パスキー設定の証券口座でなぜ侵入？4社の注意喚起と不正取引の推移

パスキー設定の証券口座で何が起きた？11月11日の報道

共同通信の記事が伝えた内容を、表にまとめました。

報道は11月11日ですが、証券会社の注意喚起そのものは9月末から出ていました。最初に自社のお客さんでの発生を公表したのはブルーモ証券で、9月30日付のお知らせに次のように書いています。

件数や被害額は、このお知らせには書かれていません。また、不正にログインされたあとに売買まで行われたかどうかも、本文からは読み取れません。

なぜパスキーを設定していても侵入されるのか

パスキーは、スマホなどの端末の中に保存した「カギ」を、顔や指紋で本人確認してから使うしくみです。パスワードのように文字を入力しないため、偽サイトにだまされて入力してしまう心配がなく、フィッシングに強い認証方式とされています（しくみはパスキーの解説記事にまとめています）。

それでも侵入の疑いが出たのは、パスキーを保存・同期している「置き場所」のアカウントが狙われたためです。SMBC日興証券の注意喚起は、パスキーやパスワード（クラウドに保存したメモなど）を管理・同期するApple AccountやGoogleアカウントが第三者に乗っ取られると、そこに保存されたパスキーなどを使って証券口座にも不正アクセスされる可能性がある、と説明しています。

各社の発表と共同通信の報道をもとに、流れを3段階に整理すると次のようになります。

• ステップ1GoogleやAppleのアカウント情報が盗まれるApple社やGoogle社、金融機関などを装ったメールやSMSから偽サイトへ誘導し、ログイン情報を入力させる手口が確認されています（SMBC日興証券）。共同通信は、パスワード変更を求める偽メールを信じて入力したおそれがあると伝えています。
• ステップ2アカウントに保存されたパスキーなどが使われるクラウド上に保存されたパスキーやパスワードのメモが悪用されます（SBI証券・楽天証券）。
• ステップ3証券口座に不正ログイン・不正取引証券会社の偽サイトに何も入力していなくても、証券口座に被害がおよぶおそれがあります（SBI証券・楽天証券）。

ここで大事なのは、証券会社のシステムからIDやパスワードが盗まれたわけではないという点です。SBI証券は「当社システムから不正取得されたものではない」、SMBC日興証券は「当社システムへの不正侵入によるものではない」と、それぞれ明記しています。

共同通信は、スマホの紛失も被害につながる可能性があると伝えています。スマホをなくしたときの考え方は、パスキーを入れたスマホを紛失したときの記事で整理しています。

証券4社の注意喚起に書かれていること

当サイトが11月11日時点で本文を確認できた、証券会社4社の発表を日付順に並べました。自社で発生したと書いているのは1社で、ほかの3社は「他社の事案」や「可能性」としての注意喚起です。

※楽天証券のお知らせには日付の記載がなく、URL（info20261014）の日付で示しています。4社は当サイトが確認できたものを日付順に並べただけで、証券会社の安全性の優劣を示すものではありません。ほかの証券会社も同じような案内を出している場合があります。

SBI証券と楽天証券は、「セキュリティ向上のため、パスキーを再登録してください」といったSMSやメールにも注意をうながしています。楽天証券は、セキュリティ関連のメールにはURLなどのリンクを付けていないと説明しています。パスキーの案内をよそおった偽メールの見分け方は、パスキーの解説記事でも取り上げました。

証券口座の不正取引は増えている？金融庁の月別データ21か月分

金融庁は、証券会社などから報告を受けた不正アクセス・不正取引の件数と金額を、月ごとに公表しています。11月11日時点の最新は10月9日の更新で、2025年1月から2026年9月までの21か月分が載っています。2026年10月分は、まだ公表されていません。

下の表は、その21か月分を並べ、不正アクセスのうち実際に売買まで行われた割合（不正取引÷不正アクセス）を当サイトで計算して加えたものです。

金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」（2026年10月9日更新）より当サイトで作成。「取引に至った割合」は当サイトの計算です。赤＝ピークの月、黄＝直近3か月。売却金額は、不正アクセスされた口座の中で売られた金額の合計で、お客さんの損失額とは一致しません。

ピークは2025年4月で、不正アクセスが5,490件、不正取引が3,033件、売却金額は約1,625億円でした。最新の2026年9月は不正アクセス37件・不正取引2件で、不正アクセスはピークの約0.7%、不正取引は約1,500分の1です。年ごとに見ても、2025年の不正取引9,861件に対して、2026年は9月までで781件にとどまっています。

必須化の目安「2026年6月末」の前後で比べると

金融庁は2025年11月の日本証券業協会との意見交換会で、フィッシングに耐性のある多要素認証の必須化を「原則として2026年6月末まで」に実施するよう求めていました。そこで、6月末の前後3か月ずつと、ピークの3か月を並べてみます。

金融庁の月別の値を当サイトで3か月ごとに合計。売却金額は「約」の付いた値の足し算のため、目安です。

2026年4〜6月の不正アクセスは732件、不正取引は311件でした。7〜9月はそれぞれ98件・32件で、不正アクセスは約87%、不正取引は約90%減っています。ピークだった2025年4〜6月の不正アクセス10,759件と比べると、7〜9月は約0.9%の水準です。

それでもゼロではない｜8月は前月の約10倍に

気になるのは、いちばん少なかった2026年7月（不正アクセス18件・不正取引5件）のあとの動きです。8月は不正アクセス43件・不正取引25件に増え、売却と買付を合わせた金額は約0.4億円から約4億円へ、およそ10倍になりました。ブルーモ証券も9月30日付のお知らせで、この増加にふれています。

9月は不正取引が2件まで減りましたが、不正アクセスは37件と8月（43件）からあまり減っていません。売買まで行われた割合は、8月の約58%から9月は約5%に下がっており、ログインはされたものの売買には至らなかったケースが多かったことになります。21か月の平均は約55%でした。

2025年からの流れや補償の動きは、岩井コスモ証券の不正取引の記事で年表にしています。

パスキーを設定している人がいま確認すること｜8項目のチェック表

4社の発表と、金融庁・日本証券業協会の呼びかけに書かれている対策を、項目ごとにまとめました。証券会社のアプリではなく、スマホそのもののアカウント（GoogleアカウントやApple Account）の設定が中心です。

「呼びかけている発表」は、当サイトが確認した4社のお知らせと金融庁・日本証券業協会のページに、その項目が書かれているかどうかを示したものです。

パスキーは削除しなくてよい

今回の報道を見て「パスキーは危ないのでは」と感じるかもしれませんが、SBI証券はお知らせの中で、セキュリティ対策としてパスキーを削除する必要はないと書いています。同社では、不正に作られたパスキーがないか確認したり整理したりするうちに、正しく登録されているパスキーを誤って消してしまうケースが増えているそうです。ログインパスワードを無効にする設定をしている場合、パスキーを消すとログインできなくなり、電話などでの問い合わせが必要になります。

金融庁も、10月9日更新のページで、パスキー認証などのフィッシングに耐性のある多要素認証の提供が始まった場合は、速やかに利用設定をするよう呼びかけています。パスキーをやめるのではなく、パスキーの置き場所になっているアカウントも一緒に守る、というのが各社の発表に共通する考え方です。

乗っ取られたかもしれないと思ったら

• 証券口座に心当たりのないログインや取引がある：すぐに利用している証券会社の窓口へ連絡します。ブルーモ証券は、必要に応じて取引内容の調査や口座の取引停止などの対応をするとしています。
• GoogleアカウントやApple Accountが乗っ取られた疑いがある：GoogleやAppleの公式サポートの案内に従って対応します。証券会社では、これらのアカウントの設定の確認や変更は受け付けていません（SMBC日興証券）。
• 不審なサイトに情報を入力してしまった：証券会社の窓口に連絡し、パスワードなどをすぐに変更します（金融庁）。

金融庁には「金融サービス利用者相談室」（平日10時〜17時、0570-016811）もあります。

パスキーと証券口座の乗っ取りのよくある質問

あわせて読みたい

出典・参考資料

• 金融庁：インターネット取引サービスへの不正アクセス・不正取引にご注意ください（2026年10月9日更新）、発生状況（PDF）
• 金融庁：業界団体との意見交換会において金融庁が提起した主な論点［2025年11月18日 日本証券業協会］（PDF）
• ブルーモ証券：【重要】Apple Account・Googleアカウントの乗っ取りによる不正取引にご注意ください（2026年9月30日付）
• SBI証券：GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください（2026年10月2日）
• SMBC日興証券：パスキー等を保存している「Apple Account」や「Google アカウント」の乗っ取り被害にご注意ください（2026年10月6日、10月14日更新）
• 楽天証券：【ご注意ください】不正ログインや不正取引などの被害に遭わないために
• 日本証券業協会：不正アクセス等にご注意ください！（2026年3月25日）
• 共同通信（Yahoo!ニュース）：生体認証の証券口座で被害　乗っ取りに注意呼びかけ（2026年11月11日）
• アイキャッチの写真：スマートフォン背面の指紋センサー（Ilya Plekhanov／Wikimedia Commons、CC BY-SA 4.0）

3か月ごとの合計、増減率、「取引に至った割合」は金融庁の公表値をもとに当サイトが計算したもので、金融庁の公式統計ではありません。この記事は特定の証券会社や金融商品をすすめるものではありません。