ネット証券口座への不正アクセスが2025年から相次ぎましたが（出典：金融庁）、僕はパスキーに切り替えて一安心していました。ところが2026年10月になって、個人情報などの大量流出が相次いでいて（出典：個人情報保護委員会の注意喚起）、これを機会に改めて全体を見直してみました。個人でできる中では結構固いものになったと思ったので、共有しようと思います。手口ごとにパスキーで何が変わったかを整理して、残った穴と、それを踏まえて決めた基本方針を書いていきます。
乗っ取りの手口①〜⑤と、パスキーで塞がったもの
パスキー導入前
パスキーを入れる前は、IDとパスワードでログインしていました。この頃に口座へ入られる手口を整理すると、次の5つになります。
- ① フィッシング（本物そっくりの偽サイト）でIDとパスワードを盗まれ、2段階認証のない口座に入られる
- ② 使い回したIDとパスワードで、2段階認証のない口座に入られる
- ③ 2段階認証があっても、認証コードが届くメールのほうに入られる
- ④ 2段階認証があっても、メールやSMSに届いた認証コードをリアルタイムフィッシング（偽サイトに入力したコードを、犯人がその場で本物のサイトに入力する手口）で奪われる
- ⑤ マルウェア（ウイルスなど）でPCごとやられる
①②⑤は金融庁の注意喚起に、④は証券会社の注意喚起にも書かれている手口です（出典：金融庁、大和証券）。
最近の大量流出で、個人情報を使った本物らしいメールが作りやすくなっているので、①と④のフィッシングの精度は上がってくると思います。流出のニュースで不安になっているときは、正常な判断もしにくくなります。②の使い回しに使われるID・パスワードの候補もたくさん流出したと思います。
パスキー導入後
パスキーは、パスワードの代わりに、スマホやPCに保存された鍵でログインする方法です。指紋や顔、画面ロックは端末の中で鍵を使うための確認で、指紋や顔のデータは端末から出ません。鍵は書き写したり偽サイトに入力させたりできないので、フィッシングに強い認証とされています（出典：Google アカウント ヘルプ、金融庁）。
パスキーでしかログインできないように設定すれば、ログインの場面では①と②は塞がります。当初は、③と④はログインのあとの話なので、とりあえず問題なしとしていました。ただ、認証コードを盗む攻撃はログインの時にも成り立ちます。ログインがパスキーだけならそこは防げますが、パスワードの再設定や認証方法の登録し直しといった別の入口が残っていれば、③④はまだ使えます。⑤のマルウェアや、ログインしたあとの画面を悪用されることも、パスキーでは防げません。
一応僕の場合は、以前からパスワード管理ソフトを使っていて②の使い回しは少なかったですし、証券口座へのアクセス専用のPCとメールアドレスを用意して普段使いと分けていました。①④のフィッシング、③のメール乗っ取り、⑤のマルウェアのリスクを下げようという意図でした。
それでも全体を見直すと、パスキーの外側に穴が3つ残っていました。
見直してわかった3つの穴
穴1 パスワードや認証方法の再設定の入口
証券会社の登録メールには、パスワード再設定の案内や各種通知が届きます。ここに守りの弱いメールが登録されていると、メールを破られた時点で口座も危うくなります。登録した電話番号や、本人確認を経て認証方法を登録し直す手続きも、再設定の入口として狙われることがあります。
通知を見やすくしようとして、メールを別のアドレスへ全件転送する設定も、転送先が新しい裏口になります。
穴2 パスキーの入っているアカウント
パスキーの多くは、Googleのパスワードマネージャー、AppleのiCloudキーチェーン、MicrosoftのEdgeのパスワードマネージャーといったアカウントに保存され、同じアカウントのほかの端末にも同期されます（同期型。出典：Google for Developers、Apple サポート、Microsoft Edge Blog）。Windows Helloに保存したパスキーやセキュリティキーのように、作った端末の外に出ない端末固定型もあります（出典：Microsoft Learn、Microsoft サポート）。
同期型のパスキーはエンドツーエンドで暗号化されています。Googleでは新しい端末でパスキーを使い始めるときに、パスワードマネージャーのPINかAndroid端末の画面ロックが必要です（出典：Google ブログ）。Appleも、Apple Accountが不正に使われてもパスキーが守られる設計だと説明していて、新しい端末では手持ちの端末での承認か、デバイスのパスコードなどを使う復旧の手続きが要ります（出典：Apple サポート）。
ですので、アカウントの乗っ取りが、そのままパスキーの流出になるわけではありません。ただ、乗っ取られればメールを悪用されたり、復旧の設定を書き換えられたりするおそれがあります。保存したパスワードやパスキーも、暗号化を解くための条件（PINや画面ロックなど）まで破られれば使われてしまいます。パスキーを預けているアカウントは、口座と同じかそれ以上に固める必要がありました。
穴3 ブラウザやOSに、パスワードやパスキーのコピーが知らないうちに残っている
僕の場合、普段はGoogle Chromeにパスワードを保存していたのですが、MicrosoftのEdgeやFirefoxを使ったときに、Chromeのパスワード一式がそちらにコピーされていたことがありました。EdgeもFirefoxも、Chromeからパスワードを取り込む機能を持っています（出典：Microsoft サポート、Mozilla サポート）。
機種変更でも似たことが起きます。GoogleはiPhoneからAndroidへの移行で、パスワードとパスキーもコピーの対象にしています（一部の機種。出典：Android ヘルプ）。iPhoneに移れば、iCloudキーチェーンに保存したものは同じAppleのアカウントのほかの端末にも同期されます（出典：Apple サポート）。ブラウザの取り込みで複製されるのは主にパスワードで、パスキーは同期や移行で広がるという違いはありますが、どちらも気づかないうちに保存場所が増えます。
AppleやMicrosoftのアカウントが破られれば、そこに残ったパスワードが渡るおそれがあります。保存場所の数を減らせば、守る場所の数も減ります。
基本方針6項目
整理する前の状態を図にすると、こんな感じでした。矢印は再設定・認証・同期などのつながりを表していて、すべてがそのまま侵入経路になるわけではありません。ただ、たどっていくと循環していたり、どこに通じているのか分からなくなったりしていました。
この絡み合った状態のアカウントの依存関係を整理して、上流にあるものから固めていきます。最終的に下のように近づけていきます。ここでいう上流は、パスワードを再設定できる側やパスキーを預かっている側、それにそれらを開く端末のことです。番号は作業の順番です。
1. 専用PCで口座を操作し、ログインはスマホのパスキーで行う
証券口座へのログイン、注文、出金と、取引パスワードの保管と入力、証券口座専用メールの閲覧は、専用のPCで行い、それ以外には原則使いません。OSとアプリを最新の状態で維持し（出典：金融庁）、ディスクの暗号化と端末のロックも設定します。暗号化は盗まれたPCの中身を読み出せないようにするため、ロック（PINなど）は手に取った人がそのまま使えないようにするためです。
ログイン用のパスキーはスマホに保存し、専用PCの画面に出るQRコードをスマホで読み取ってログインします。専用PCにはパスキーを保存しません。この使い方では、PCとスマホの両方でBluetoothをオンにすることや、2台が近くにあることが求められます（出典：Google アカウント ヘルプ、Microsoft Learn、Apple サポート）。証券会社やブラウザによっては使えないので、各社の案内で確認します。
最初は、普段使いのPCでパスキーを使ってログインし、取引パスワードは専用PCに保管するつもりでした。ログインの鍵と取引の鍵を別の端末に置けば、両方は盗まれにくいと考えたからです。ところが、保管先が専用PCでも、注文のときに普段使いのPCで入力すれば、そのPCに入ったマルウェアに入力の時点で盗まれます。保管場所を分けても入力する端末が感染していれば防げないので、証券の操作をする環境そのものを普段使いから切り離すことにしました。これが専用PCの目的です。スマホのパスキーでログインするのは、ログインの鍵まで専用PCに集めないためです。
それでも、専用PCがマルウェアに感染すれば、ログイン後の操作や取引パスワードの入力を悪用されることは起こり得ます。そのため、6番で取引や出金の追加認証の有無と方式、通知の設定を確認します。ただ、専用PCで受け取る認証コードやメールでの認証は、専用PCがやられれば一緒に悪用されるおそれがあり、別の端末で内容を確かめて承認できる方式でないと歯止めになりにくいです。通知も不正を止めるものではなく、早く気づくためのものです。
性能は高くなくてよく、僕は数万円のノートPCで十分だと思っています。専用PCは絶対に必要というわけではありませんが、証券口座にある程度まとまった資産を置いているなら、用意したほうがいいと思います。万が一の被害額を考えれば、数万円と管理の手間は払う価値があります。すぐに用意できない場合でも、普段使いの端末を最新に保ち、パスキーと6番の設定を固めるところから始める意味はあります。
2. パスワード管理ソフトを導入する
専用PCにKeePassXCなどのパスワード管理ソフトを入れて、証券会社の取引パスワードと、証券口座専用メールのID・パスワードを管理します。
このソフトを開くためのパスワード（マスターパスワード）は長くし、ほかでは使っていないものにします。無作為に選んだ単語をいくつか組み合わせるパスフレーズという作り方もあります。控えの保管方法を決め、暗号化されたデータベースのファイルもバックアップを取って、実際に開けるか一度試しておきます。KeePassXCの公式ガイドもバックアップの取り方を案内していて、マスターパスワードをなくすと開けなくなるおそれがあると注意しています（出典：KeePassXC User Guide）。
3. 証券口座専用のメールを用意する
証券口座の２段階認証・再設定メールを、普段使いのメールと分けます。選ぶのは、フィッシングへの対策がしっかりしていて、セキュリティキーやパスキーで守れるメールです。僕はGmailを選びました。Googleは、Gmailが迷惑メール、フィッシング、マルウェアの99.9％以上を受信トレイに届く前に止めていると説明しています（出典：Google Workspace ブログ、2022年）。条件を満たしていれば、ほかのメールでも構わないとは思います。
このメールは専用PCだけで開きます。スマホに入れると、ログイン用のパスキーと再設定用のメールが同じ端末に集まるからです。全件転送もしません。証券会社のサイトには、メールのリンクからではなく、専用PCのブックマークから入ります。金融庁も、ブックマークからのアクセスを勧めています（出典：金融庁）。
専用メールと取引パスワードが同じPCに集まるので、このPCがやられれば両方を悪用されるおそれは残ります。メールをさらに別の端末に分ける案も考えましたが、端末が増えるほど更新や復旧の手間も増えるので、管理の負担と防御の効果を比べて、同じPCに置くことにしました。
4. パスキーを預けるアカウントを固める
スマホでパスキーを保存するアカウント（Google、Appleなど）を、普段使いのメインのアカウントとして一つに決め、ほかのサイトのID・パスワードの保存先もそこにまとめます。
このアカウントへのログインには、パスキーを優先して使います。SMSの認証コードも役に立ちますが、選べるならフィッシングに強いパスキーを優先します。スマホをなくしたりログインできなくなったりしたときの復旧方法（再設定用の電話番号など）も決めておきます。パスキーはログインのときの確認で、アカウントを失ったときの復旧は別の設定だからです（出典：Google アカウント ヘルプ「2段階認証プロセス」、同「復元オプション」）。再設定にメールは使いません。さらに上流のアカウントが増えて、管理が複雑になるだけだからです。
同期型のパスキーは、同じアカウントのほかの端末でも使える状態になります。普段使いのPCで口座を操作せず、取引パスワードと専用メールの認証情報も置かないのは、このためでもあります。専用PCでは、このアカウントの同期を使いません。
5. 別の場所に残ったコピーを消す
iCloudキーチェーン、Edgeの同期、Firefoxなど、ほかの保存先に残った証券・銀行・メールのパスワードやパスキーを削除します。Edgeの同期は、項目ごとにも、サインアウトでも止められます（出典：Microsoft サポート）。消す前に、決めた保存先で実際にログインできることは必ず確かめておきます。同期しているコピーを消すと、同じアカウントのほかの端末からも消えることがあるので、削除の前に同期の範囲と影響も確認します。
6. 口座ごとの設定を確認する
口座ごとに、次の4点を確認します。金融庁も、ログイン時、取引時、出金時、出金先口座の変更時の多要素認証や通知の設定を勧めています（出典：金融庁）。
- パスワードでのログインを止められるか（止めても再設定の入口は残るので、次の項目とセットで見ます）
- 登録メールが専用のメールか。電話番号など、ほかの再設定の手段と条件はどうなっているか
- 取引時、出金時、出金先の変更時に追加の認証がかかるか（別の端末で内容を確かめて承認できれば、専用PCがやられたときの歯止めになり得ます）
- ログイン、注文、出金などの通知が届くか。通知の送り先も確認します（専用メールにしか届かないと、普段は見ないので気づくのが遅れます。通知先を分けられるなら、普段見るメインのアドレスや証券会社のアプリ通知が気づきやすいです）
設定できる項目や手続きの条件は会社ごとに違うので、各社の公式の案内で確認します。
まとめ
パスキーでしかログインできないようにすると、ログインの場面では①と②が塞がり、③④もログインには使いにくくなります。ただ、再設定の入口、パスキーを預けているアカウント、ブラウザやOSに残ったコピーという3つの穴が残っていて、⑤のマルウェアやログイン後の悪用もパスキーでは防げません。そこで、証券の操作は専用PCに切り離し、ログインはスマホのパスキーで行う形にしました。専用PCがやられたときに備えて、取引時・出金時・出金先変更時の追加認証と通知も確認します。
全部を最強にはしません。ひとまずこの6項目に絞り、仕様が変わったら見直します。
コピーして使える6項目チェックリスト
□ 1. 証券口座の操作、取引パスワード、専用メールにだけ使うPCを用意し、OSとアプリを最新にして、暗号化、ロックを設定した。証券口座のログインはスマホのパスキーで行い、専用PCにはパスキーを保存していない
□ 2. 専用PCのパスワード管理ソフトで、取引パスワードと専用メールのID・パスワードを管理している。マスターパスワードの控えと、データベースのバックアップと復元の確認を済ませた
□ 3. 証券口座の２段階認証・再設定メールを専用のメールにし、閲覧は専用PCだけにした。スマホには入れず、全件転送もしていない。証券会社のサイトにはブックマークから入る
□ 4. 証券口座のパスキーを預けるアカウントの2段階認証にパスキーなどを登録し、復旧方法を決めた。再設定用の情報は、専用のメールや守りの弱いメールにしていない。普段使いのPCに取引パスワードと専用メールの認証情報を置いていない
□ 5. ほかのブラウザやOSに残った証券・銀行・メールのパスワードやパスキーを、決めた保存先でログインできることを確かめてから消した
□ 6. 口座ごとに、パスワードログインの停止、再設定の手段、取引時・出金時・出金先変更時の認証、通知先を確認した
出典一覧（いずれも2026年10月時点で確認）
- 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」 https://www.fsa.go.jp/ordinary/chuui/chuui_phishing.html
- 個人情報保護委員会「『大規模な漏えい等事案を踏まえた対応について（注意喚起）』の公表」（2026年10月7日） https://www.ppc.go.jp/news/press/2026/261007_houdou
- 大和証券「大和証券の『約定通知』や『ログイン追加認証』を装ったフィッシングメールにご注意ください」（リアルタイムフィッシングの説明） https://www.daiwa.jp/doc/2504alert.html
- Google アカウント ヘルプ「パスワードの代わりにパスキーでログインする」 https://support.google.com/accounts/answer/13548313?hl=ja
- Google for Developers「Android と Chrome でのパスキーのサポート」 https://developers.google.com/identity/passkeys/supported-environments?hl=ja
- Apple サポート「iPhoneとiCloudキーチェーンを使ってデバイス間でパスワードおよびパスキーを利用できるようにする」 https://support.apple.com/ja-jp/guide/iphone/iph82d6721b2/26/ios/26
- Microsoft Edge Blog「Microsoft Edge introduces passkey saving and syncing with Microsoft Password Manager」（2025年11月3日） https://blogs.windows.com/msedgedev/2025/11/03/microsoft-edge-introduces-passkey-saving-and-syncing-with-microsoft-password-manager/
- Microsoft Learn「Windows でのパスキーのサポート」 https://learn.microsoft.com/ja-jp/windows/security/identity-protection/passkeys/
- Microsoft サポート「What are passkeys and why they matter」 https://support.microsoft.com/ja-jp/windows/passkeys-in-windows-301c8944-5ea2-452b-9886-97e4d2ef4422
- Google ブログ「Sync passkeys securely across your devices」（2024年9月19日） https://blog.google/technology/safety-security/google-password-manager-passkeys-update-september-2024/
- Apple サポート「パスキーのセキュリティについて」 https://support.apple.com/ja-jp/102195
- Microsoft サポート「Import your favorites and passwords in Microsoft Edge」 https://support.microsoft.com/en-us/help/4533249
- Mozilla サポート「Import bookmarks and other data from Google Chrome」 https://support.mozilla.org/en-US/kb/import-bookmarks-google-chrome
- Android ヘルプ「iPhone または iPad から新しい Android デバイスにアプリとデータをコピーする」 https://support.google.com/android/answer/13626960?hl=ja
- KeePassXC「KeePassXC User Guide」 https://keepassxc.org/docs/KeePassXC_UserGuide
- Google Workspace ブログ「Gmail の迷惑メールフィルタを理解する」（2022年） https://workspace.google.com/blog/ja/identity-and-security/an-overview-of-gmails-spam-filters
- Googleアカウントヘルプ「2段階認証プロセスを有効にする」 https://support.google.com/accounts/answer/185839?hl=ja
- Googleアカウントヘルプ「復元オプションを設定する」 https://support.google.com/accounts/answer/183723?hl=ja
- Microsoft サポート「Sign in to sync Microsoft Edge across devices」 https://support.microsoft.com/en-us/edge/sign-in-to-sync-microsoft-edge-across-devices
免責
本記事は特定の製品・サービス・金融機関を勧めるものではありません。記載した仕様は2026年10月時点のもので、変わる可能性があります。投資助言ではありません。本記事に広告リンクはありません。
