当ページのリンクには広告が含まれている場合があります。
パスキー自体はフィッシングに強い仕組みです。それでも証券口座の注意喚起が出るのは、「パスキーが破られた」からではなく、パスキーを同期している親アカウント（Apple AccountやGoogleアカウント）側が狙われるからです。
三菱UFJモルガン・スタンレー証券は2026年10月16日、第三者にApple／GoogleのIDとパスワードを盗まれ、クラウドに同期されたパスキーが悪用される可能性が確認されたとして注意を呼びかけました。被害件数はこの注意喚起では示されていません。自分の操作でないのに「他の場所からのアクセスを許可」や確認コードの入力を求められたら、応じないことが重要です。
直近では、TBS NEWS DIG（2026年11月9日）が、ダイソーのパスワード管理ノートが10月以降品薄で、店頭では20〜30代の購入が増えていると報じています。何をどこまでやれば十分か、今週30分（10分×3）で決めるための記事です。
証券口座を持っていない人にも関係があります。親アカウントはメール、写真、クラウド、他サービスの入り口だからです。持っている人は、加えて証券・銀行アプリの入り方を公式側に固定します。スマホ紛失や送金詐欺のあとの対応はキャッシュレスとスマホATM安全の記事へ。ここでは親アカウントとパスワード管理に絞ります。
目次
何が起きている？数字と仕組みを3分で
金融庁「インターネット取引サービスへの不正アクセス・不正取引の発生状況」（PDF、2026年10月9日付）によると、不正アクセス件数は2025年4月に5,490件とピークを記録したあと、2026年は1月330、2月217、3月158、4月339、5月222、6月171、7月18、8月43、9月37件でした。1〜9月の月別件数を編集部で合計すると1,535件です。7〜9月は18〜43件でした（急減の理由はこのPDFだけでは分かりません）。ゼロではない、というのが実務上の読みです。
仕組みはこう整理できます。親アカウントのIDとパスワードが盗まれる → クラウド同期されたパスキーが攻撃者の手元でも使える状態になる → 証券口座などへログインされる、という流れです。Appleサポート「パスキーのセキュリティについて」によると、パスキーはiCloudキーチェーン経由でエンドツーエンド暗号化されて同期され、新しいデバイスでのサインインにはApple Accountのパスワードと6桁の確認コードが必要です。だからこそ、自分が出していない「確認コード入力」や「アクセスを許可」に応じないことが、親アカウント防衛の中心になります。
パスキーは危ないの？誤解をほどく
Googleアカウントヘルプ「アカウントのセキュリティを強化する」も、パスキーは共有や書き写しができず、フィッシングへの耐性が高いと説明しています。危ないのはパスキーそのものより、同期先の親アカウントと回復手段です。
| 方式 | 強み | 弱点 |
|---|---|---|
| パスワードのみ | 導入が簡単 | 使い回し・漏洩・フィッシングに弱い |
| SMSコード | 追加の確認 | Googleからのメッセージより弱い（Googleヘルプ） |
| Googleからのメッセージ | SMSより安全 | 端末側の承認を誤ると通る |
| セキュリティキー | フィッシング耐性が高い | 持ち物管理が必要 |
| パスキー | 共有不可・フィッシング耐性 | 親アカウントと同期・復旧の守りが前提 |
30分チェック①：Googleアカウント（約10分）
操作の画面文言は端末や言語で違うので断定しません。日本語ヘルプを開きながら、次だけ確認してください。
- セキュリティ診断（Security Checkup）を実行する
- 再設定用の電話番号・メールアドレスが自分のものか確認する
- 2段階認証を、SMS以外のより強い方式へ寄せる（可能な範囲で）
- パスワードチェックアップで漏洩・弱いパスワードを洗い出す
30分チェック②：Apple Account（約10分）
Appleサポート（日本）によると、iCloudキーチェーンでパスキーを同期する場合、そのApple Accountは2ファクタ認証が必須です。確認コードや「アクセスを許可」は、自分が出していない限り応じないでください。
- 2ファクタ認証がオンか確認する（Apple「Apple Accountの2ファクタ認証」）
- 自分が出していない確認コードや「アクセスを許可」には応じない
- 標準の「パスワード」アプリはiOS 18以降（公式案内）
30分チェック③：証券・銀行アプリ（約10分）
松井証券の注意喚起（2026年11月9日更新）は、メールのリンクからログインしないこと、公式アプリやブックマークから開くこと、リアルタイムのフィッシングが多要素認証をすり抜ける例があることなどを説明しています（個別の証券会社の手続きは各社の案内が優先です）。
- 公式アプリ／公式サイトのブックマークからだけ開く
- 取引通知をオンにする
- 設定できるなら「パスキーのみ」などログイン制限を検討する（松井の例）
- 自分の操作でない「アクセスを許可」「確認コード入力」は押さない（三菱UFJモルガン・スタンレー証券の注意）
パスワードはどう管理する？記憶・紙・ツールを比べる
トレンドマイクロ「パスワード・パスキーの利用実態調査2026」（2026年3月24日公表、実施2026年2月20〜22日、日本国内居住の18〜69歳のWebサービス利用者 n=1,034、Web調査）によると、パスワードの管理方法（複数回答）は「記憶している」40.9%、「紙のメモやノート」34.3%、「スマホのメモ帳」28.3%、「ブラウザの保存機能」26.1%、「専用のパスワード管理アプリ」10.8%でした。複数回答のため合計は100%になりません。また、複数サービスでのパスワード使い回しは84.3%（うち、ほぼ全てで1種類13.5%＋2〜3種類43.3%＝1〜3種類で56.8%）です。これはセキュリティベンダーによる企業調査で、20〜30代男性に限定した数字ではありません。
別件として、前出のTBS報道はダイソーの紙ノートが品薄で、店頭では20〜30代の購入が増えていると伝えています（管理方法の全国調査とは別の話です）。
| 方式 | 向く人 | 注意点 |
|---|---|---|
| 記憶 | サービス数が少ない | 使い回しが起きやすい |
| 紙ノート | デジタルに頼らない | 持ち歩かない・自宅保管・親アカウントは別管理 |
| ブラウザ／OS標準 | 端末を守れる人 | 親アカウント保護が前提 |
| 専用アプリ | サービス数が多い | 無料範囲は公式で確認 |
怪しいと思ったら：最初にやる3つ
不審な取引やログインに気づいたら、まず証券会社へ連絡し、必要なら取引を止める相談をしてください（各社の案内が優先）。あわせてパスワードを変更し、相談窓口も使えます。三菱UFJモルガン・スタンレー証券の注意喚起に示された窓口例は、警察庁の相談窓口#9110、金融庁 金融サービス利用者相談室 0570-016811、「株や社債をかたった投資詐欺」被害防止コールセンター（0120-344-999）です。
NISAの守り方はNISAのバランス計画の記事、緊急資金の置き方は普通預金と緊急資金の記事へ。
無料ツール：親アカウントを守る3つ
どれも無料で始められます。Google系はGoogleアカウント、Apple系はApple Accountが必要です。有料プランの勧誘ではありません。
Google アカウントのセキュリティ診断／パスワードチェックアップ（無料）
日本語ヘルプの案内に沿って、セキュリティ診断とパスワードチェックアップを確認します。
Google Authenticator（無料）
2段階認証用のコード生成アプリです。無料範囲はストア掲載を確認してください。
よくある質問
パスキーをやめた方がいい？
いいえ。パスキー自体はフィッシングに強い側です。やめるより、親アカウントの2段階認証と回復手段、不審な許可要求への拒否を優先してください。
紙ノートは安全？
持ち歩きや写真流出が弱点です。自宅保管にし、親アカウント用は分けてください。万能ではありません。
SMS認証はダメ？
ないよりはマシですが、より強い方式へ寄せられるなら寄せた方がよい、というのが一般的な整理です（Googleヘルプの階層）。
証券口座を持っていなくても必要？
はい。Apple／Googleアカウントはメールや写真、他サービスの入口にもなります。
まとめ：今週の30分チェックリスト
親アカウント防衛は一度やって終わりではありません。機種変更やメールアドレス変更のあとに、回復手段と2段階認証をもう一度確認する習慣にすると、今回の30分が無駄になりにくいです。
パスキーは便利な一方、親アカウントの守りが弱いと被害が広がりやすい仕組みです。今週の30分は、その親アカウント側の点検に使ってください。
家族と共用している端末がある場合は、再設定用の電話番号やメールアドレスが自分のものになっているかを、この機会に一緒に確かめておくと安心です。
| 枠 | やること | 目安 |
|---|---|---|
| ① | Google：診断・2段階・パスワード確認 | 10分 |
| ② | Apple：2ファクタ・不審コードを拒否 | 10分 |
| ③ | 証券／銀行：公式入口・通知・パスキー設定の確認 | 10分 |
金融庁の不正アクセス件数は2026年9月分まで（10月9日付資料）です。この記事は一般的なセキュリティ衛生の案内であり、個別の被害対応を保証するものではありません。
