パスキーの保存先が狙われ、証券口座に入られた疑いが出ている

SBI証券が2026年10月2日、GoogleやAppleのアカウントを狙うフィッシングに気をつけるよう呼びかけた。アカウント情報を盗まれ、預けてあったパスキーやパスワードのメモを使われて、証券口座に不正なログインと取引をされた疑いのある事案が見つかったという。

つまり、パスキーの仕組みが破られたわけではない。奪われたのは、パスキーを預けていたGoogleアカウントやApple Accountだ。

SBI証券は10月8日、この事案は日本証券業協会が会員に送った通知をもとに他社から報告されたものだと説明した。そのうえで、「現時点でSBI証券の証券口座での被害は確認されていない」とした。自社の被害と誤解されたためだ。

まず、設定を見るだけの3つ

ここが、ややこしい。パスキーの鍵は端末の中に作られる。でも、別の端末でも使えるように、クラウドに預ける仕組みがある。預け先は、Apple AccountやGoogleアカウントなどだ。証券会社のログイン画面をいくら固めても、預け先を奪われたら、鍵ごと持っていかれる。

では、何をすればいいか。SBI証券が挙げたお願いは、どれも設定画面を開くだけで済む。

1つ目。パスキーがどこにあるかを見る。iPhoneなら「パスワード」アプリを開き、サイトやアプリを選ぶ（iOS 17以前は「設定」の「パスワード」）。Googleなら、アカウントの「セキュリティ」から「パスキーとセキュリティ キー」に進むと一覧が出る。

2つ目。その預け先に二要素認証をかける。SBI証券は、認証アプリを使った強い二段階認証を勧めている。

3つ目。再設定用のメールアドレスと電話番号が、いまも自分のものかを確かめる。Googleの説明では、この番号には、ログインできないときにアカウントへ入るためのコードが届く。他人のものなら、入口を渡したままだ。「セキュリティ向上のため、パスキーを再登録してください」といった案内に従わないよう、SBI証券は呼びかけている。

1万1800円の鍵を、2本

ここから先は、お金がかかる話。投資系の発信者「S&P500最強伝説」が、10月11日から12日に、物理セキュリティキーを登録した手順を公開した。買ったのはYubicoのSecurity Key C NFC 2本。1本5900円で、合計1万1800円だ。もっと安いTrustKey T110（3500円）も候補に挙げている。

なぜ2本も買うのか。Appleは、セキュリティキーを使うなら2本以上の登録を求めている。1本なくしても、もう1本で入れるようにするためだ。

登録するとどうなるか。Appleの説明では、見慣れない端末やウェブから入るときに、パスワードのほかにセキュリティキーか、信頼済みの別のApple製デバイスが要る。Googleのほうは高度な保護機能をオンにすれば、ログインの手段がパスキーかセキュリティキーに絞られる。遠くからコードを受け取るだけでは、入れない。

ネットの評判

この手順を公開した記事には、10月12日時点ではてなブックマークが357件、コメントが59件付いた。「参考になる」という評価のほか、「物理キーをなくしそう」との心配や、中古品を買うのは危ないという注意が並ぶ。セキュリティキーを使える証券会社がまだ少ない、という声もある。

1万1800円は、2本で5年使えば月200円ほど。ただ、その前の3つは、設定画面を開くだけで終わる。