「パスキーにしたから、もう安心」と思っていませんか？
じつは、パスキーを設定していた証券口座でも、乗っ取られた疑いが出ています。
日本証券業協会や証券会社が、注意を呼びかけているんです（共同通信）。
とはいえ、顔や指紋の認証が破られたのではない、とみられています。
狙われたのは、パスキーを保存しているGoogleやAppleのアカウントのほうです。
証券口座のログイン画面だけ守っていても、入り口がもうひとつあったんですね。
この記事では、なぜパスキーでも乗っ取られるのかを、証券会社の公式の発表から説明します。
GoogleとAppleで今すぐ見ておきたい設定も、手順でまとめました。
この記事のポイントは以下の4点です。
- 乗っ取りの入り口は、GoogleやAppleのアカウントとみられる。パスキーそのものが破られたのではない
- 偽の「パスワード変更」のメールに入力したり、スマホをなくしたりすると危ない
- まずは2段階認証、登録されているデバイス、復旧用の連絡先の3つを見る
- 証券会社のパスキーをあわてて消すと、ログインできなくなることがある
パスキーでも証券口座が乗っ取り？なぜ起きたのか
- パスキーの証券口座で乗っ取りの疑い、何があった？
- パスキー乗っ取りはなぜ？生体認証が破られたのではない
- パスキーの危険性は？自分は狙われるかの分かれ道
- 証券口座の乗っ取り、どれくらい起きている？金融庁の数字
パスキーの証券口座で乗っ取りの疑い、何があった？
2026年11月11日、パスキーを設定していた証券口座が乗っ取られた疑いがある、と報じられました（共同通信）。
パスキーは、顔や指紋などを使ってログインするしくみです。
去年、証券口座の乗っ取りが相次いだので、証券会社がこぞって入れたものでした。
生体認証の証券口座で被害 パスキー自体が問題だったわけではないらしいですが… 「パスキーにしてたら安心」ってちょっと思ってたので 面倒でも2段階認証にしているのに それもダメなんて地味にショック… news.yahoo.co.jp/articles/62e65…
— ふゆ@デザイナー (@fuyu66666) 2026年11月11日
ただ、2段階認証がむだになったわけではありません。
証券会社は、GoogleやAppleのアカウントのほうにも2段階認証をかけてほしい、と呼びかけています。
でも、この話は11月に急に出てきたものではありません。
SBI証券は、10月2日に「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください」と知らせています（SBI証券）。
日本証券業協会からの通知をもとにした注意で、SBI証券の口座での被害は確認されていない、とも書いています。
SMBC日興証券も、10月6日（14日に更新）に、パスキーを保存しているAppleやGoogleのアカウントの乗っ取りに注意するよう知らせています（SMBC日興証券）。
どちらも、証券会社のシステムに入られたのではない、と説明しています。
パスキー乗っ取りはなぜ？生体認証が破られたのではない
報道によると、今回は生体認証そのものをくぐり抜けたのではありません（共同通信）。
GoogleやAppleのアカウントを乗っ取って、そこにあるパスキーを使ったとみられています。
パスキーは、GoogleやAppleのアカウントで、ほかの機種と同じものを使えるように保存できます。
便利なしくみです。
でも、そのアカウントに入られると、保存してあるパスキーやパスワードのメモまで使われるおそれがあります（SBI証券）。
たとえるなら、家の鍵はじょうぶでも、鍵をしまった箱ごと持っていかれた、という感じです。
証券会社のIDやパスワードを偽サイトに入れていなくても、被害にあうおそれがある、とSBI証券は書いています。
入り口になるおそれがあるのは、次のようなことです（共同通信）。
- アカウントのパスワード変更を求める偽メールを信じて、入力してしまう
- スマホをなくす
日本証券業協会も、パスキーをクラウドに保存するなら、AppleやGoogleのアカウントにも多要素認証をかけて厳しく管理してほしい、と書いています（日本証券業協会）。
パスキーの危険性は？自分は狙われるかの分かれ道
「じゃあ、パスキーはやめたほうがいいの？」と思うかもしれません。
答えは、やめなくて大丈夫です。
日本証券業協会は今も、パスキーなどの認証にすぐ切り替えるよう呼びかけています（日本証券業協会）。
偽サイトにIDとパスワードを入れさせ、続けてワンタイムパスワードも入れさせて、すぐに口座に入る手口があります。
この「リアルタイムフィッシング」に、パスキーは強いからです。
気をつけたいのは、パスキーを預けているアカウントのほうです。
自分の状態で、どこを見ればいいかをまとめました。
| 今の自分 | まずやること |
|---|---|
| 証券会社のパスキーを、GoogleかAppleのアカウントに保存している | そのアカウントの2段階認証、登録デバイス、復旧用の連絡先を見る（下の手順） |
| GoogleやAppleのアカウントのパスワードを、ほかのサービスでも使っている | 使い回しをやめ、長くて推測されにくいものに変える |
| 最近、「パスワードを変更して」「パスキーを再登録して」のメールやSMSのリンクを開いた | 証券口座とGoogle・Appleアカウントのログイン履歴やデバイスを見る。おかしければ証券会社に連絡 |
| スマホをなくした | 別の機器から、iPhoneは「探す」で紛失モードにするか、遠くから消す。Googleは、なくしたスマホをログアウトさせる。Appleのアカウントから外すのは、そのあと |
| まだパスキーを設定していない | 証券会社の公式アプリか公式サイトから設定する。メールのリンクからはしない |
表の中身は、SBI証券、SMBC日興証券、日本証券業協会の注意と、Apple サポート、Google アカウント ヘルプをもとにしています。
証券口座の乗っ取り、どれくらい起きている？金融庁の数字
証券口座の乗っ取りは、2025年の春に一気に増えました。
金融庁がまとめた数字を見てみます（金融庁）。
| 月 | 不正アクセス | そのうち不正取引 | 売却金額 |
|---|---|---|---|
| 2025年4月（いちばん多い月） | 5,490件 | 3,033件 | 約1,625億円 |
| 2025年12月 | 382件 | 116件 | 約23億円 |
| 2026年3月 | 158件 | 121件 | 約159億円 |
| 2026年9月 | 37件 | 2件 | 約2億円 |
| 2025年1月〜2026年9月の合計 | 19,252件 | 10,642件 | 約4,372億円 |
数字は発生した日ごとに数えた、今のところの数です（金融庁）。
売却金額は、乗っ取られた口座で勝手に売られた金額を足したもので、損した金額とは同じではありません。
いちばん多かった月にくらべると、今はずいぶん減りました。
でも、ゼロにはなっていません。
なお、金融庁の数字には、どこから入られたかの内訳は出ていません。
パスキー乗っ取り対策、Googleアカウント・Apple Accountで見る設定
- Googleアカウントの乗っ取り対策、デバイスと2段階認証の確認手順
- Apple Accountの乗っ取り対策、サインイン中のデバイスを見る手順
- パスキーは削除しないで！証券会社のパスキーを消すとログインできないことも
- 「パスキーを再登録して」のメールやSMSは偽物？
- 乗っ取られたかもと思ったら？証券口座の連絡先と補償
Googleアカウントの乗っ取り対策、デバイスと2段階認証の確認手順
Googleアカウントは、次の順で見ていきます（Google アカウント ヘルプ）。
1. Googleアカウント（myaccount.google.com）を開く
2. 「セキュリティとログイン」を押す
3. 「お使いのデバイス」の「すべてのデバイスを管理」を押す
4. 知らない機器があれば、その機器を選んで「ログアウト」を押す
一覧に出ているのは、今ログインしている機器と、ここ数週間にログインした機器です。
出ている時刻は、最後にGoogleとやりとりした時刻で、最後に使った時刻とはかぎりません。
同じ種類の機器がいくつも並ぶことがあります。
どれが自分のかわからなければ、全部ログアウトするように、とヘルプに書かれています。
次に、2段階認証がオンになっているかを見ます。
SBI証券は、認証アプリなどの強い2段階認証を設定してほしいと呼びかけています（SBI証券）。
あわせて、アカウントを取り戻すときに使う、再設定用のメールアドレスと電話番号が自分のものかも見ておきましょう。
Googleのヘルプでも、再設定用の電話番号やメールアドレスが勝手に変えられていないか見るよう書かれています（Google アカウント ヘルプ）。
「最近のセキュリティ イベント」で、覚えのない動きがないかも見られます（Google アカウント ヘルプ）。
覚えがなければ「いいえ、リクエストしていません」を選んで、画面の案内に進みます。
Apple Accountの乗っ取り対策、サインイン中のデバイスを見る手順
iPhoneやiPadなら、次の順で見られます（Apple サポート）。
1. 「設定」を開く
2. いちばん上の自分の名前を押す
3. 下へ進むと、サインインしているデバイスが並んでいる
4. 知らない機器を押して「アカウントから削除」を選ぶ
パソコンのブラウザなら、account.apple.com にサインインして「デバイス」から同じことができます。
外した機器は、iCloudや「探す」が使えなくなり、2ファクタ認証の確認コードも出なくなります。
2ファクタ認証がオンになっているかも、あわせて見ておきましょう（Apple サポート）。
Appleは、乗っ取りのサインとして、次のようなものを挙げています（Apple サポート）。
- 覚えのないサインインや変更の通知が来た
- 頼んでいないのに2ファクタ認証のコードが届いた
- パスワードが効かなくなった
- 機器がロックされたり、紛失モードにされたりした
こんなときは、すぐにパスワードを変え、account.apple.comで連絡先と機器の一覧を確かめます。
自分でパスワードを変えられないときは、iforgot.apple.com から取り戻す手続きをします。
パスキーは削除しないで！証券会社のパスキーを消すとログインできないことも
ここは、ちょっと気をつけたいところです。
ニュースを見て、あわててパスキーを消そうとする人がいます。
SBI証券は、この注意を受けてパスキーを消す必要はないと書いています（SBI証券）。
不正に作られたパスキーがないかを見ているうちに、自分の正しいパスキーを消してしまう人が増えているそうです。
SBI証券では、パスキーを登録したあと、ログインパスワードを使えなくする設定をすすめています。
この設定にしていると、ログインにはパスキーしか使えません。
そこで端末のパスキーを消すと、自分ではログインできなくなり、電話などで問い合わせることになるんです。
分かれ道は、こうです。
| こんなとき | どうする |
|---|---|
| ニュースを見て不安になった | パスキーは消さない。GoogleやAppleのアカウントの設定を見直す |
| 機種変更などで、パスキーを整理したい | 先に「ログインパスワード無効設定」を解除してから消す |
| 知らないパスキーがある気がする | 消す前に、証券会社の案内を見る。わからなければ問い合わせる。あわせて、GoogleやAppleのアカウントの設定を見直す（上の手順） |
SBI証券以外でも、パスキーとパスワードの設定は証券会社ごとに違います。
消す前に、自分の証券会社の案内を見てください。
「パスキーを再登録して」のメールやSMSは偽物？
証券会社からのお知らせを装った、偽のメールやSMSも出ています。
SBI証券は、「セキュリティ向上のため、パスキーを再登録してください」のようなSMSが来ても、リンクを開かないよう呼びかけています。
サポート担当を名乗る人から電話でパスキーの登録をすすめられても、応じないように、とも書いています（SBI証券）。
日本証券業協会も、パスキーを登録するときをねらったフィッシングが心配だとして、登録は公式サイトか公式アプリからするよう書いています（日本証券業協会）。
Xでも、パスキーの登録を口実にした詐欺メールが届いた、という声が出ています。
すごいね この秋の大規模な不正アクセス・顧客情報窃取「祭り」を受けて、「認証をパスキー式に替えてくよ」という企業が出てくる中、「パスキー認証を前倒し実施するよ。パスキーの登録状況はここで調べてね」という詐欺メイルが来た((((；ﾟДﾟ)))) 機敏にして狡猾😨
— 鶸俣昇 HIWAMATA Noboru📮 (@serenista) 2026年11月9日
「ここで調べてね」とリンクを押させるのが、まさに偽サイトへの入り口です。
メールやSMSが届いたときの動き方は、こうです。
1. メールやSMSのリンクは押さない
2. ブックマークした公式サイトか、公式アプリを自分で開く
3. 公式のお知らせに同じ案内があるかを見る
4. 見当たらなければ、そのメールは消してよい
日本証券業協会は、ブラウザでふだんしないキーボード操作（Ctrl＋Vなど）を求められても、しないようにとも書いています。
ウイルスを入れさせる手口だからです。
乗っ取られたかもと思ったら？証券口座の連絡先と補償
覚えのないログインや取引、出金があったら、すぐに証券会社の問い合わせ窓口に連絡し、警察にも相談します（日本証券業協会）。
GoogleやAppleのアカウントがおかしいときは、それぞれの公式の手順で取り戻します。
どこに連絡すればいいかをまとめました。
| おかしいと思ったところ | 連絡先・すること |
|---|---|
| 証券口座に、覚えのないログインや取引がある | その証券会社の問い合わせ窓口（SMBC日興証券の不正利用の窓口は0120-285-250、平日8時〜18時、土曜9時〜17時）。警察にも相談 |
| Googleアカウントに覚えのない動きがある | Googleの「ハッキングまたは不正使用されたGoogleアカウントを保護する」の手順。ログインできなければ accounts.google.com/signin/recovery |
| Apple Accountに覚えのない動きがある | パスワードを変える。変えられなければ iforgot.apple.com |
| Google・Appleアカウントの設定のしかたがわからない | 証券会社では答えられない。SMBC日興証券は携帯電話会社に聞くよう案内している |
SMBC日興証券の窓口と案内は、同社のお知らせからです（SMBC日興証券）。
お金が戻るのかも気になりますよね。
2025年5月2日、大手証券とネット証券の10社は、契約の決まりにかかわらず、ある程度は補償する方針を決めました（日本証券業協会）。
10社は、SMBC日興証券、SBI証券、大和証券、野村證券、松井証券、マネックス証券、みずほ証券、三菱UFJ eスマート証券、三菱UFJモルガン・スタンレー証券、楽天証券です。
ただし、IDやパスワードの管理のしかたや、証券会社がどれだけ注意を呼びかけていたかなどを見て、一人ひとりの事情に応じて決めるとしています。
必ず全額戻る、というものではありません。
それに、この申し合わせは、盗まれたIDやパスワードを使った不正アクセスを想定したものです。
GoogleやAppleのアカウントから入られた場合にどうなるかは書かれていないので、自分の証券会社に確かめてください。
だからこそ、乗っ取られる前の備えが大事なんですね。
まとめ
まず、パスキーでも証券口座が乗っ取り？なぜ起きたのか、です。
パスキーの証券口座で乗っ取りの疑いが出たのは、2026年11月の報道からで、証券会社は10月から注意を出していました。
パスキー乗っ取りはなぜかというと、生体認証が破られたのではなく、パスキーを保存したGoogleやAppleのアカウントが乗っ取られたとみられるからです。
パスキーの危険性を気にしてやめる必要はなく、預けているアカウントを守ることが大事です。
自分は狙われるかは、分かれ道の表で見てください。
証券口座の乗っ取りは、金融庁の数字で2025年4月の5,490件がいちばん多く、2026年9月は37件まで減りました。
次に、パスキー乗っ取り対策でGoogleアカウントとApple Accountで見る設定です。
Googleアカウントの乗っ取り対策は、デバイスの一覧、2段階認証、再設定用の連絡先を見ることです。
Apple Accountの乗っ取り対策も、サインイン中のデバイスと2ファクタ認証を確かめます。
パスキーは削除しないでください。証券会社によっては、ログインできなくなります。
「パスキーを再登録して」のメールやSMSのリンクは開かず、公式アプリから確かめます。
乗っ取られたかもと思ったら、すぐ証券会社に連絡し、警察にも相談しましょう。
証券口座の補償は、10社が方針を決めていますが、全額戻るとはかぎりません。
