パスキーでも防げない？Apple・Google経由で証券口座に侵入の恐れ

ネット証券などがAppleやGoogleのアカウントを経由した証券口座への不正ログインに注意を呼びかけています。

SBI証券は日本証券業協会からの通知を受け、他社で報告された事案を踏まえた注意喚起を出しました。SMBC日興証券や楽天証券も10月14日に同じ趣旨のお知らせを公表しています。いずれもパスキー（指紋や顔認証などでログインする、パスワードに代わる仕組み）を利用していても被害が及ぶ可能性がある点を指摘しています。

各社によると第三者がフィッシングなどでAppleやGoogleのアカウント情報を不正に取得し、そこに保存されたパスキーやパスワードのメモを悪用したとみられる事案が確認されています。パスキー自体は偽サイトでは使えないため、フィッシング対策として広がってきました。しかし、保存先のアカウントが乗っ取られると、証券会社のログイン情報を直接盗まれなくても口座に侵入される恐れがあります。

SBI証券は同社の証券口座では現時点でこの手口による被害を確認していないと追記しました。SMBC日興証券も、自社システムへの不正侵入によるものではないと説明しています。被害の件数や金額は公表されていません。SBI証券は2026年6月30日からパスキーの設定を必須化しています。

対策として各社はAppleやGoogle側での2段階認証の設定を求めています。あわせて、登録端末の一覧に見覚えのない端末がないかの確認や身に覚えのない認証要求を承認しないことも呼びかけています。仮想通貨取引所でもパスキーの導入が進んでおり同じ考え方が当てはまります。認証手段の強化に加え、その保存先の管理が問われる局面になりそうです。