「証券口座が乗っ取られても半額しか戻らない？」サイバー攻撃で注目される“企業の補償格差”の現実

GMOインターネットのクラウドサービス「お名前.com デスクトップクラウド」がサイバー攻撃を受け、顧客情報の流出や不正取引が問題となっている。
これをきっかけに、SNSではネット上で管理する資産の安全性や、証券会社ごとの補償内容の違いに関心が集まっている。もし証券口座を乗っ取られ、勝手な株取引で損失が出たら、全額補償されるのかという点だ。

証券口座の被害、なぜ「全額補償」と「半額補償」に分かれるのか

2025年には、証券口座への不正アクセスで保有株式が勝手に売却されるなどの被害が相次いだ。

同年11月21日の衆議院財務金融委員会では、金融庁の担当者が「大手対面証券会社は原則として原状回復、大手ネット証券会社は原則として二分の一の金銭補償としている社が多い」と説明。仮に100万円の損失が出ても、利用する証券会社によっては50万円相当の補償にとどまる場合があるということだ。

なぜ、こうした差が生じるのか。アディーレ法律事務所の大垣優希弁護士は、銀行と証券会社では法律上の補償制度が異なると説明する。

「銀行のキャッシュカードが盗まれて預金を引き出された場合、利用者に重大な過失がない限り、銀行が被害額を補償するのが原則です。これは預金者保護法により、一定の場合に金融機関へ補償義務が課されているためです。一方、証券会社の口座には、同様の法定補償制度がありません。証券会社にシステム管理上の落ち度がなければ、第三者の犯罪による被害を補償する法的義務が直ちに生じるわけではなく、補償は各社の約款や対応方針に基づく側面が大きいといえます」

このため、各社の補償割合が異なっていても、それだけで違法とはいえないという。なお、補償は各社の方針や被害状況によって異なり、半額補償が一律のルールというわけではない。

「悪いのはハッカー」でも証券会社に責任はないのか

サイバー攻撃の加害者はハッカーだ。しかし、顧客の資産を預かる証券会社は「攻撃された側だから責任はない」と言い切れるのか。大垣弁護士は、企業のセキュリティ対策に不備があれば、損害賠償責任が生じる可能性があると説明する。

「顧客の資産や個人情報を預かる証券会社には、金融の専門事業者として、セキュリティ対策を講じる義務があります。そのため、証券会社側に管理上の不備が認められれば、損害賠償責任が問題となる可能性があります」

具体的には、既知のシステムの脆弱性を放置した場合、不審なアクセスの検知・遮断が不十分だった場合、監督当局の基準への対応を怠った場合などだ。ただし、被害が発生しただけで企業の過失が認められるわけではなく、当時の技術水準や対策状況などから判断される。

仮に証券口座を乗っ取られて100万円の損失が発生したのに、証券会社から「補償できるのは50万円です」と告げられたら、残りは諦めるしかないのか。大垣弁護士によれば、必ずしもそうではない。

「証券会社の約款で補償額に上限が定められていても、必ず従わなければならないわけではありません。企業にセキュリティ対策やシステム管理上の過失があれば、残り50万円を請求する余地があります」

さらに、事業者に故意や重大な過失がある場合、損害賠償責任を免除したり賠償額を制限したりする約款の条項は、消費者契約法上、無効とされるという。

「もっとも、訴訟では利用者側が企業の過失や被害との因果関係を立証しなければなりません。内部のセキュリティ体制は外部から把握しにくいため、追加の賠償を認めてもらうハードルは決して低くありません」

請求する権利はあっても、それを認めさせることは容易ではないのだ。

「パスワードを盗まれたのは自己責任」と言われる可能性も

不正アクセスによる被害では、利用者自身の責任も問題になる。

大垣弁護士は「同じ不正アクセス被害でも、認証情報がどこから漏えいしたかによって、責任の考え方は大きく異なります」と説明する。

「フィッシング詐欺で利用者が偽サイトにIDやパスワードを入力した場合は、利用者側の過失が問題となり、補償が減額されたり、認められなかったりすることがあります。一方、企業へのサイバー攻撃で認証情報が流出した場合、利用者に落ち度がなければ自己責任を問うのは難しく、企業側のセキュリティ対策が問題になります」

ただし、多要素認証を設定していなかったり、パスワードを使い回していたりした場合には、利用者側の注意不足として、補償額や損害賠償額が減額される可能性もあるという。

自分の資産が奪われても、全額戻るとは限らない

今回のGMOへのサイバー攻撃について、同社は不正アクセスに起因すると確認された不正取引の実現損失を補償する方針を発表している。一方、証券口座の乗っ取り被害に対する補償は、各社の方針や過失の有無によって異なる。

銀行預金と異なり、証券口座には同様の法定補償制度がない。企業に落ち度があれば追加の賠償を求める余地はあるものの、その立証も容易ではない。

サイバー攻撃が身近な脅威となったいま、問われているのは利用者のセキュリティ意識だけではない。利用者に落ち度のない被害を、企業と個人のどちらがどこまで負担するべきなのか。ネット証券を利用する人にとって、決して他人事ではない。

大垣優希弁護士（第一東京弁護士会所属）

アディーレ法律事務所。夫婦問題や遺産相続、債務整理など、多様な一般民事分野に関心を持つ。法律分野に留まらず、日本化粧品検定1級の資格も保有するなど、専門性のさらなる深化にも意欲的で、身近な悩みに根拠をもって寄り添う解説を志す。

＜取材・文／日刊SPA!取材班＞