マルウェア経由なんじゃないかなあ
ユーザーがIDとパスワード漏らしてるわけだから証券会社に補償しろっていうのも難儀な話だと思う