証券口座の乗っ取り対策は？パスキーでも守りきれない理由と、今夜やる設定3つ

「パスキーを設定したから、もう大丈夫」と思っている人ほど、読んでほしい話です。

2026年10月2日、SBI証券が出した注意喚起は、証券口座のパスワードが盗まれた話ではなく、GoogleやAppleのアカウントが乗っ取られて、そこに保存したパスキーごと使われた疑いの話でした。つまり、証券会社の設定を固めていても、スマホのアカウント側が弱いと守りきれません。

僕はNISAを1年前から続けているので、他人事ではありませんでした。金融庁・警察庁・各社の公式ページを読んで、今夜やる設定を3つに絞りました。iPhoneとGoogleの画面の手順、SBI証券以外の証券会社の設定、乗っ取られたときの補償と相談先まで、この記事1本で分かるようにまとめています。

パスキーとは

パスキーは、パスワードの代わりに、スマホの顔認証・指紋認証・画面ロックでログインする仕組みです。FIDOアライアンスは、パスワードと違って常に強固で、フィッシングに強いと説明しています。偽サイトにパスワードを入力してしまう、という失敗が起きにくい形です。

ただし、パスキーはスマホの中だけにあるとは限りません。

• iPhoneでは、パスキーはiCloudキーチェーンで、同じApple Accountの端末どうしで同期されます（Apple）
• AndroidやChromeでは、パスキーをGoogleパスワードマネージャーに保存でき、同じGoogleアカウントでログインしている端末なら、どれでも使えます（Google）

便利な反面、パスキーを預けているApple AccountやGoogleアカウントそのものが、証券口座の入口になるということです。これが、今回の件のポイントです。

出典：FIDOアライアンス「パスキー」／Apple「パスキーのセキュリティについて」／Google「複数のデバイス間でパスワードとパスキーを使用する」

何が起きたのか（SBI証券の10月2日の注意喚起）

SBI証券は2026年10月2日、「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください」を公開しました。日本証券業協会から会員の証券会社に届いた通知をもとにした注意喚起で、同じページにはSBI証券の証券口座での被害は確認されていないとも書かれています。

書かれている手口は、こうです。

• フィッシングなどで、GoogleやAppleのアカウント情報が第三者に取られる
• そのアカウントのクラウドに保存されていたパスキーや、パスワードのメモが悪用される
• その結果、証券口座に不正にログインされ、取引された疑いのある事案が確認されている

SBI証券は、自社のシステムから「ユーザーネーム」「ログインパスワード」「取引パスワード」が取られたわけではないとしています。そのうえで、証券口座のログイン情報を偽サイトに入力していなくても、パスキーやログイン情報を保存しているGoogleやAppleのアカウントが使われると、証券口座にも被害が及ぶおそれがあると書いています。

パスキーの仕組みが破られたという話ではありません。パスキーを預けている「スマホのアカウント」が入口になった、というのがこの件の中身です。

出典：SBI証券「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください」

証券口座の不正アクセスはどれくらい起きている？

金融庁が各証券会社から報告を受けた数字（発生日ベースの暫定値）では、2025年1月から2026年9月までの合計で、次のとおりです。

項目	2025年1月〜2026年9月の合計
不正アクセスの件数	19,252件
不正取引の件数	10,642件
不正に売却された金額	約4,372億円
不正に買い付けられた金額	約3,837億円

月ごとに見ると、不正アクセスがいちばん多かったのは2025年4月の5,490件で、2026年9月は37件まで減っています。

ただし金融庁は、まだ分かっていない不正アクセスや不正取引があるかもしれないこと、そして売却・買付の金額は口座の中で不正に動いた代金の合計で、お客さんが失った金額とは一致しないことに気をつけるよう書いています。件数が減ったから安心、とは言えない数字です。

また金融庁は2026年10月9日、金融機関に向けて、サイバーセキュリティ対策を点検し、足りないところがあればすぐに手を打つよう注意喚起を出しました。国も、金融機関に点検を求めている状況です。

出典：金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」（令和8年10月9日更新）／金融庁「現下の情勢を踏まえたサイバーセキュリティ対策の強化と各種取引申込等における対応について（注意喚起）」

今夜やる設定3つ

❶ スマホのアカウントの2段階認証を固める

SBI証券が10月2日の注意喚起で「お願い」として最初に挙げているのは、証券口座の設定ではなく、GoogleアカウントやApple Accountに強力な2段階認証（認証アプリなど）を設定し、復旧に使うメールアドレスと電話番号が自分のものか確かめることです。iPhoneの人はApple Account、AndroidやGmailを使っている人はGoogleアカウントから始めてください。両方使っている人は両方です。

iPhone（Apple Account）の場合

2ファクタ認証がオンか、信頼できる電話番号が今の番号かを確かめます（iOS 26のiPhoneユーザガイド）。

1. 「設定」アプリを開き、いちばん上の自分の名前をタップ
2. **「サインインとセキュリティ」**をタップ
3. **「2ファクタ認証」**をタップ。オフなら、確認コードを受け取る信頼できる電話番号を入れてオンにする
4. 同じ画面で、信頼できる電話番号が今使っている番号かを見る。古い番号は横のボタンで削除し、「信頼できる電話番号を追加」で今の番号を足す

あわせて、「サインインとセキュリティ」＞**「復旧用連絡先」**で、パスワードを忘れたときに手伝ってもらえる家族を登録できます。復旧用連絡先は、あなたのアカウントには入れず、コードを伝えられるだけです。

なお、同じ画面の**「復旧キー」**は、28文字のコードを自分で保管する上級者向けの設定です。設定するとAppleの通常の復旧の手続きが使えなくなり、なくしてもAppleは発行し直せません。設定するなら、先にAppleのページで注意点を読んでからにしてください。

Googleアカウントの場合

1. Googleアカウントを開き、**[セキュリティとログイン]**をタップ
2. **[Google にログインする方法]の中の[2 段階認証プロセスを有効にする]**を選ぶ
3. 画面の指示に沿って進める

2つ目の確認の方法は、パスキー、Google 認証システムなどの確認コードのアプリ、ログイン中のスマホへの通知などから選べます。Googleのヘルプは、SMSや音声通話で届くコードは、電話番号を使ったハッキングに弱いおそれがあるとしていて、フィッシングへの守りを強めたい場合の方法としてパスキーを挙げています。

同じ**[Google にログインする方法]の中に[再設定用のメールアドレス]と[再設定用の電話番号]**があります。昔のアドレスや、もう使っていない番号のままになっていないかを見てください。再設定用のメールアドレスは、ログインに使うアドレスとは別の、ふだん見ているものにするよう書かれています。

出典：Apple「iPhoneでApple Accountの2ファクタ認証を使用する」／Apple「Apple Accountの復旧用連絡先を設定する」／Apple「Apple Accountの復旧キーを設定する」／Google「2 段階認証プロセスを有効にする」／Google「復元オプションを設定する」

❷ 証券口座のログインを、パスキーだけにする

金融庁は、パスキー認証のようなフィッシングに強い多要素認証が使えるようになったら、すぐに設定するよう求めています。

SBI証券の場合、FAQ「不正なアクセスを防止するための対策」にログインパスワード無効設定があります。ユーザーネームとログインパスワードでのログインを止める設定で、使うにはパスキー認証の設定が必要です。こうしておくと、パスワードが漏れても、パスワードだけでは入れない形になります。ほかの証券会社の設定は、次の章の表にまとめました。

❸ 使わない時間は、ログインそのものを止めておく

SBI証券のFAQにはログイン一時利用停止もあります。WEBサイトとアプリ・ツールの全部の入口で、ログインを一時的に止める設定です（法人口座では使えません）。毎日取引するわけではない人なら、使うときだけ開ける形にできます。

あわせて、ログイン通知メールを受け取る設定にして、ログイン履歴のページで日時と入口（チャネル）を見る習慣をつけておくと、知らないログインにすぐ気づけます。

出典：SBI証券 FAQ「不正なアクセスを防止するための対策」／金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」

SBI証券以外の証券会社を使っている人は

主なネット証券・大手証券も、ログインのパスキーを順に必須にしています（三菱UFJ eスマート証券は準備中）。各社の公式のお知らせに書かれていることをまとめました。

証券会社	パスキーの扱い（公式のお知らせ）	設定する場所・注意
楽天証券	2026年6月以降、ログイン時のパスキー認証を順次必須化。時期は人ごとに個別に案内	案内を待たず、ログイン後のセキュリティ設定画面から設定できる。作成後はパスワードではログインできなくなる
マネックス証券	2026年1月末以降、順次必須化。具体的な時期は決まりしだい案内	「登録情報照会」画面で登録。端末でパスキーの保存先（iCloudキーチェーン・Googleパスワードマネージャーなど）が有効になっている必要がある
松井証券	2026年6月より順次、ログイン時のパスキー登録を必須化	【口座管理】-【セキュリティ設定】の多要素認証設定「ログイン」で**「パスキーでのみログイン」**を選べる（2026年7月25日予定以降）
SMBC日興証券	2026年4月下旬より、日興イージートレードのログインでパスキー認証を順次必須化	2026年8月21日から、はじめてパスキーを設定する人はマイナンバーカードか運転免許証でのオンライン本人確認が必要
三菱UFJ eスマート証券（旧auカブコム証券）	2026年4月26日に導入。2026年10月末を目標に必須化を準備中（時期は移行状況をみて判断）	ログイン通知・自動通知サービスで、不正なログインや取引に早く気づける

どの会社でも、パスキーを作ったら、パスワードでのログインを止められるかを確かめておくと、SBI証券のログインパスワード無効設定と同じ形にできます。

出典：楽天証券／マネックス証券／松井証券（必須化）／松井証券（パスキーでのみログイン）／SMBC日興証券（必須化）／SMBC日興証券（パスキー認証）／三菱UFJ eスマート証券（導入）／三菱UFJ eスマート証券（セキュリティ対策）

やってはいけないこと

警察庁は、メールに書かれたリンクは偽装できるうえ、本物に似たドメイン名のフィッシングサイトも多く、見た目でリンクの真偽を見分けるのはとても難しいとしています。そして、金融機関がIDやパスワードをメールやSMSで聞いてくることはありません。 SMBC日興証券も、パスキー設定の本人確認を促すURL付きのメールは送らないと案内しています。

入るときは、事前に登録したブックマークか、公式アプリから。これは金融庁も警察庁も言っている基本です。

出典：警察庁「フィッシング対策」／警察庁「証券会社をかたるフィッシングに注意！」

乗っ取られたら、お金は戻ってくる？

戻ることはありますが、「必ず全額」でも「自動で半分」でもありません。 いまは、セキュリティ設定をどう使っていたかも含めて、個別に判断する流れになっています。

SBI証券の発表によると、日本証券業協会は2025年5月2日、証券会社10社による申し合わせを公表しました。中身は、第三者に不正に売買されて出た被害について、各社の約款に関わらず一定の補償を行うというものです。ただし補償は、IDやパスワードの管理を含む状況や、証券会社が出していた注意喚起などを踏まえて、個別の事情に応じて対応するとされています。

各社の補償方針は、次のように変わってきています。

証券会社	補償方針（公式の発表）
SBI証券	2025年10月26日以降の被害は、ID・パスワードの管理や、SBI証券のセキュリティ機能の利用状況など、その態様に応じて個々に検証して決める（それまでは原則、被害の50％の金銭補償）
楽天証券	被害額の50%を基本に金銭で補償し、利用状況などを個別に確認して最終的な対応を決める。不正な取引の売買手数料は返金、一律10,000円のお見舞金
松井証券	一律に1/2の補償から、2025年9月29日以降の被害は個別の事情に応じて決める形に変更。パスキーが未登録の状態で損失が出た場合は、補償を行わない可能性があるとしている

補償の対象にも注意が要ります。たとえばSBI証券と楽天証券は、もともと持っていた株や投資信託を勝手に売られただけの場合は、損失の補償の対象ではなく、手数料やお見舞金の対象としています。

つまり、「補償があるから大丈夫」ではありません。セキュリティ設定をどう使っていたかは、補償を判断するときにも見られます。

出典：SBI証券「不正アクセス等による被害に対する当社における補償方針について」／楽天証券「フィッシング詐欺等による不正アクセス被害に関する補償方針について」／松井証券「フィッシング詐欺等による不正取引での被害に関する今後の補償について」／松井証券「ログイン時のパスキー登録を順次、必須化します」

入力してしまった・被害に気づいたら

金融庁と警察庁が挙げている手順は、次のとおりです。

1. 使っている証券会社の問い合わせ窓口に、すぐ連絡する
2. パスワードなどを、すぐに変更する
3. 同じIDやパスワードを使っている、ほかの全部のサービスでも変更する（警察庁）

「入力したかもしれない」と思った時点で動くのが大事です。ふだんから口座の状況をこまめに見ておくと、おかしな取引に早く気づけます。

証券会社とのやりとりで困ったときに相談できる公的な窓口もあります。

窓口	電話・受付時間	できること
金融庁 金融サービス利用者相談室	0570-016811（IP電話からは 03-5251-6811）／平日10時00分～17時00分。ウェブサイトからも受付	話を聞いて、他の機関の紹介や論点の整理などのアドバイスをする。あっせん・仲介・調停はできない
証券・金融商品あっせん相談センター（FINMAC）	0120-64-5005／月～金曜日 9:00～17:00（祝日・年末年始を除く）	株式・投資信託・FXなどの金融商品の取引に関する相談・苦情を受け付ける、法律に基づく紛争解決の機関

まずは証券会社に連絡し、話が進まないときに、これらの窓口を使う順番です。

出典：金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」／警察庁「フィッシング対策」／金融庁「金融サービス利用者相談室」／証券・金融商品あっせん相談センター

よくある質問

パスキーにすれば、もう安全？

パスキーはフィッシングに強い仕組みですが、今回のようにパスキーを保存しているApple AccountやGoogleアカウントが乗っ取られると、証券口座にも被害が及ぶおそれがあります（SBI証券）。また、Googleのヘルプには、パスキーを作った端末は、端末のロックを解除できる人なら誰でもパスキーでログインできると書かれています。パスキーを使うなら、スマホの画面ロックとアカウントの2段階認証までがセットです。

iPhoneのパスワード（iCloudキーチェーン）に保存していても大丈夫？

Appleは、iCloudキーチェーンを使うApple Accountでは2ファクタ認証を必須にしていて、アカウントが不正に使われた場合にもパスキーとパスワードが守られるように設計したと説明しています。それでも、入口になるのはApple Accountです。「今夜やる設定」の❶で、2ファクタ認証と信頼できる電話番号を確かめておいてください。

SMSで届く確認コードでも、2段階認証になっている？

2段階認証にはなっています。ただGoogleのヘルプは、SMSや音声通話のコードは電話番号を使ったハッキングに弱いおそれがあるとしていて、パスキーや確認コードのアプリのほうを、フィッシングへの守りを強める方法として挙げています。

自分の証券会社では被害が出ていないなら、放っておいていい？

SBI証券も、今回の件で自社の口座での被害は確認されていないとしています。それでも、ここまで見たとおり各社がパスキーを必須にする方向で、補償もセキュリティ設定の使い方を含めて判断される流れです。被害が出てからでは遅いので、設定は今のうちに済ませておくのがおすすめです。

補償金を受け取ったら、税金はかかる？

楽天証券・松井証券・SBI証券は、日本証券業協会からの通知として、個人が受け取った補償金は所得税がかからず、確定申告もいらないと案内しています。

まとめ：パスキーの「預け先」まで守る

• この件は、証券口座ではなくGoogleやAppleのアカウントが乗っ取られ、保存したパスキーごと使われた疑いの話
• 今夜やるのは、①スマホのアカウントの2段階認証と復旧用の電話番号・メールの確認 ②証券口座はパスキーだけでログイン ③使わない時間はログインを止めるの3つ
• SBI証券以外の楽天証券・マネックス証券・松井証券・SMBC日興証券・三菱UFJ eスマート証券も、パスキーを順に必須にしている（準備中を含む）
• SMSやメールのリンクは開かない。 入るのはブックマークか公式アプリから
• 乗っ取られたときの補償は、セキュリティ設定の使い方も含めて個別に判断される。 入力してしまったら、証券会社に連絡して、同じパスワードを使っている全部のサービスで変更

騒ぐより、今夜ひとつずつ片づけておきましょう。

この記事は2026年10月13日時点の公式情報をもとにしています。設定の名前や画面、各社の方針は変わることがあるので、操作の前に各社の公式ページも確認してください。