのパスワードレス認証は、フィッシング攻撃に対して非常に強い耐性を持ちます。SMS認証やワンタイムパスワードなどの一般的な多要素認証を突破する攻撃手法が顕在化する中、より安全な認証環境を提供します。
ここで紹介した検知・端末診断・認証のほかにも、社内セキュリティのソリューションは守る対象（端末・ネットワーク・ID・データ・監視運用）ごとに種類が分かれます。自社の課題に合うタイプを全体から比較検討したい場合は、以下の記事で守る対象別の選び方と代表的なサービスを整理しています。
社内セキュリティソリューション比較｜守る対象別のタイプ・代表サービスと選び方
社内のセキュリティを強化したいものの、端末の保護から不正アクセス対策、情報漏えいの防止まで課題が広く、何から手をつければよいか判断がつかないという声は少なくありません。テレワークやクラウド利用が定着し、社外に持ち出される端末やIDが増えたこ…
まとめ
金融機関を狙うサイバー攻撃は、証券口座の乗っ取り、委託先を経由したランサムウェア感染、法人口座を狙ったボイスフィッシングなど、手口も侵入経路も広がり続けています。これに対して金融庁は2024年10月にガイドラインを公表し、管理態勢の構築から、リスクの特定・防御・検知・対応と復旧・サードパーティリスク管理までの対応事項を、リスクベース・アプローチの考え方とともに示しました。
攻撃の手口と、ガイドラインが求める各領域の対策を結び付けて捉えると、自社で何を整えるべきかが見えてきます。すべてを一度に整えることが難しい場合は、セルフアセスメントで手薄な領域を把握し、守る対象の可視化から検知・認証・復旧へと段階的に着手するのが現実的です。
検知や端末の調査、認証の強化には、本記事で紹介したソリューションのように外部の手を借りる選択肢もあります。まずは自社の態勢を点検し、優先順位の高い領域から備えを進めてください。各サービスの詳細は、以下から資料をまとめて請求して比較できます。
一括ダウンロードする
よくある質問（FAQ）
Q. 金融分野におけるサイバーセキュリティに関するガイドラインとは何ですか？
A. 金融分野におけるサイバーセキュリティに関するガイドラインとは、金融庁が2024年10月4日に公表した、金融機関が備えるべきサイバーセキュリティ管理態勢と対応事項を体系的に示した指針です。従来の監督指針等とは別に、より詳細な基準として策定されました。
全体は第1節「基本的考え方」、第2節「サイバーセキュリティ管理態勢」、第3節「金融庁と関係機関の連携強化」の3つの節で構成され、金融機関が実務で参照する対応事項の多くは第2節に集約されています。その後2025年7月4日に一部改正、同年10月20日に英訳版が公表されています。
出典・参考資料（1件）
Q. 金融庁のサイバーセキュリティガイドラインに法的強制力はありますか？
A. ガイドライン自体は法律ではありませんが、監督指針等と一体で運用される監督上の基準であり、金融機関には実質的な対応が求められます。
ガイドラインは、形式的に遵守することのみを重視した管理態勢とならないよう留意し、関係法令・監督指針等の趣旨を踏まえた実質的かつ効果的な対応を行うことを求めています。金融庁の検査・モニタリングでは、この基準に照らして各社の態勢が確認されるため、「法的な罰則がないから対応しなくてよい」という性質のものではありません。
出典・参考資料（1件）
Q. 中小規模の金融機関や地域金融機関もガイドラインに対応する必要がありますか？
A. 規模にかかわらず対応は必要ですが、ガイドラインは規模・特性に応じてどこまで対応するかを判断できる「リスクベース・アプローチ」を採っており、すべての金融機関に一律の水準を求めるものではありません。対応事項は、一般的に実施する必要のある「基本的な対応事項」と、大規模先などで実践が望ましい「対応が望ましい事項」に分かれています。
専任者や予算が限られる場合は、まず基本的な対応事項から、自社のリスクが大きい領域を優先して整えるのが現実的です。金融庁・日本銀行のセルフアセスメントでは、地域金融機関で人材確保が十分でない実態も示されており、外部サービスの活用も選択肢になります。
Q. 金融機関のサイバー攻撃対策は何から着手すればよいですか？
A. 金融機関のサイバー攻撃対策は、まず守るべき情報資産とリスクの可視化から着手し、検知・認証・復旧の備えへと段階的に広げるのが現実的な進め方です。守る対象が見えていなければ優先順位も付けられないため、どのシステム・端末・データが業務上重要かを洗い出すことが出発点になります。
そのうえで、侵入や不正な通信に気づける検知の仕組みを整え、窃取されたID・パスワードだけでは突破されないよう認証を固め、万一の際に復旧できる備えを用意します。自社の手薄な領域は、金融庁・日本銀行のセルフアセスメントの項目に沿って点検すると把握しやすくなります。
Q. サイバー攻撃対策のNDRとEDRは何が違うのですか？
A. NDRとEDRの違いは、監視する対象がNDRは「ネットワークを流れる通信」、EDRは「個々のパソコンやサーバといった端末」である点にあります。NDR（Network Detection and Response）は社内ネットワークの通信を分析し、外部からの侵入や、侵入後に内部で横方向へ広がる動き、データの持ち出しなど通信に痕跡が残る不正を検知します。
EDR（Endpoint Detection and Response）は端末上の不審な挙動を監視します。ネットワークに現れない端末上の操作はEDRや端末調査が、端末に痕跡が残らない通信はNDRが捉えるため、両者は置き換えではなく補完の関係にあります。
Q. 委託先やクラウドサービスを経由したサイバー攻撃にはどう備えればよいですか？
A. 委託先・連携先を経由した攻撃には、委託先が扱う情報と講じている対策を把握し、契約や定期的な点検を通じてサプライチェーン全体のリスクを管理することで備えます。
自社のセキュリティ対策が万全でも、業務を委託した会社がランサムウェアに感染すれば、預けた顧客情報が漏洩し責任を問われます。金融庁ガイドラインも第2節でサードパーティリスク管理を正面から取り上げており、委託先の選定・監督を自社の対策と一体のものとして組み込むことが求められます。
Q. 多要素認証を導入していれば証券口座の乗っ取りは防げますか？
A. 多要素認証は有効な対策ですが、SMSやワンタイムパスワードを使う方式には突破する攻撃手法も現れており、方式によっては完全には防げません。
そのため金融庁・警察庁・業界団体は、偽サイトに認証情報を入力させても悪用されにくい「フィッシング耐性のある多要素認証」の普及を進めています。認証を固める際は、多要素認証を導入するだけでなく、パスキー（FIDO2）のような方式ごとの耐性の違いまで踏まえて選ぶことが大切です。
出典・参考資料（1件）
社内セキュリティソリューションの料金・資料を一括チェック
MCB FinTechカタログでは、サイバー攻撃対策に役立つ検知・端末診断・認証などのサービスの最新資料を無料で一括請求できます。複数のサービスの機能や対応領域をまとめて比較できます。
一括ダウンロードする
MCB FinTechカタログに掲載しませんか？
MCB FinTechカタログでは、掲載企業様を募集しています。マネックスグループの金融実務ノウハウを活かした独自の評価軸と検索設計により、導入検討者が最適なサービスを効率的に発見できる法人向け比較プラットフォームです。掲載後は管理画面から料金表や導入事例を随時更新でき、常に最新の情報を訴求可能。まずは下記フォームより、お気軽にお問い合わせください。
マネックス証券 フィナンシャル・インテリジェンス部 暗号資産アナリスト
松嶋真倫
監修の範囲は記事の一般的な解説部分であり、比較表および各製品・サービスの紹介内容は監修の対象外です。
