パスキーを設定したから、もう乗っ取りは心配ない。そう考えていた人ほど、9月24日のニュースには驚いたと思います。
AppleやGoogleのアカウントを乗っ取られた人の証券口座で、不正な取引が起きたという報道です。
先に結論を書きます。パスキーはそのまま使ってください。守る範囲を、パスキーを保管しているAppleとGoogleのアカウントまで広げれば対応できます。
iPhoneで証券会社のパスキーを作ると、通常Appleアカウント(iCloudキーチェーン)に保存されます。
パスワード管理アプリを別に入れていない人は、今回の手口がそのまま当てはまる側です。
この記事は、iPhoneの標準機能でパスキーを使っている人向けにまとめました。
何が起きたかと、自分のパスキーの保存先の確かめ方、Appleアカウントで確認することを順に書いています。
iPhoneでChromeを使う人向けの項目もあります。
私は証券会社のパスキーを1Passwordで管理していますが、iPhoneの設定の確認は自分の端末で一通り済ませました。
かかった時間は15分ほどでした。1Passwordを使っている人向けの注意は、Googleの章の最後に短く載せています。
何が起きたか｜Apple・Googleアカウント経由の不正取引
2026年9月24日、日本経済新聞が証券口座の新しい不正取引を報じました。スマホにひも付いたAppleやGoogleのアカウントが乗っ取られ、証券口座で取引された疑いがあるという内容です。
犯人は、アカウントに保存されていたパスキーやパスワードを使ったとみられています。日本証券業協会は加盟する証券会社に、顧客への注意喚起を求めました。
どうやってAppleやGoogleのアカウントに入り込んだのかは、9月時点で公表されていません。ただ、この危険は以前から指摘されていました。
日本証券業協会は2026年3月の注意喚起で、この点に触れています。パスキーをクラウドに保存するなら、AppleやGoogleのアカウントにも多要素認証を、という呼びかけです。心配されていたことが、実際に起きた形になりました。
被害の数字｜8月は売却額が前月の10倍
金融庁は、ネット取引での不正アクセスの件数を毎月公表しています。2025年1月から2026年8月までの合計は次のとおりです。
《出典：金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」2026年9月9日更新》
ピークは2025年4月で、1か月に5,490件の不正アクセスがありました。各社がパスキーを取り入れてから件数は大きく減り、2026年7月は18件まで下がっています。
ところが8月は39件に増えました。勝手に売られた金額は約0.2億円から約2億円へと、前の月の10倍です。
件数そのものは、ピークの1%にも届いていません。慌てる段階ではないものの、減り続けていた流れが8月に止まったのは確かです。証券会社の入り口が固くなったぶん、犯人は別の入り口を探しています。
パスキーでも破られる理由｜狙われたのは「鍵の保管場所」
2025年に被害を広げたのは、証券会社そっくりの偽サイトでした。
メールのリンクから偽サイトに誘い込み、IDとパスワード、ワンタイムパスワードまで入力させて盗む手口です。
パスキーは、この手口に強いしくみです。本人確認はスマホの顔認証や指紋で行い、偽サイトに鍵そのものを渡しません。
金融庁も2026年7月に監督指針を改め、パスキーなどによる本人確認を証券会社に求めています。
今回の変化は、家の鍵にたとえるとわかりやすくなります。玄関の鍵を複製できないものに替えたので、泥棒は玄関をあきらめました。次に狙ったのは、合鍵をまとめて預けてある場所です。
パスワードアプリを導入していない限り、パスキーの預け先はAppleやGoogleのアカウントです。
iPhoneで作ったパスキーはiCloudキーチェーンに保存され、同じアカウントのiPadやMacでも使えます。
なお、Chromeアプリで保存した場合は、Googleアカウントの「Googleパスワードマネージャー」に入ります。
乗っ取った口座で犯人がやること
手口は2025年のリアルタイムフィッシング詐欺と同様です。
証券口座のお金は、本人名義の銀行口座にしか出金できません。
そこで犯人は、お金を抜く代わりに口座の中で売り買いをします。
まず、乗っ取った口座で保有中の投資信託や株を勝手に売ります。
そのお金で、取引の少ない小型株を大量に買わせて値段をつり上げる。
犯人は同じ株を別の口座で先に安く買っておき、上がったところで売り抜けます。
口座に残るのは、高値でつかまされた株だけです。お金が出金されていなくても、資産は大きく目減りします。
犯人が自分のパスキーを登録するケース
パスキーを設定しても、パスワードでのログインが残っている証券会社には別の抜け道があります。犯人が偽サイトでパスワードを盗んで先にログインし、自分のスマホのパスキーを登録してしまう手口です。
パスキーの規格をつくる業界団体FIDO Allianceも、この手口を攻撃の型の1つに挙げています。乗っ取られたアカウントへの、不正なパスキー登録です。一度登録されると、犯人は自分のパスキーで何度でもログインできます。
2025年には、「スマホ認証(パスキー)の設定」の案内を装った偽メールも確認されています。
パスキーの登録や変更は、メールやSMSのリンクから行わないでください。使うのは公式アプリか、ブックマークした公式サイトだけです。
自分のパスキーはどこに？保存先を4か所で確かめる
証券会社のパスキーがどこに保存されているかを確かめます。保存先によって、守るべきアカウントが変わるからです。
検証用iPhone SE(第3世代、iOS 18.7.1)で確かめた手順と結果を、そのまま載せます。
※iOS27と比較して表示名等が異なる点があります。ご了承下さい
① 自動入力に使うアプリ
「設定」→「一般」→「自動入力とパスワード」と進みます。ログイン画面でパスワードやパスキーを呼び出すアプリは、ここでオンになっています。
パスワード管理アプリを別に入れていない人は、「パスワード」がオンになっているはずです。
Chromeでパスワードを保存している人は、「Google」もオンになっていることがあります。
私は1Passwordを使っているため、1Passwordがオン、パスワードとGoogleはオフでした。
② 「パスワード」アプリのパスキー
iOS 18.7.1には、Appleの「パスワード」アプリが最初から入っています。Apple側に保存したパスワードやパスキーは、ここで一覧できます。
アプリを開いた最初の画面に、種類ごとの件数が並びます。
「パスキー」をタップすると、パスキーを作ったサイトの名前が出ます。証券会社の名前があれば、そのパスキーはApple側に保存されています。
参考までに、私のiPhoneは次のとおりでした。
私はパスキーを1Passwordに保存しているので、0件でした。
パスワード管理アプリを使っていない人なら、ここに証券会社の名前が出てくるはずです。
Wi-Fiのパスワードは別枠なので、件数があってもパスキーとは関係ありません。
③ iCloudとの同期
「設定」→いちばん上の自分の名前→「iCloud」→「iCloudに保存済み」の下の「パスワード」と進みます。
「このiPhoneを同期」がオンなら、パスワードやパスキーが同じAppleアカウントのMacやiPadと共有されます。
パスワード管理アプリを使っていない人は、オンになっていることが多いと思います。
オフにして身を守るより、Appleアカウントの守りを固めるほうが現実的です。
オフにすると、iPhoneをなくしたときにパスキーも一緒に失うからです。
なお、同期をオフにしても、保存済みのパスワードやパスキーはiPhone本体に残ります(Appleの説明より)。オフだから安心、とはならない点に注意してください。
確かめた結果で、次に読む章が変わる
確かめた結果に合わせて、次の章を読んでください。
– 「パスワード」アプリに証券会社の名前があった人：すぐ下の「iPhoneで確認する6つのこと」
– iPhoneのChromeで保存していた人：「iPhoneで確認する6つのこと」のあと、「Googleアカウントで確認すること」
– どこにも見当たらない人：パスキーを設定していない可能性があります。「証券会社側で確認すること」から見てください
– 1Passwordなどを使っている人：「Googleアカウントで確認すること」の最後の補足
Chromeで保存していた人も、Appleアカウントの確認は飛ばさないでください。iPhoneを盗まれたときの守りは、Appleアカウント側の設定で決まります。
iPhoneで確認する6つのこと｜Appleアカウント
ここからは手を動かす部分です。私のiPhone(iOS 18.7.1)で確認した順に書きます。どれも入り口は「設定」アプリです。
1. 2ファクタ認証がオンになっているか
「設定」→いちばん上の自分の名前→「サインインとセキュリティ」と進みます。「2ファクタ認証」が有効な場合は、信頼できるデバイスや電話番号を管理する画面が表示される仕様になっています。
「2ファクタ認証をオンにする」というボタンが出ている人は、まだ設定されていません。タップして、画面の案内に従って設定してください。
なお、すでにオンになっている場合は、オン / オフは表示されません。
わたしの場合、設定済のためオン / オフは表示されませんでした。
2. 使っていない端末が残っていないか
自分の名前の画面を下までスクロールすると、同じAppleアカウントでサインインしている端末が並びます。売った古いiPhoneや、見覚えのない端末がないか見てください。
不要な端末は、タップして「アカウントから削除」を選びます。私は2020年に手放したiPhone5が残っていたので、削除しました。
3. 信頼できる電話番号が今の番号か
「サインインとセキュリティ」→「2ファクタ認証」とタップすると、確認コードを受け取る電話番号の一覧が出ます。解約した番号や、覚えのない番号が入っていないか確かめます。
消したい番号があれば、一覧の上の「編集」をタップし、iPhoneのパスコードを入れます。番号の横の削除ボタンを押し、最後に「完了」をタップします。
アカウントを取り戻すときにも使う番号なので、今使っている番号だけに絞っておくのが安全です。
わたしの場合は、覚えのない番号が見当たらなかったので、対応なしでした。
4. 盗難デバイスの保護を「常に」にする
今回いちばん見てほしいのが、この設定です。「設定」→「Touch IDとパスコード」→「盗難デバイスの保護」をオンにします。
※iPhone X以降の、ホームボタンがない機種では「Face IDとパスコード」と表示されます。
オンにすると、iPhoneを盗まれてパスコードを知られても、Appleアカウントのパスワードはすぐに変えられません。指紋や顔の認証に加えて、1時間の待ち時間が入るからです。
ただし初期設定では、自宅や職場のような普段いる場所ではこの待ち時間がかかりません。同じ画面の下に、追加の確認をいつ求めるかの選択肢があります。最初は「普段いる場所から離れているとき」が選ばれていて、私は「常に」に変えました。
自宅でも待たされるのは少し面倒です。
それでも証券口座を守る手間としては小さいと判断しました。
5. Appleアカウントのパスワードを使い回していないか
SNSや通販サイトと同じパスワードなら、Appleアカウント専用のものに変えます。「サインインとセキュリティ」→「パスワードを変更」から変更できます。
6. 資産が大きい人はセキュリティキーも
必須ではありませんが、資産が大きい人は、USBやNFCでつなぐ物理的な鍵をAppleアカウントに登録できます。
登録は2本からです。1本なくしても、もう1本でサインインできるようにするためです。「サインインとセキュリティ」→「2ファクタ認証」→「セキュリティキー」から追加します。
Googleアカウントで確認すること
iPhoneでも、パスキーの保管場所はiCloudキーチェーンだけとは限りません。Chromeで保存したものはGoogleアカウントに、パスワード管理アプリで保存したものはアプリの中に入ります。
Googleアカウント(iPhoneでChromeを使う人)
iPhoneのChromeで証券会社にログインしている人は注意が必要です。パスワードやパスキーが、Googleアカウントに入っていることがあります。Chromeアプリの「設定」→「パスワード マネージャー」を開き、証券会社の名前があるか見てください。
名前があれば、Googleアカウントも証券口座の鍵を預けている場所です。Safariしか使っていない人は、この項目を飛ばしてかまいません。
わたしは未使用だったので、何も表示されませんでした。
確認は、Googleアカウントの管理画面(myaccount.google.com)で行います。開くのは「セキュリティとログイン」です。
表の最後の再設定用の連絡先は、乗っ取られたときにアカウントを取り戻す最後の手段です。
昔のキャリアメールのままになっていることが多いので、特に見てください。
補足：1Passwordなどのパスワード管理アプリを使っている人
証券会社のパスキーを1Passwordに保存しているなら、今回の手口とは保管場所が違います。AppleやGoogleのアカウントを乗っ取られても、それだけでは中のパスキーは使えません。
ただ、1Passwordを開く鍵の一部(Secret Key)の写しは、iCloudキーチェーンなどiPhone側にも入ります。次の4つは確かめておいてください。
– 証券会社のパスキーが、「パスワード」アプリではなく1Passwordに入っているか
– 1Passwordのパスワードを、キーチェーンやメモに保存したり、ほかのサイトと使い回したり
していないか
– Secret Keyが印刷された「Emergency Kit」を、iCloud DriveやGmailに置いていないか
– 1Passwordのアカウントに2段階認証を設定しているか
証券会社側で確認すること
ニュースを見てパスキーをやめるのは逆効果です。パスワードに戻せば、2025年に被害を広げた偽サイトの手口にまたさらされます。
証券会社の設定で確認するのは、次の5つです。呼び方は会社ごとに違いますが、どこも「セキュリティ設定」や「お客様情報」の中にあります。
– 登録済みのパスキー(認証に使う端末)の一覧に、自分の端末以外がないか
– ログインパスワードは利用できる状態になっているか
– 取引・出金・出金先口座の変更に、追加の認証がかかっているか
– ログイン・注文・出金の通知がすべてオンになっているか
– 登録しているメールアドレスと電話番号が今のものか
– ログイン履歴・注文履歴・出金履歴に、覚えのないものがないか
1つ目は、犯人が自分のパスキーを登録する手口への備えです。見覚えのない端末が並んでいたら、その場で証券会社に連絡してください。
SBI証券の場合、
パスキー設定については
ログイン後、セキュリティ設定＞パスキー認証
ログインパスワード設定については
ログイン後、セキュリティ設定＞ログインパスワード無効認証
で確認できます。
乗っ取りを疑ったときの順番
次のようなことが起きたら、乗っ取りを疑ってください。
– 覚えのないログインや注文の通知が、証券会社から届いた
– 頼んでいないのに、Appleの6桁の確認コードが届いた
– Appleアカウントのパスワードが、急に通らなくなった
最初にやるのは、証券会社への電話です。取引を止めてもらうのが先で、設定の見直しはその後に回します。
次に、Appleアカウントのパスワードを変えます。変えられないときは、iforgot.apple.com から復旧の手続きに進みます。account.apple.com で見覚えのない端末を消すのも、このときです。
Chromeを使っている人は、Googleアカウントの「最近のセキュリティ イベント」も開いてください。どこに相談すればいいか迷ったら、金融庁の「金融サービス利用者相談室」も使えます。
パスキーの設定手順は、証券会社ごとに別の記事でまとめています。
→ 楽天証券のパスキー設定方法を図解で解説 できないときの対処法も
→ SBI証券のFIDO認証(デバイス認証)の設定方法｜乗っ取り対策に必須
まとめ
– 9月24日、Apple・Googleアカウント経由の不正取引が報じられた。8月の売却額は前月の10倍
– パスキーは今も強い。狙われているのは、パスキーを保管しているAppleとGoogleのアカウント
– まず「パスワード」アプリと1Passwordで、証券会社のパスキーの保存先を確かめる
– iPhoneは盗難デバイスの保護を「常に」に。Googleや1Passwordに保存している人は、そちらの守りも確認する
– 証券会社のパスキーは外さず、パスキー一覧・取引パスワードの省略設定・通知を確認する
今日やることは1つで足ります。iPhoneの「設定」から自分の名前を開き、下に並ぶ端末に見覚えのないものがないか確かめてください。
読んで頂きありがとうございました。
※本記事は2026年9月時点の報道と、金融庁・日本証券業協会の公表情報に基づく情報提供です。設定画面の名前は、OSやアプリの更新で変わることがあります。不正取引が疑われるときは、利用している証券会社か警察の相談窓口にご相談ください。
コメント