証券口座の不正アクセス、パスキー導入後も残る盲点とは【2026年11月12日更新】

情報確認・更新：2026年11月12日 10:55 JST（日本標準時、UTC+09:00）

証券口座の不正アクセス対策として、証券各社でパスキー認証の導入が進んでいます。一方、2026年10月には、Apple AccountやGoogleアカウントの情報が盗まれ、クラウドに保存されたパスキーなどが悪用される疑いについて証券会社が注意喚起しました。パスキーを設定すれば対策が完了するわけではなく、登録に使う公式アプリや、パスキーを保管するアカウントの保護も欠かせません。

証券口座の乗っ取り対策で何が変わった？

日本証券業協会（JSDA）の案内によると、攻撃者は証券会社を装うメールやSMSから偽サイトへ誘導し、ログインID・パスワードを入力させ、続けて偽のワンタイムパスワード画面へ誘導する「リアルタイムフィッシング」を使うことがあります。盗んだ認証情報をすぐ本物のサイトで使う手口です。

これを受け、金融庁、警察庁、JSDAは証券各社にフィッシング耐性のある認証の提供・必須化を要請してきました。JSDAは利用者にも、各社の案内に応じてパスキー認証などへ切り替えるよう求めています。たとえば三菱UFJモルガン・スタンレー証券は2026年10月26日から、ログイン時にパスキーを使う顧客が国内株式・外国株式の取引時にも同認証を利用できるようにしたと案内しています。会社ごとの実施時期や対象操作は異なるため、自分の口座の公式案内を確認してください。

パスキーを使っていても注意が必要なのはなぜ？

パスキーは公開鍵暗号方式を用い、ログイン先のサイトに結び付いた認証を端末上で行う仕組みです。偽サイトにパスワードや使い捨てコードを入力させる攻撃を防ぎやすい一方、認証情報を同期・保管するApple AccountやGoogleアカウントが乗っ取られれば、リスクが生じます。

三菱UFJモルガン・スタンレー証券は2026年10月16日、Apple AccountやGoogleアカウントのID・パスワードなどを第三者が盗み、クラウド上のパスキーを悪用して証券口座にアクセスする可能性を告知しました。SBI証券も10月2日、一部会員から報告された事案について注意を促しつつ、自社口座での被害は確認されていないと明記しています。したがって、確認できるのは業界内で疑いのある事案が報告され注意喚起が出たことです。パスキーそのものの暗号が破られた、あるいはすべての証券会社で被害が起きたという意味ではありません。

JSDAも、クラウドにパスキーをバックアップする場合はApple・Googleアカウントに多要素認証を設定するなど、厳重に管理するよう案内しています。また、パスキー登録を装ったフィッシングも懸念されるため、登録はメールやSMSのリンクからではなく、公式アプリやブックマークした公式サイトから始めてください。

証券口座と保管先アカウントで確認することは？

• 証券会社の認証設定：公式サイト・アプリでパスキーの提供状況を確認し、案内された手順で登録する。ログインだけでなく、出金先変更や取引時の追加認証も確認する。
• Apple・Googleアカウント：強固な二段階認証を有効にし、復旧用メールアドレスや電話番号が自分のものか点検する。身に覚えのないログイン承認や確認コード入力要求には応じない。
• 偽の案内を避ける：「パスキーを再登録」などのSMSやメール内リンクは開かず、公式アプリを直接起動する。不審な電話で登録を促されても操作しない。
• 端末変更の前に確認：パスキーを削除するとログインできなくなる場合がある。SBI証券はログインパスワード無効設定を使っている場合、端末のパスキーを消さないよう注意を促している。削除や移行の前に各社の復旧手順を読む。

不審な取引や通知に気づいたら、リンクを踏まず証券会社の公式窓口へ連絡し、ログイン履歴や取引履歴を確認しましょう。対策が広がっても、偽サイト誘導や端末・クラウドアカウントの侵害がなくなるとは限りません。今後はログイン時だけでなく、出金や取引など重要操作にもフィッシング耐性のある認証を広げる動きが続くと見込まれますが、具体的な提供時期は各社の発表で確認が必要です。

参照：日本証券業協会「不正アクセス等にご注意ください！」、三菱UFJモルガン・スタンレー証券の2026年10月16日注意喚起、SBI証券「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください」、三菱UFJモルガン・スタンレー証券のパスキー認証案内

よくある質問

パスキーを設定すれば証券口座の乗っ取りを完全に防げますか？

完全な防止を保証するものではありません。フィッシング耐性を高められますが、保管先のApple・Googleアカウントや端末も保護してください。

パスキー登録の案内がSMSで届いたらどうすればよいですか？

メッセージのリンクは使わず、証券会社の公式アプリかブックマーク済みの公式サイトから案内を確認してください。

機種変更時に古いパスキーを削除してよいですか？

先に証券会社の移行・復旧手順を確認してください。ログイン方法によっては削除後にログインできなくなることがあります。