【緊急警告】パスキー設定済みでも証券口座が乗っ取られる？不正ログインの真実と資産を死守する多層防御マニュアル

こんにちは、Burdonです。

今回は、個人投資家の間で強い警戒感が広がっている「パスキー認証時代における証券口座乗っ取りの真相と、資産を死守する多層防御策」について解説します。

本稿では、日本証券業協会や大手ネット証券から発出された「パスキー利用中にもかかわらず不正ログインが疑われる事案」の背景にある技術的カラクリを紐解きます。なぜ強固なはずのパスキーが突破されたのか、その盲点であるクラウド同期（GoogleやAppleアカウント）の脆弱性を明らかにした上で、裏口となるパスワードログインの遮断、資産を1円も動かせなくする口座ロック機能、さらには万が一の被害時に問われる補償条件と証券会社選びの戦略までを体系的にまとめました。

「パスキーでも不正取引」の真相：破られたのは鍵ではなく金庫だった

2026年10月、日本証券業協会およびSBI証券などの主要ネット証券から、投資家に衝撃を与える注意喚起が発表されました。それは、次世代の極めて安全な認証方式であるはずの「パスキー（Passkey）を設定していたにもかかわらず、不正ログインや不正売買が疑われる事案が確認された」という内容です。これを受けてSNS等では「パスキーも無意味なのか」「証券会社のシステムが破られたのではないか」といった憶測が飛び交いましたが、パニックに陥る前に、まず何が起きたのかという事実関係を正確に理解する必要があります。

AIの進化が加速させる情報漏洩と超精密フィッシング

現在のサイバー空間では、攻撃側の能力がかつてない次元へ跳ね上がっています。高度な推論能力を持つ最新AIの登場により、システムの脆弱性探索から攻撃コードの組み立てまでが自律的かつ数時間単位で行われるようになりました。その結果、あらゆる業界の企業から氏名、メールアドレス、電話番号などの個人情報が大量に漏洩する事案が同時多発しています。

漏洩した個人情報は、それ単体で終わるのではなく「次の攻撃の材料」として悪用されます。あなたの本名や電話番号を知っている犯人が、AIを駆使して本物と見分けのつかない精巧な日本語で「不正なログインを検知しました」「緊急の本人確認が必要です」というメールやSMSを送りつけてくるのです。

家の鍵（パスキー）と鍵束の保管庫（Google・Apple）の関係

今回の事案において最も重要な事実は、「証券会社のシステムやパスキーの暗号技術そのものが正面から破られたわけではない」という点です。狙われたのは、パスキーを保存・同期している大元のクラウドアカウントでした。

セキュリティ要素	身近な例え（防犯構造）	今回の不正アクセスで起きたこと
証券口座のパスキー	自宅玄関の最新式生体認証ロック	単体の暗号強度やドメイン判定は無傷で極めて強固
Googleパスワードマネージャー / iCloudキーチェーン	すべての合鍵（鍵束）を保管し、別荘とも共有する「マスター金庫」	大元のGoogleやAppleアカウントが乗っ取られ、中の鍵束ごと悪用された

私たちがスマートフォンやパソコンでパスキーを作成する際、機種変更時の引き継ぎや複数端末での共有を便利にするため、パスキーは「Googleパスワードマネージャー」やAppleの「iCloudキーチェーン」といったクラウド上の保管庫に自動同期されます。いくら証券口座の玄関に最強の鍵（パスキー）を取り付けても、その鍵束をしまっている「Googleアカウント」や「Appleアカウント」自体のパスワードが単純で使い回されていたり、マルウェア感染でマスターキーを抜かれてしまえば、金庫ごと開けられてすべての証券口座に侵入されてしまうのです。

要注意！従来の2段階認証（SMS・認証アプリ）に戻してはいけない理由

一部の報道を見て「パスキーが突破されるなら、従来のSMS認証やワンタイムパスワード（認証アプリ）に戻した方がいいのではないか」と考える人がいますが、これは絶対にやってはいけない最悪の逆行です。

そもそも証券業界が一斉にパスキーへ移行したのは、従来のID・パスワード＋SMSコードという2要素認証が、偽サイトを介してリアルタイムで通信を盗み見る「中間者攻撃（AiTM攻撃）」によっていとも簡単に突破されたからです。パスキーには「正規のURL（ドメイン）でなければ絶対に鍵を渡さない」という強力なフィッシング耐性があります。パスキーを外すのではなく、「パスキーを維持した上で、それを保管する大元アカウントと証券口座の設定を多層的に固めること」が唯一の正解です。

第1の防衛線：大元の「Google・Appleアカウント」を要塞化する

私たちが真っ先に着手すべきは、すべてのパスキーとパスワードの「鍵束」を握っているプラットフォーム（Googleアカウント、Appleアカウント、Microsoftアカウント）の徹底的な強化です。

Google「高度な保護機能プログラム」と物理セキュリティキー

まず、GoogleやAppleのアカウント自体に必ず「2段階認証」と「パスキー」を設定してください。そして、アカウントのセキュリティ画面から「現在ログインしているデバイス一覧」を確認し、昔使っていた古いスマホや見覚えのない端末が残っていれば即座にログアウト・削除します。

さらに、Googleアカウントには「可能な場合はパスワードをスキップする」という設定の裏に、依然としてパスワード入力でもログインできてしまう仕様が残っています。これを完全に封じ込めたい方に極めて有効なのが、Googleが提供している「高度な保護機能プログラム（Advanced Protection Program）」への登録、および「YubiKey（ユビキー）」などの物理セキュリティキーの活用です。

強化オプション	具体的な防御効果	おすすめの対象者
大元アカウントの2段階認証＋パスキー化	第三者による不正ログインを多要素で阻止	すべての投資家に絶対必須
Google「高度な保護機能プログラム」	ログインをパスキーまたは物理キーのみに強制し、パスワード侵入や不審アプリ連携を完全遮断	GmailやChromeで資産管理を行う方
物理セキュリティキー（YubiKey等）	クラウドに同期せず、手元のUSB/NFC実物キーがない限りログイン不能にする最強の鍵	1,000万円以上の大口資産を運用する方

iPhone「盗難デバイスの保護」とAndroid「本人確認」の徹底

外出先でスマートフォン本体を盗まれたり、背後からパスコードを覗き見られた場合に備える設定も不可欠です。iPhoneユーザーは「設定」＞「Face IDとパスコード」から「盗難デバイスの保護」をオン（機能発動条件を「常に」に設定）にしてください。これにより、万が一スマホとパスコードが犯人の手に渡っても、本人の顔や指紋（生体認証）がなければ保存されたパスキーの閲覧やApple IDのパスワード変更が一切できなくなります。Androidユーザーも同様に、設定から「盗難防止の本人確認」を有効にしておくことで、重要操作時に生体認証を強制させることができます。

第2の防衛線：証券口座の「裏口」を塞ぎ、資産を完全ロックする

大元の金庫を固めたら、次は証券口座そのものの防御設定を最高レベルへ引き上げます。ここには多くの投資家が見落としている決定的なピットフォールが存在します。

SBI証券で必須！「ログインパスワード無効設定」の手順

パスキーを設定しただけで安心していませんか？実は、証券会社によってパスキー設定後の仕様が異なります。楽天証券やマネックス証券では、パスキーを有効化した時点で従来のパスワードによるログインが自動的に遮断されます。しかし、SBI証券の場合は、パスキーを設定しただけでは従来の「ユーザーネーム＋ログインパスワード」で入れる入り口（裏口）がそのまま残ってしまうのです。

玄関に最新鋭のパスキーをつけても、勝手口が古いパスワードのまま開いていれば、犯人はそこから侵入します。SBI証券を利用している方は、今すぐマイページの「セキュリティ設定」を開き、「ログインパスワード無効設定」を「有効（無効化する）」に変更してください。これでパスキー以外での侵入経路を完全に断つことができます。

使わない取引アプリ・ツールの個別ログイン制限

さらにSBI証券では、PCサイトだけでなく「株アプリ」「かんたん積立アプリ」「米国株アプリ」「HYPER SBI 2」など多数のツールが提供されており、それぞれがログインの入り口となっています。新NISAで投資信託の積立しかやっていないにもかかわらず、全てのアプリからのログインが許可された状態になっているのは無防備です。自分が普段使わないアプリやツールのログイン権限は、セキュリティ設定から個別にすべて「制限（オフ）」に切り替えておきましょう。

究極の砦：楽天証券「買付以外停止」とSBI証券「一時利用停止」

そして、長期投資家にとって最も強力無比な「最後の砦」となるのが、口座の取引・ログインそのものにロックをかけてしまう機能です。

証券会社と機能名	ロック中の動作と保護内容	ロック解除の条件
楽天証券 「投資信託の買付以外を停止」	毎月の投信積立は自動継続しつつ、投信の売却・国内外株式の売買・出金手続きを完全ロック	本人による電話認証等が必須（犯人が画面上で勝手に解除することは不可能）
SBI証券 「ログインの一時利用停止」	クレカ積立等の自動買付は継続しつつ、口座へのログイン自体を完全に遮断（ALSOK状態）	本人確認書類の提出とカスタマー審査が必要（物理的に誰も侵入不能）

インデックス投資をメインとする方であれば、毎月の積立設定さえ終えてしまえば、普段口座にログインして売買する必要は一切ありません。楽天証券で「投資信託の買付以外を停止」を設定しておけば、万が一犯人にログインされたとしても、保有株を売却することも、銀行口座へ出金することも1円たりともできません。SBI証券でも、年1回のリバランス時以外は「ログインの一時利用停止」をかけておけば、文字通り鉄壁の要塞となります。

第3の防衛線：個人情報は漏れている前提で動く「ゼロトラスト習慣」

システム面の設定と並んで重要なのが、私たち自身の日常的なセキュリティ習慣（サイバーハイジーン）の刷新です。現代において「自分の個人情報はまだ漏れていない」と考えるのは危険です。「自分の氏名・住所・電話番号・メールアドレスはすでにどこかの企業から漏洩し、犯人のリストに載っている」という前提（ゼロトラスト）に立って行動してください。

金融専用メールアドレスの分離とパスワード使い回し全廃

ネット通販やSNS、懸賞サイトなどに登録している普段使いのメールアドレスを、そのまま証券会社や銀行に登録していませんか？そのアドレスが1社から漏れた瞬間、あなたを狙い撃ちにしたフィッシングメールが殺到します。

これを防ぐ極めて有効な手法が、「証券会社・銀行専用のメールアドレス」を新規に作成して完全に分離することです。他の通販サイトやSNSには一切登録せず、金融機関とのやり取りだけに限定すれば、外部への漏洩確率を限りなくゼロに近づけられます。あわせて、各サービスのパスワード使い回しは今すぐ全廃し、20桁以上のランダムな文字列に設定してください。

リンク踏みの完全拒絶と全通知オン・出金先口座の点検

あなたの本名が書かれた「SBI証券からのお知らせ」というメールやSMSが届いても、「本物か偽物かを見分けようとすること」自体をやめてください。AIが作った精巧な偽サイトを目視で見抜くことはプロでも困難です。

鉄則はただ一つ、「メールやSMS内のリンクからは絶対にアクセスせず、必ず一度閉じてから公式アプリや事前登録したブックマークからログインして確認する」ことです。また、万が一の異変に1秒でも早く気づけるよう、「ログイン通知」「約定通知」「出金指示通知」「登録情報変更通知」はすべてオンに設定し、証券口座に紐づいている「出金先銀行口座」が見知らぬ口座に書き換えられていないか定期的に点検しましょう。

第4の防衛線：補償割合50%の現実と「対面証券への移管」という選択

最後に、あまり語られることのない「被害発生時の金銭補償のリアル」について踏み込みます。どれほど対策を講じても、未知のマルウェアやゼロデイ攻撃によって被害に遭う可能性はゼロではありません。その際、「証券会社が全額補償してくれるだろう」と高を括っていると、取り返しのつかない絶望を味わうことになります。

古いOS（Windows 10等）は「重大な過失」で補償対象外になる

銀行や証券会社の約款には、「利用者の重大な過失、または過失がある場合は補償を行わない（あるいは減額する）」と明記されています。ここで極めて重要なのが、「サポートが終了した古いOS（Windows 10や7など）や未更新のブラウザを使い続けていた場合、利用者側の過失とみなされる可能性が高い」という点です。

現在、主要な証券会社の推奨環境は「Windows 11以降」や最新のiOS・Androidに移行しています。「まだ動くから」と古いパソコンで取引を続け、マルウェアに感染して資産を奪われた場合、過失判定によって1円も補償されないリスクがあります。お金を扱う端末は常に最新OSと最新のセキュリティパッチを適用しておくことが、補償を受けるための絶対条件です。

ネット証券で買って対面大手証券へ移管する大口資産防衛術

さらに知っておくべきは、過去の不正アクセス事件における「対面証券」と「ネット証券」の補償スタンスの決定的な差です。

証券会社の類型	過去の不正取引に対する補償傾向	特徴とメリット・デメリット
大手対面証券 （野村・大和・SMBC日興・みずほ等）	原則「原状回復（実質100%補償）」の事例が大半	買付手数料は高いが、顧客保護の体力と補償姿勢が極めて手厚い
主要ネット証券 （SBI証券・楽天証券・松井証券等）	被害額の「50%補償」にとどまる事例が主流	取引手数料は無料で利便性抜群だが、自己責任原則が厳格

ネット証券は手数料を極限まで無料化している分、ユーザー側のID・パスワード流出による被害に対しては「50%補償」が基本ラインとなった経緯があります。もし3,000万円や5,000万円といった老後資産のすべてをネット証券1社に置いている場合、万が一の被害で半分しか戻らなければ人生設計が崩壊します。

そこで大口資産家にとって有効な選択肢となるのが、「買付手数料が無料のネット証券（SBIや楽天）で株式やETF・投信を購入し、ある程度まとまった資産（例：500万円〜1,000万円以上）になったら、補償の手厚い大手対面証券へ『株式移管（口座振替）』して保管する」というハイブリッド戦略です。移管には1銘柄あたり3,300円程度の手数料がかかる場合がありますが、一定額以上の移管であれば移管手数料を全額キャッシュバックするキャンペーンを実施している大手証券も存在します。資産規模が大きくなった方は、こうした「保管場所の分散と移管」も視野に入れておく価値があります。

まとめ：今日30分の見直しが数千万円の老後資金を守り抜く

AIの進化とともに、サイバー攻撃の手口は日々巧妙化しています。「自分はパスキーを設定したから大丈夫」「今まで被害に遭ったことがないから平気だ」という油断こそが、最大の脆弱性です。

しかし、本稿で解説した通り、攻撃の仕組みを正しく理解し、①大元のGoogle・Appleアカウントの要塞化、②証券口座のパスワードログイン無効化と取引停止ロック、③金融専用メールアドレスの分離とリンク踏みの拒絶、そして④推奨OS環境の維持と保管先の分散を徹底すれば、あなたの資産が奪われる確率は限りなくゼロへと抑え込むことができます。

何年もかけて汗水垂らして築き上げた大切な資産を守るためです。後回しにせず、今日これから30分だけ時間を確保して、ご自身のスマートフォンと証券口座のセキュリティ設定をすべて見直してください。その小さな行動こそが、あなたとご家族の未来を確実に守り抜く最強の盾となります。

最後までお読みいただきありがとうございました。