Sorabun

セキュリティ

パスキーでも証券口座が乗っ取られた？ 本当の原因と今日やる設定【2026年10月】

公開 ・ 読了の目安 約19分 ・ Sorabun 編集部

パスキーでも証券口座が乗っ取られた？ 本当の原因と今日やる設定【2026年10月】

「パスキーにしていたのに、証券口座に不正にログインされた」。そんな疑いのある事案が出て、2026年9月の終わりから、証券会社の注意喚起が相次いでいます。

では、パスキーは破られたのでしょうか。この記事では、証券各社の発表と、Google・Apple・金融庁の公式の情報をもとに、何が起きたのかを整理します。結論から言うと、パスキーという仕組みが破られたという発表はありません。狙われたのは、パスキーやパスワードを保存している Google や Apple のアカウントです。

後半では、Google アカウント・iPhone・証券口座で今日やる設定と、乗っ取られたかもしれないときの連絡先をまとめます。

1. 何が起きた？ 9月末から注意喚起が相次いだ

日付 発表 内容
9/24 日本経済新聞 Apple や Google のアカウントを乗っ取り、証券口座で不正取引をした疑いのある事案を報道。日本証券業協会が加盟社に、顧客への注意喚起を求めた
9/29 PayPay証券 フィッシングなどで不正に取得したアカウントを「攻撃者が管理する端末に同期させ」、クラウドに保存されたパスキーを悪用した疑い
10/2 SBI証券 アカウント情報が盗まれ、クラウドに保存された「パスキーやパスワードのメモ」が悪用された疑い
10/6 SMBC日興証券 パスキーなどを保存している Apple・Google のアカウントの乗っ取りに注意。「当社システムへの不正侵入によるものではない」
10/13 三井住友信託銀行 ネットバンキングの不正利用で、一部の顧客の Apple・Google などのアカウントに「登録した覚えのない端末」が登録されていた
10/14 楽天証券 他社で起きた事案として注意を呼びかけ

「SBI証券で被害」は誤解

SBI証券の注意喚起を見て「SBI証券で被害が出た」という投稿がXで広がりました。しかし、この注意喚起は日本証券業協会の会員向けの通知に基づき、ほかの会社から報告された事案を受けて出したものです。SBI証券は10月8日、「SBI証券の証券口座での被害は確認されておりません」と追記しています。

被害が出た証券会社の名前、件数、金額は、2026年10月18日時点で公表されていません。

数字で見る（金融庁）

金融庁は、インターネット取引サービスへの不正アクセス・不正取引の件数を毎月公表しています（2026年10月9日更新・暫定値）。

2026年8月 2026年9月
不正アクセス 43件 37件
不正取引 25件 2件
不正取引があった会社 4社 2社

2025年1月からの累計は、不正アクセスが1万9,252件、不正取引が1万642件です。ただし、手口ごとの内訳はなく、今回のアカウント乗っ取りによるものかどうかは分かりません。数字はあとから直されることがあり、売買の金額は顧客の損失額とは一致しない、と金融庁は書いています。

2. パスキーは破られたのか？

破られていません。 「パスキーが破られた」「パスキーが盗まれた」と書いた発表はありません。各社が書いているのは、パスキーやパスワードのメモを保存したアカウントが乗っ取られた、ということです。実際に使われたのがパスキーなのか、メモに書いたパスワードなのかも、公表されていません。

パスキーがフィッシングに強い理由

パスワードのように「偽サイトに打ち込んで盗まれる」ということが、仕組みの上で起きにくいのがパスキーです。

3. 本当の弱点は「鍵を預けている場所」

多くのパスキーは、Google パスワードマネージャーや iCloud キーチェーンで、Google や Apple のアカウントに同期されます。だから機種を変えても、そのまま使えます。便利ですが、裏を返すと、そのアカウントに入られたときの影響が大きくなります。

本来は、何重にも守られている

公式の設計では、アカウントのパスワードだけでは、同期したパスキーは取り出せません。

今回、そこをどう突破したのかは公表されていません。だからこそ、入口になるアカウントを固く守ることが大事です。

4. アカウントは、こうして狙われる

各社が公表している入口は「フィッシングなど」までです。そのうえで、次のような手口への注意が呼びかけられています。

本物は、こんなことを聞かない

Apple は、次のことをしないと明記しています。

Google も、確認コードは他人と共有しないよう案内しています。電話や SMS でこれを求められたら、詐欺です。

5. 今日やる設定

Google アカウント：5つ

  1. セキュリティ診断を開く（myaccount.google.com/security-checkup）。やることが上から並んでいます
  2. 2段階認証プロセスをオンにする。できればパスキーかセキュリティキーで
  3. 再設定用の電話番号・メールアドレスが、今の自分のものか確かめる（「Google にログインする方法」）
  4. 「お使いのデバイス」→「すべてのデバイスを管理」で、知らない端末をログアウトする
  5. 「リンク済みアプリ」で、使っていない連携を削除する

政治活動に関わる人や活動家など、狙われやすい立場の人は「高度な保護機能プログラム」（無料）も検討できます。ログインにパスキーかセキュリティキーが必須になります。

iPhone（Apple アカウント）：4つ

  1. 「設定」→ 自分の名前 →「サインインとセキュリティ」で、2ファクタ認証を確かめる
  2. 信頼できる電話番号が自分のものか確かめる
  3. 名前の画面の下にあるデバイスの一覧で、知らない端末を「アカウントから削除」する
  4. 「設定」→「Face IDとパスコード」で、盗難デバイスの保護をオンにする（iOS 17.3 以降）

「盗難デバイスの保護」をオンにすると、いつもの場所の外では、保存したパスワードやパスキーを使うときに Face ID / Touch ID が必須になり、パスコードでは代わりになりません。Apple アカウントのパスワード変更などの大事な操作には、1時間の待ち時間がつきます。

さらに守りを固めたい人は、セキュリティキー（FIDO 認証の物理キーを2本以上）や、復旧キーも使えます。復旧キーは、なくすと Apple でも再発行できず、Apple は「パスワードアプリ、iCloud写真、メモ、iCloud Drive」に保管しないよう求めています。

パスワードを「メモ」に書かない

今回の注意喚起でも「パスワードのメモ」の悪用が挙げられています。

6. 証券口座は「パスワードを使えなくする」

Google のように、パスキーを作ってもパスワードが無効にならないサービスは多く、証券会社でもパスワードでのログインが残っていることがあります。パスワードが漏れれば、そこが入口になります。

パスキーを登録したうえで、パスワードでのログインそのものを止められる会社があります（2026年10月時点で確認できたもの）。

証券会社 設定
SBI証券 「ログインパスワード無効設定」（パスキーの設定が前提。Web・スマホサイト・SBI証券Plusが対象）
松井証券 「パスキーでのみログイン」（【口座管理】→【セキュリティ設定】の多要素認証設定）
マネックス証券 「今後はパスキーのみでログイン」

あわせて、ログイン通知、出金先の変更ロック、出金時の追加の認証なども、各社の案内に沿ってオンにしておきましょう。楽天証券は「パスキー関連メールには、パスキー設定ページへのリンクは一切ありません」と明記しています。メールのリンクから設定しないことも大事です。

7. 乗っ取られたかも、と思ったら

  1. 証券会社に連絡して、ログインを止める。SBI証券は、パスワードを変えて「ログイン一時利用停止」を設定してから連絡するよう案内しています
  2. Google：ログインできれば「最近のセキュリティ イベント」と「お使いのデバイス」を確認し、パスワード・再設定用の連絡先・Gmail の転送ルールを見直す。ログインできなければ、アカウント復元のページ（accounts.google.com/signin/recovery）へ
  3. Apple：パスワードを変え、account.apple.com で登録情報とデバイスを確認し、携帯電話会社で SMS の転送が設定されていないか確かめる。リセットできなければ iforgot.apple.com でアカウントの復旧を申し込む（数日以上かかることがあります）
  4. 相談窓口 - 警察相談専用電話 #9110、または都道府県警察のサイバー犯罪相談窓口（ログイン履歴の画面を保存して持っていく） - 消費者ホットライン 188 - 金融庁 金融サービス利用者相談室 0570-016811 - IPA 情報セキュリティ安心相談窓口 03-5978-7509（平日10〜17時）

8. 補償は「条件つき」

日本証券業協会と大手・ネット証券10社は、2025年5月、不正アクセスによる被害に「各社の約款等の定めに関わらず、一定の被害補償を行う方針」を申し合わせました。ただし、ID・パスワードの管理状況などを考慮し「個別の事情に応じて対応」するとしています。

SBI証券は、2025年10月26日以降の被害について、ID・パスワードの管理や「セキュリティ機能の利用状況など」を見て個別に決める、としています。今日の設定は、補償のためにも大事です。今回のアカウント乗っ取りの事案に申し合わせがどう当てはまるかは、公表されていません。

9. サイトを持つ人へ：WordPress の管理画面も同じ考え方で

WordPress の管理画面も、パスワードが漏れれば、サイトごと乗っ取られます。考え方は証券口座と同じです。

WordPress のAIプラグイン Sorabun（ソラブン） では、プロフィールの画面で「パスキーを追加」を押すだけで、いま使っている端末の指紋・顔・PIN でログインできるようになり、ログイン画面に「パスキーでログイン」のボタンが出ます。手元のデモサイトで実際に登録し、パスワードを入れずに管理画面に入れることを確かめました。2段階認証、ログインの通知、ログインURLの変更も、同じように設定できます。設定のしかたはマニュアル（セキュリティ）にあります。

自分のサイトに古いプラグインが残っていないかは、無料のセキュリティ診断で、URLを入れるだけで確かめられます。WordPress の守りの基本は、WordPressの保守・セキュリティ対策を徹底解説にまとめています。

よくある質問

パスキーはもう安全ではないのですか？

いいえ。パスキーが破られたという発表はなく、偽サイトでは使えないというフィッシングへの強さは変わりません。弱いのは、パスキーを保存している Google や Apple のアカウントの守りです。パスキーは使い続け、アカウントの2段階認証や端末の確認を固めてください。

パスキーを使うのをやめて、パスワードに戻したほうがいいですか？

おすすめしません。パスワードは偽サイトに打ち込めば盗まれます。証券会社も金融庁の監督指針に沿って、パスキーなどフィッシングに強い認証を必須にしています。パスキーを使ったうえで、パスワードでのログインを止められるなら止めるのが安全です。

自分のアカウントに知らない端末が登録されていました。どうすればいいですか？

その端末をアカウントから削除（ログアウト）し、パスワードを変えてください。証券口座や銀行口座の取引履歴も確かめ、覚えのない取引があれば、すぐに各社に連絡してください。不安なときは警察の #9110 に相談できます。

「パスキーを再登録してください」というSMSが届きました。本物ですか？

SBI証券は、このSMSや、サポート担当者を名乗る電話に応じないよう呼びかけています。楽天証券も、パスキー関連のメールに設定ページへのリンクは載せていないと明記しています。リンクは開かず、公式アプリや、自分でブックマークした公式サイトから確かめてください。

被害にあったら、補償されますか？

大手・ネット証券10社と日本証券業協会は一定の補償を行う方針を申し合わせていますが、ID・パスワードの管理状況などをみて個別に判断されます。今回の事案にどう当てはまるかは公表されていません。各社の案内を確かめてください。

まとめ

出典（2026年10月18日に確認）

ほかのコラム

セキュリティ スマホ乗っ取りの正体は「アカウント」だった。iPhone・Android・LINEで今日やる設定と確かめ方【2026年10月】 スマホの乗っ取りで実際に狙われているのは、スマホの中のアカウントと電話番号。警察庁・IPAの数字（ID盗用の検挙399件中スパイウェアは3件）、LINEの投票型乗っ取り、SIMスワップ、よく聞く話の確かめ、iPhone・Android・電話番号・LINEで今日やる設定、確かめ方ともしものときまで。 セキュリティ あなたのWordPressが加害者に？ 改ざんサイトで訪問者をだます「ClickFix」と、今日の確かめ方【2026年10月】 改ざんされたWordPressは、偽の「私はロボットではありません」画面で訪問者に自分でウイルスを実行させる「ClickFix」の道具にされます（ESETの検知では日本が世界最多14%）。仕込まれる仕組み、2026年10月に悪用されたプラグインの脆弱性、攻撃者が残す裏口、乗っ取られたときに起きること、自分のサイトの確かめ方と初動まで。 セキュリティ 【2026年】相次ぐ個人情報漏えい、何が起きている？ 原因の「事実」と今日やる対策 2026年9月から相次ぐ個人情報の漏えい（タイムズカー・ローソン・ソースネクストほか）。何が起きているのかを各社の発表と国の機関の資料で整理し、確認された手口、「AIのせい」は本当か、漏れたら個人が今日やること（免許証の本人申告）、サイトを持つ人の対策までまとめました。

コラムの一覧へ