7-Zipの脆弱性 CVE-2025-53816

 解凍・圧縮ソフト「7-Zip」にヒープバッファーオーバーフローの脆弱性、GitHubが報告 - 窓の杜 (07/22)

『任意のコード実行につながる可能性は低いが、メモリを破壊してアプリを応答不能に陥らせることができる（サービス拒否）』

 

CVE-2025-53816

『Zeroes written outside heap buffer in RAR5 handler may lead to memory corruption and denial of service in versions of 7-Zip prior to 25.0.0.

Version 25.0.0 contains a fix for the issue.

… CVSS-BT 5.5 MEDIUM

』

証券会社、セキュリティ対策

証券会社15社に緊急調査　乗っ取り対策に苦慮する生の声、利便性と安全性の板挟み | 日経クロステック（xTECH） (07/16)

「デイトレード等、即時取引の重要な場面で、都度 認証を求められるのは不都合」とつながりそう (有料部分が読めていない)。その場合は、MFAやFIDOで解決・軽減可能とも思われるが、日米の違いが気になってAIにも聞いてみた　↓　

 

Q.証券会社のセキュリティ対策、日本と米国の違い」について

A.以下の通りご説明します。

---

 日本の証券会社のセキュリティ対策

日本では、近年のフィッシング詐欺や口座乗っ取り事件の増加を受けて、証券会社各社がセキュリティ対策を強化しています。特に以下の点が注目されています：

• 二要素認証（MFA）やデバイス認証の導入：楽天証券やSBI証券などでは、ログイン時にメールやSMSで送信される画像認証やワンタイムパスワードを活用 [1] [2] [3] [4]。
• FIDO（Fast Identity Online）による生体認証：顔認証や指紋認証などを用いたログイン方式が一部で導入されており、パスワード不要の利便性と安全性を両立 [1]。
• ユーザー自身によるセキュリティ設定の有効化が必要：多くの機能がデフォルトでは無効になっており、利用者が自ら設定を有効化しない限り保護されないケースが多い [1]。
• 複数口座の使い分けによるリスク分散：資産の分散管理や用途別口座の活用が推奨されている [2]。

---

 米国の証券会社のセキュリティ対策

米国では、法制度や技術基盤の違いから、より厳格かつ体系的なセキュリティ対策が取られています：

• SEC（米国証券取引委員会）による報告義務：サイバー攻撃の被害報告が義務化されており、企業はインシデントの詳細を開示する必要があります [5]。
• ゼロトラストモデルの導入：アクセス制御や認証を細かく設定し、社内外問わずすべてのアクセスを検証する仕組みが普及。
• クラウドベースのセキュリティプラットフォーム：AIによる異常検知や自動遮断機能など、先進的な技術が導入されている。
• ユーザー教育と啓発活動の充実：フィッシング対策やセキュリティ意識向上のためのトレーニングが定期的に実施されている。

---

 比較ポイント

項目	日本	米国
認証方式	MFA、FIDO、生体認証（一部）	MFA、ゼロトラスト、生体認証（広範）
法制度	自主的な対応が中心	被害報告の義務化（SEC）
ユーザー設定	利用者が自ら有効化する必要あり	初期設定で有効化されていることが多い
技術基盤	一部クラウド対応	クラウドベースが主流、AI活用が進む
教育・啓発	一部企業で実施	業界全体で体系的に実施

---

References

[1] 第14回 スマートフォン・サイバー攻撃対策ガイド「証券会社を狙うサイバー攻撃の現状と利用者が講じるべきセキュリティ対策」

[2] 【最新版】証券口座のセキュリティ対策｜不正アクセス・乗っ取り防止に複数口座を持つメリット

[3] sbi証券のセキュリティは甘い？楽天証券などネット証券と比較！ | MONEY TIMES

[4] 【要対策】楽天証券とSBI証券の「セキュリティ設定」…不正アクセスによる“口座乗っ取り”から資産を守る方法は？

[5] 米国証券取引委員会、セキュリティ被害報告を義務化～日本企業が把握しておくべきポイントは？ | トレンドマイクロ

 

再度同様質問したところ、下記の回答を得た

---

 日本の証券会社のセキュリティ対策

1. 多要素認証（MFA）の義務化へ

金融庁は2025年7月に監督指針の改正案を公表し、証券会社に対して「多要素認証の設定を必須化」する方針を示しました。ログイン時に複数の要素（例：パスワード＋SMS認証）を組み合わせることで、不正ログインを防止する狙いです [1]。

2. 業界団体による緊急対応

日本証券業協会（日証協）は、楽天証券などで発生した不正取引を受けて、会員各社に対してセキュリティ対策の強化と顧客への注意喚起を求める緊急通達を発出しました [2]。

3. 課題と弱点

• 口座乗っ取り被害が急増しており、2025年上半期だけで700件以上の不正取引が報告されています [3]。
• 顧客のログイン情報がフィッシング詐欺などで盗まれ、低位株の不正売買に悪用されるケースが多発。
• 一部の証券会社ではセキュリティ対策のコスト負担が重く、対応が遅れる懸念もあります [1]。

---

 米国の証券会社のセキュリティ対策

1. SECによる開示義務化

米国証券取引委員会（SEC）は2023年末に新たな規則を施行し、重大なサイバーインシデントが発生した場合、企業は原則4営業日以内に開示する義務を負うようになりました [4]。これにより、透明性と迅速な対応が求められています。

2. 包括的なサイバーセキュリティ体制

SECは、証券会社や投資顧問業者に対して以下のような対策を推奨しています [5]：

• データ損失防止（DLP）
• アクセス制御とアカウント管理
• ランサムウェア対策
• 代替取引システムの保護
• 定期的な監査と教育

3. 政府機関との連携

米国ではCISA（Cybersecurity and Infrastructure Security Agency）やFBIなど複数の政府機関が連携し、サイバー脅威への対応を強化しています。StopRansomware.govなどの統合プラットフォームも提供されています [5]。

---

 比較表：日本 vs 米国

項目	日本	米国
認証方式	MFA義務化へ（2025年）	MFA・DLP・アクセス制御など包括的
法制度	金融庁・日証協による指針	SECによる開示義務（4営業日以内）
被害状況	口座乗っ取り急増（700件以上）	ランサムウェア・内部不正など多様
政府連携	金融庁・日証協中心	SEC・CISA・FBIなど複数機関
顧客保護	補償対応は各社判断	開示義務と教育強化が制度化

---

米国は制度・技術・体制の面で日本よりも数年先行しており、特に「開示義務の明確化」と「政府機関との連携」が大きな違いです。日本も急速に対策を強化していますが、まだ過渡期にあると言えます。

References

[1] ネット取引で多要素認証の設定必須化、証券監督指針の改正案－金融庁 - Bloomberg

[2] 日証協、一部証券での不正取引事案受け会員各社に緊急の注意喚起 - Bloomberg

[3] オンライン証券口座乗っ取り急増－日本の弱点露呈、官民の対策急務 - Bloomberg

[4] SEC新規則：サイバーセキュリティ開示義務化で企業の対応急務に

[5] Cybersecurity - SEC.gov

 

Q.米国は日本に比べて何年ほどセキュリティ対策が進んでいるか

A.最新の調査と制度の違いをもとにご説明します。

---

 結論：技術・制度面で「約5〜10年」の差があると推定されます

この差は単なる技術導入の早さだけでなく、法制度・経営意識・投資規模など複数の要素に起因しています。

---

 主な根拠と比較ポイント

1. 制度面の差：SECによる開示義務化（米国）

• 米国では2023年7月にSEC（米国証券取引委員会）が「サイバーセキュリティのリスク管理・戦略・ガバナンス・インシデント開示」を義務化 [1]。
• 企業は重大インシデント発生後、原則4営業日以内に報告が必要。
• 日本では明示的な開示義務はなく、東京証券取引所の規程に基づく「適時開示」があるものの、期限や実効性に課題が残る [1]。

 制度面では米国が約5〜10年先行していると評価される。

---

2. 技術導入と投資規模の差

• 米国企業のICT投資に占めるセキュリティ投資比率は6%以上、日本企業は約5%未満 [2]。
• 特に大企業（従業員5,000人以上）では、米国企業のセキュリティ投資比率が8.4%、日本企業は6.4%と差が拡大 [2]。
• URLフィルタリングやWebアプリケーションファイアウォールなどの導入率も米国が20〜30ポイント高い [2]。

 技術導入・投資面では米国が3〜5年先行していると推定。

---

3. 経営者の意識差

• 米国企業では「セキュリティを極めて重要」と考える経営者が45.4%、日本では17.8% [2]。
• 意識の差が施策のスピードや予算配分に直結。

 経営層の意識面でも米国が5年以上先行している可能性が高い。

---

 まとめ

項目	米国	日本	差の目安
制度	SECによる開示義務化	明示的な義務なし	約5〜10年
技術導入	高い導入率と多様な対策	導入率が低く偏りあり	約3〜5年
投資規模	ICT予算の6%以上	ICT予算の5%未満	約5年
経営意識	8割以上が重要視	約7割が関心あり	約5年

---

References

[1] 米国企業に対するサイバーセキュリティ関連の開示義務づけと日本への示唆｜日本総研

[2] 日米企業の情報セキュリティ投資に大きな差！米国企業の圧倒的な対策強化の背景とは？ - サードニュース