顔や指紋で証券口座にログインできる「パスキー」を設定していても、AppleやGoogleのアカウントそのものを乗っ取られると、そこに保存されたパスキーを使って口座に不正ログインされる恐れがあります。SBI証券・SMBC日興証券・楽天証券は2026年10月、こうした手口に注意するよう相次いで呼びかけました。生体認証が破られたわけでも、証券会社のシステムから情報が盗まれたわけでもありません。守るべきなのは「パスキーを預けているApple・Googleのアカウント」です。
この記事では、各社と日本証券業協会の公式発表をもとに、何が起きているのか、パスキーはもう安全ではないのか、そして今日すぐにできる対策をiPhone・Androidの手順つきで整理します。証券口座を持っていない人でも、Apple・Googleのアカウントでパスキーを使っているなら同じ対策が役に立ちます。
何が起きている？証券会社の注意喚起の概要
証券各社の発表では、他社の口座で「GoogleアカウントやAppleアカウントのログイン情報が第三者に不正に取得され、クラウドに保存されていたパスキーやパスワードが悪用されて、証券口座に不正ログイン・不正取引された疑いのある事案」が確認されています。偽のメールやSMSで偽サイトに誘導され、Apple・Googleのアカウント情報を入力してしまったケースが想定されています。
楽天証券は、アカウント情報が流出していると、証券会社を装った偽サイトに直接だまされていなくても不正アクセスの被害を受けるリスクがあると説明しています。つまり、証券会社のログイン画面ではなく、その「手前」にあるApple・Googleのアカウントが狙われているのが今回のポイントです。
各社の発表の時系列
| 日付 | 発表元 | 主な内容 |
|---|---|---|
| 2026年10月2日 | SBI証券 | Google・Appleのアカウント情報を狙うフィッシングに注意。同社の口座での被害は確認されていない。同社のシステムからIDやパスワードが取得されたものではない |
| 2026年10月6日 （10月14日更新） |
SMBC日興証券 | Apple Account・Googleアカウントを第三者に乗っ取られると、保存されたパスキーで本人になりすましてログインされる可能性がある |
| 2026年10月14日 | 楽天証券 | 他社で不正ログイン・不正取引の疑いのある事案を確認。同社での被害は現時点で確認されていない |
日本証券業協会も、不正アクセスへの注意を呼びかけるページで、パスキーをクラウドにバックアップする場合はApple・Googleのアカウントにも多要素認証を設定するなど、厳重に管理するよう求めています。
パスキーが破られたわけではない、仕組みをおさらい
パスキーは、パスワードの代わりにスマホやパソコンの顔認証・指紋認証・画面ロックでログインする仕組みです。Appleの説明では、パスキーは公開鍵暗号を使い、サーバー側には公開鍵しか保存されないため、偽サイトに入力させて盗む、というフィッシングの手口が通じにくいのが特長です。Googleも、指紋や顔などの生体認証のデータは端末に保存され、Googleと共有されないとしています。
一方で、パスキーは機種変更や複数の端末で使えるよう、iPhoneなら「iCloudキーチェーン」、AndroidならGoogleのアカウントを通じてクラウドに同期される仕組みになっています。便利な反面、同期の元になっているApple・Googleのアカウントに第三者が入れてしまうと、そのアカウントに保存されたパスキーも使われてしまうという弱点があります。今回の注意喚起はまさにこの点を指しています。
「パスキーをやめる」必要はない
日本証券業協会は、パスキーはフィッシングに強い認証方式だとして、証券会社が提供している場合は速やかに切り替えるよう引き続き呼びかけています。問題はパスキーそのものではなく、それを預けているアカウントの守りが弱いことです。SBI証券は、不正なパスキーを探そうとして正規のパスキーまで消してしまうケースが増えているとして、今回の注意喚起を理由にパスキーを削除する必要はないと説明しています。
特にSBI証券では、ログインパスワードを無効にしている場合、端末からパスキーを削除するとログインできなくなります。機種変更などでやむを得ず削除するときは、先に「ログインパスワード無効の解除」を行うよう案内されています。焦って消す前に、まずは次の対策から始めましょう。
今すぐできる4つの対策
① Apple Account・Googleアカウントの両方で2段階認証（2ファクタ認証）を有効にする
② アカウントの復旧用メールアドレス・電話番号が自分のものか確認する
③ アカウントにログインしているデバイスを確認し、見覚えのないものは削除・ログアウトする
④ メールやSMSのリンクからアカウント情報やパスキーの登録をしない。身に覚えのない承認要求は拒否する
対策1：Apple Accountの2ファクタ認証を確認する（iPhone）
2ファクタ認証を有効にすると、新しい端末やWebで初めてサインインするときに、パスワードに加えて信頼できるデバイスや電話番号に届く6桁の確認コードが必要になります。iCloudキーチェーンを使うApple Accountでは2ファクタ認証が必須とされていますが、念のため確かめておきましょう。
- 「設定」アプリを開く
- いちばん上の自分の名前をタップ
- 「サインインとセキュリティ」をタップ
- 2ファクタ認証がオンになっているか確認する（オフなら、オンにして画面の指示に従う）
- 同じ画面で、信頼できる電話番号が今使っている自分の番号になっているか確認する
対策2：Googleアカウントの2段階認証プロセスを有効にする
Androidスマホを使っている人や、iPhoneでもGoogleのパスワードマネージャーにパスキーを保存している人は、Googleアカウント側の設定も必要です。パソコンの場合は次の手順です。
- Googleアカウントの管理ページを開く
- 「セキュリティとログイン」を開く
- 「Google にログインする方法」で「2 段階認証プロセスを有効にする」を選ぶ
- 画面の指示に従って設定を完了する
2段階目の方法は、ログイン中のスマホに届く「Googleからのメッセージ」、Google認証システムなどの確認コードアプリ、セキュリティキー、SMS・音声通話などから選べます。SBI証券・SMBC日興証券・楽天証券はいずれも、Google・Appleの両方のアカウントで2段階認証を設定するよう勧めています。あわせて、スマホを失くしたときに備えて8桁のバックアップコードを印刷するか保存しておくと安心です。
対策3：ログインしているデバイスを確認する
楽天証券とSMBC日興証券は、アカウントに登録された端末を定期的に確認し、使っていないものや見覚えのないものを削除するよう勧めています。
| アカウント | 確認・削除の手順 |
|---|---|
| Apple Account（iPhone） | 「設定」→自分の名前→下にスクロールしてデバイスの一覧を表示→見覚えのないデバイス名をタップ→「アカウントから削除」 |
| Googleアカウント | Googleアカウントの管理ページ→「セキュリティとログイン」→「お使いのデバイス」からデバイスの管理画面を開く→見覚えのないデバイスを選んでログアウト |
Googleは、同じ名前のデバイスが複数ある場合はすべてからログアウトするよう案内しています。Appleの一覧から削除した端末ではiCloudや「探す」が使えなくなるため、自分の古いiPadなどを誤って消さないよう注意してください。
対策4：リンクから入力しない、承認しない
楽天証券は、「セキュリティ向上のため、パスキーを再登録してください」といったSMSやメールは詐欺の可能性が高いとしています。同社はセキュリティ関連のメールにリンクを付けていないと明言しています。SBI証券も、SMSのリンクやサポート担当者を名乗る電話に従って登録手続きをしないよう呼びかけています。パスキーの登録や設定の変更は、必ず証券会社の公式アプリか、ブックマークした公式サイトから行いましょう。
また、使っていない時間帯にログインの承認依頼がスマホに届いたら、承認せずに拒否し、Apple・Googleのパスワードを変更してください。
見落としがちな確認ポイント
2段階認証を設定していても、アカウントの復旧用の情報が古いままだと、いざというときに自分でアカウントを取り戻せません。SBI証券は、Google・Appleのアカウントに登録された復旧用のメールアドレスや電話番号が本人のものか確認するよう案内しています。解約した携帯番号や、もう使っていないメールアドレスが残っていないか見ておきましょう。
パスワードの使い回しにも注意が必要です。SMBC日興証券は、長く複雑なパスワードを使い、他のサービスと同じものにしないよう求めています。Apple・Googleのアカウントは、写真やメール、決済、パスキーまでまとめて預かる「鍵束」のような存在です。
被害に気づいたときの相談先
日本証券業協会は、身に覚えのないログイン、取引、出金などがあれば、速やかに利用している証券会社の問い合わせ窓口に確認し、警察にも相談するよう呼びかけています。あわせて、Apple・Googleのアカウントのパスワード変更とデバイスの確認も急ぎましょう。
| 状況 | 連絡先・やること |
|---|---|
| 証券口座に身に覚えのない取引・出金がある | 利用している証券会社の問い合わせ窓口にすぐ連絡 |
| 不正アクセスの被害が疑われる | 最寄りの警察署、または都道府県警察のサイバー犯罪相談窓口に相談 |
| Apple・Googleのアカウントに入られた形跡がある | パスワード変更、デバイスの削除・ログアウト、2段階認証の設定。各社のサポートにも相談 |
よくある質問
Q. 顔認証や指紋のデータが盗まれたということですか？
A. いいえ。Googleは生体認証のデータは端末に保存されGoogleと共有されないと説明しており、各社の注意喚起も生体認証が破られたとはしていません。狙われたのはApple・Googleのアカウントです。
Q. 証券口座のパスキーは削除したほうがいいですか？
A. 削除する必要はありません。SBI証券は、正規のパスキーを誤って削除するケースが増えているとして、削除しないよう求めています。パスワードを無効にしている場合は、削除するとログインできなくなります。
Q. 証券口座を持っていなくても関係ありますか？
A. 関係があります。Apple・Googleのアカウントに保存したパスキーやパスワードは、ネット銀行や通販など、ほかのサービスのログインにも使われています。対策はどのサービスでも共通です。
Q. 「パスキーを再登録してください」というメールが届きました。
A. 楽天証券は、こうした文面のSMSやメールは詐欺の可能性が高いとしています。リンクは開かず、気になる場合は公式アプリやブックマークした公式サイトから確認してください。
まとめ
パスキーはフィッシングに強い仕組みで、日本証券業協会も引き続き切り替えを勧めています。ただし、パスキーはApple・Googleのアカウントを通じてクラウドに同期されるため、そのアカウントを乗っ取られると証券口座まで入られる恐れがあります。SBI証券・SMBC日興証券・楽天証券は2026年10月に相次いで注意を呼びかけ、パスキーを消すのではなく、アカウントの守りを固めるよう求めています。
今日やることは、Apple・Googleの2段階認証の確認、復旧用のメール・電話番号の確認、見覚えのないデバイスの削除、そしてメールやSMSのリンクから入力しないことの4つです。どれも数分でできるので、証券口座を持っている人もいない人も、この機会に見直しておきましょう。
参考ページ
- 日本証券業協会 不正アクセス等にご注意ください！
- SBI証券 Google・Apple等のアカウント情報を狙うフィッシング詐欺へのご注意（2026年10月2日）
- SMBC日興証券 パスキーを保存している「Apple Account」や「Google アカウント」の乗っ取り被害にご注意ください
- 楽天証券 ご注意ください！不正ログイン・不正取引などの被害に遭わないために
- Apple サポート パスキーのセキュリティについて
- Apple サポート Apple Accountの2ファクタ認証
- Apple サポート Apple Accountにサインインしているデバイスを確認する
- Google アカウント ヘルプ 2 段階認証プロセスを有効にする
- Google アカウント ヘルプ アカウントにアクセスしたデバイスを確認する
- Google アカウント ヘルプ パスワードの代わりにパスキーでログインする
