証券口座の不正アクセス対策として、顔認証や指紋認証を利用する「パスキー」の導入が進んでいます。しかし、2026年11月11日、パスキーを設定していた証券口座が乗っ取られた疑いがあることが報じられました。
パスキーは従来のパスワード認証よりも安全性が高く、フィッシング詐欺にも強い認証方式です。それにもかかわらず、なぜ不正アクセスが起きてしまったのでしょうか。
今回の問題で注目したいのは、証券会社の認証システムそのものが破られたというよりも、パスキーを保管・管理するGoogleやAppleのアカウントが狙われたとみられている点です。
つまり、証券口座に強固な認証を設定していても、その認証情報を管理する大元のアカウントが乗っ取られれば、被害につながる可能性があります。今回は、パスキーの仕組みと乗っ取りが起きる理由、個人でできる対策を整理します。
パスキーとは？顔認証や指紋認証を使う新しいログイン方式
パスキーとは、従来のID・パスワードによる認証に代わる、新しいログイン方式です。スマートフォンやパソコンに保存された暗号鍵を使い、顔認証や指紋認証、端末のPINコードなどで本人確認を行います。
例えば、スマートフォンで証券会社のサイトにログインする場合、パスキーを設定していれば、登録した端末で顔や指紋を認証することでログインできます。毎回パスワードを入力する必要がなく、複雑なパスワードを覚えておく負担もありません。
パスキーの大きな特徴は、公開鍵と秘密鍵という2つの暗号鍵を利用することです。
- 公開鍵：証券会社などのサービス側に登録される鍵
- 秘密鍵：利用者の端末やパスワード管理サービスなどで保護される鍵
ログイン時には、利用者側の秘密鍵を使って認証を行い、サービス側が公開鍵で確認します。秘密鍵そのものを証券会社に送信する仕組みではありません。
さらに、パスキーは登録したWebサイトやアプリと結び付いているため、偽サイトでは正規サイト用のパスキーを使えません。この仕組みによって、偽サイトにパスワードを入力させる従来型のフィッシング詐欺に強いという特徴があります。
ただし、パスキーを利用するための認証情報は、端末内だけでなく、GoogleパスワードマネージャーやAppleのiCloudキーチェーンなどを通じて複数の端末間で同期される場合があります。
ここが今回の問題を理解するうえで重要なポイントです。
なぜパスキーを設定していても乗っ取られるのか？
今回の事案では、パスキーそのものの暗号技術が破られたというよりも、パスキーを管理するGoogleアカウントやApple Accountが乗っ取られた可能性が指摘されています。
具体的には、次のような流れが考えられます。
- 攻撃者がGoogleやAppleを装った偽メールを送る。
- 「アカウントのパスワードを変更してください」「不正アクセスを検知しました」などと偽り、偽サイトへ誘導する。
- 利用者が偽サイトにGoogleやAppleのID、パスワードなどを入力してしまう。
- 攻撃者が盗んだ情報などを使って、GoogleやAppleのアカウントへの不正アクセスを試みる。
- クラウド上で同期・管理されているパスキーなどを悪用し、証券口座への不正ログインを試みる。
このように、証券口座のパスキーを直接破るのではなく、そのパスキーを管理しているアカウントを狙う手口です。
SMBC日興証券や三菱UFJモルガン・スタンレー証券なども、GoogleやAppleのアカウント情報を盗まれ、保存されているパスキーなどを悪用される可能性について注意喚起しています。
重要なのは、ということです。今回の事案は、セキュリティ対策を一つのサービスだけで考えることの難しさを示しています。
なお、GoogleやAppleのパスワードが盗まれただけで、必ずパスキーを利用できるわけではありません。実際には追加認証や端末の確認などが必要になる場合もあり、攻撃者がどのような方法でアクセスしたのか、詳細がすべて明らかになっているわけではありません。
また、スマートフォンを紛失した場合も注意が必要です。ただし、紛失しただけで直ちにパスキーが悪用されるわけではなく、端末のロック状態やアカウントの保護状況などによってリスクは異なります。
パスキーを悪用した乗っ取りを防ぐための対策
今回の問題を踏まえると、証券会社のログイン対策だけでなく、GoogleやAppleのアカウント自体を守ることが重要になります。
具体的には、次のような対策が考えられます。
1．Google・Appleの2段階認証を有効にする
まず確認したいのが、GoogleアカウントやApple Accountの2段階認証です。
2段階認証を設定すると、パスワードだけでは新しい端末などからログインできず、追加の本人確認が必要になります。仮にパスワードが漏れてしまった場合でも、不正ログインのリスクを低減できます。
Googleでは「2段階認証プロセス」、Appleでは「2ファクタ認証」という名称で提供されています。
ただし、2段階認証を設定していても、偽の画面で確認コードを入力したり、身に覚えのないログイン要求を承認したりすれば危険です。認証コードや承認通知の取り扱いにも注意が必要です。
2．不審なメールやSMSのリンクを開かない
今回のような攻撃で特に警戒したいのが、フィッシング詐欺です。
「アカウントが停止されます」「不正アクセスが確認されました」「本人確認が必要です」といった内容で、利用者を焦らせて偽サイトに誘導する手口が使われます。
メールやSMSに記載されたリンクからログインするのではなく、GoogleやAppleの公式アプリ、または普段利用している公式サイトから確認することが重要です。
また、突然表示された確認コードの入力画面や、身に覚えのないログイン承認要求には応じないようにしてください。
3．Google・Appleの登録端末を確認する
自分のアカウントに、見覚えのないスマートフォンやパソコンが登録されていないか確認することも大切です。
Googleアカウントでは、セキュリティ関連の設定からログイン中の端末や最近のセキュリティ活動を確認できます。Apple Accountでも、アカウントに関連付けられたデバイスを確認できます。
使っていない端末や見覚えのない端末があれば、不正利用の可能性を考えて対応する必要があります。
4．パスワードの使い回しをやめる
GoogleやAppleのアカウント、メールサービス、証券会社などで同じパスワードを使い回している場合は、変更を検討してください。
一つのサービスからパスワードが漏れると、同じ情報を使って別のサービスへのログインを試みられる可能性があります。
特にGoogleやAppleのアカウントは、複数のサービスや端末と結び付いているため、ほかのサービスとは異なるパスワードを設定することが重要です。
5．スマートフォンの紛失・盗難に備える
スマートフォンには、証券口座の認証情報だけでなく、GoogleやAppleのアカウント、メールなど重要な情報が集約されています。
画面ロックには推測されにくいPINコードやパスコードを設定し、生体認証も有効にしておきましょう。また、紛失時に遠隔から端末を探したり、ロックしたりできる機能も確認しておく必要があります。
スマートフォンを紛失した場合は、通信事業者への連絡や、Google・Appleのアカウント保護、証券会社への連絡などを速やかに行うことが大切です。
パスキーは危険なのか？設定しない方がよいのか
今回の報道を見ると、パスキーを設定していても証券口座が乗っ取られるのであれば、設定する意味がないのではないかと感じる人もいるかもしれません。
しかし、パスキー自体は従来のパスワード認証と比較して、フィッシング詐欺やパスワードの使い回しによる被害を防ぎやすい仕組みです。
例えば、偽サイトに誘導されてパスワードを入力してしまう従来型の攻撃では、盗まれたパスワードが本物のサイトでも悪用される可能性があります。一方、パスキーは登録したサイトと結び付いているため、偽サイトでは原則として認証に利用できません。
今回の問題は、パスキーの安全性が失われたというよりも、パスキーを保管・同期するアカウントが新たな攻撃対象になったと考えるべきでしょう。
そのため、パスキーを使わずに従来のパスワード認証に戻せば安全になるという単純な話ではありません。むしろ、パスキーと、それを管理するGoogleやAppleのアカウントの両方を適切に保護することが重要です。
まとめ：証券口座だけでなくGoogle・Appleの管理も重要
今回の証券口座乗っ取り疑惑から分かるのは、セキュリティ対策は一つの認証方式だけで完結するものではないということです。
証券会社がどれだけ強固なログインシステムを導入しても、利用者側のメールアカウントやGoogle・Appleのアカウントが乗っ取られれば、そこを足掛かりに不正アクセスされる可能性があります。
特に証券口座には、預貯金とは異なり、株式や投資信託などの金融資産が保管されています。不正ログインによって勝手に売買されるリスクもあるため、ログイン履歴や取引履歴を定期的に確認することも大切です。
