パスキーは破られていない？Google・Apple乗っ取りから証券口座を守る7つの対策

パスキーを設定しても、昔ながらのID・パスワードでのログインが残っていると、そこが「裏口」になります。

• SBI証券は、パスキー設定後にログインパスワードを無効化することを推奨しています。
• 仕様は証券会社ごとに違います。自動で無効になる会社もあれば、自分で設定が必要な会社もあります。各社のセキュリティ設定やFAQで「パスワードログインを無効にできるか」を必ず確認してください。

今回の事案の核心です。パスキーが同期されるアカウントを突破されると、鍵ごと使われます。

• 2段階認証を必ずオンにする（できればGoogle・Apple自身のパスキーも）
• ログイン中の端末一覧を見て、古い端末や身に覚えのない端末を削除する
• 回復用のメールアドレス・電話番号が自分のものか確認する（乗っ取り後の「回復」を悪用されないため）
• iPhoneは「盗難デバイスの保護」をオンにする

買い物やSNSで使い回しているメールアドレスは、漏洩すると狙われやすくなります。証券・銀行などお金の窓口専用のアドレスを作り、他の用途に使わないだけで、攻撃の入口を大きく減らせます（できれば会社ごとに分けるとさらに安全）。

「不審なログインがありました」「本人確認が必要です」など、不安をあおる連絡ほど疑ってください。本物か偽物かを見抜こうとせず、リンクは踏まない・自分で公式アプリやブックマークから入ると決めるのが確実です。

• SBI証券は「パスキーを再登録してください」というSMSやリンクに従わないよう呼びかけています。
• 証券会社を装った「パスキーへの移行をお願いします」という偽メールの報告もあります。「期限つきの手続き依頼」は特に要注意です。

1か所で漏れたパスワードは、ほかのサービスへの攻撃にも使われます。サービスごとに違う長いパスワードを、パスワード管理アプリに任せるのが現実的です。覚える必要がなくなるので、むしろラクになります。

万が一のとき、気づく速さが被害の大きさを左右します。ログイン、約定、出金、設定変更などの通知を、可能な限りオンにしましょう。あわせて、出金先の銀行口座が自分名義のまま変わっていないかも、ときどき確認してください。

セキュリティに100%はありません。だからこそ、入られても資産を動かせない壁を作っておくのが最後の砦です。

• 証券会社によっては、ログインの一時停止や、売却・出金などの取引を制限する機能があります（例：SBI証券は、総合口座へのログインを停止・解除できる設定が公式FAQにあります）。
• 楽天証券などでも、積立は続けながら売却や出金を止められる機能が紹介されています。名称や条件は変わることがあるので、各社の公式ページで最新の内容を確認してください。
• 普段は売買しない長期投資家ほど、相性が良い対策です。