「パスキーを設定したから、もう安心だ」。そう思っていませんか？
2026年10月、証券会社で、ついに本人が出していない注文が成立してしまう事件が起きました。実際にSBI証券と楽天証券の口座で確かめてみると、パスキーを作っただけでは、パスワードでログインできる「裏口」が開いたままになるケースがありました。
この記事では、次の3つを、各社の発表や報道をもとに解説します。
- 2026年10月に証券会社で何が起きたのか
- 乗っ取られたら、お金は戻ってくるのか
- SBI証券・楽天証券で、今すぐやるべき5つの設定
動画で見たい方は、こちらをどうぞ（約11分）。
2026年10月、証券会社で何が起きたのか
岩井コスモ証券：本人が出していない注文が成立
10月14日、岩井コスモ証券では、取引システムを任されていた外部の会社が不正アクセスを受けました。7つの口座に本人が出していない売買注文が入り、そのうち5口座で実際に売買が成立しています。会社は同じ日のうちに取引前の状態に戻す措置をとりましたが、約5,000人分の名前やメールアドレスも漏えいしました。
老後のために長く持っておくつもりだった株が、ある日突然、自分の知らないところで売られてしまう。そんなことが、現実に起きたわけです。
大和証券：約11万人分の個人情報が漏えいしたおそれ
10月5日には、大和証券が、業務委託先のサーバーが不正アクセスを受け、名前・メールアドレス・証券口座番号などを含む約11万件の個人情報が漏えいしたおそれがあると発表しました。
SBI証券：Google・Appleアカウントを狙うフィッシングに注意喚起
10月2日には、SBI証券が、GoogleやAppleのアカウント情報を盗むフィッシング詐欺に注意するよう呼びかけました。GoogleやAppleのアカウントを乗っ取り、そこに保存されたパスキーで証券口座に入る、という手口です（SBI証券の口座では被害は確認されていません）。
これまでの乗っ取りは、偽のログイン画面でIDとパスワードを盗む手口が中心でした。ところが今は、証券会社が使うシステムや、パスキーをしまっておく「保管庫」そのものが狙われ始めています。ここが、これまでとの大きな違いです。
乗っ取られたら、お金は戻ってくる？
2025年は証券口座の乗っ取りが相次ぎ、日本証券業協会と大手証券会社10社は、被害にあった人に一定の補償をする方針を打ち出しました。
ただし、補償の中身は証券会社や状況によって違い、全額が戻ってくるとは限りません。
さらに、漏えいした名前やメールアドレスは、これから偽メールに使われるおそれがあります。あなたの名前入りの本物そっくりのメールが届き、慌ててリンクを押すと偽サイトが開き、IDとパスワードを入れるとそのまま犯人の手に渡ってしまう、という流れです。
だからこそ、証券会社まかせにせず、自分の口座は自分で守る備えをしておくことが大切です。
パスキーとは？それでも残る3つの抜け道
これまでのログインは、IDとパスワードでした。パスワードは、いわば頭の中にある暗証番号なので、偽サイトに入力させられたら盗まれてしまいます。
一方、パスキーは、スマホやパソコンの中にしまってある「鍵」です。ログインは顔認証や指紋で本人だと確かめるだけで、パスワードを入力しません。しかもこの鍵は本物のサイトでしか反応しないので、偽サイトに誘導されても使われません。パスキーは必ず設定しましょう。
ただし、パスキーを作っても狙われる抜け道が、大きく3つあります。
- パスワードでのログインが残っている（玄関に新しい鍵を付けても、裏口の古い鍵が開いている状態）
- パスキーを保存しているGoogle・Appleのアカウントが乗っ取られる
- サポートを名乗る電話やSMSで「パスキーを登録し直して」と言われ、そのまま操作してしまう
つまり、パスキーを作るだけでなく、その周りの守りまで固めることが大切なんです。
今すぐやるべき5つの設定
設定1：パスキーを作る
SBI証券の場合
- ログイン後、ホーム画面の「セキュリティ設定」を押す（「パスキー認証」「ログインパスワード無効設定」が「未設定」なら要注意）
- 「パスキー認証」→「パスキー認証の設定」へ進む
- 「パスキーの新規追加」で取引パスワードを入れ、「認証コードを送信」を押す
- 登録メールに届いた認証コードを入れて「認証」を押し、顔認証・指紋・PINで確認する
- 「パスキーの設定が完了しました」と出たら完了
楽天証券の場合
ログインした直後に「パスキーを作成する」という案内が出ることが多いので、そこから進めるのが一番かんたんです。案内が出ない場合は、右上の「マイメニュー」→「セキュリティ設定」を開き（本人確認があります）、「登録済みのパスキー」の横の「パスキー追加」を押して、顔認証や指紋で確認します。
設定2：パスワードでのログインを止める（いちばん大事）
実は、パスキーを作ったあとの動きは、証券会社によって違います。
- 楽天証券：パスキーを作ると、パスワードでのログインが不要になります。パスワードでログインしようとすると「パスキー作成済です」と表示され、パスキーでのログインに切り替わりました。
- SBI証券：パスキーを作っても、これまでのIDとパスワードでのログインがそのまま使えます。つまり、裏口が開いたままです。
SBI証券の場合は、「セキュリティ設定」の中の「ログインパスワード無効設定」を開き、「変更、パスキー認証」のボタンを押して、パスワードでのログインを止めましょう。パスキーを作る前にこの画面を開くと「ご利用いただけません」と出るので、必ずパスキーを作ってから設定してください。
注意：パスワードでのログインを止めると、家計簿アプリなど、IDとパスワードでつないでいるサービスが使えなくなる場合があります。お使いの方は、事前に確認してから設定してください。
設定3：GoogleとAppleのアカウントを守る
スマホで作ったパスキーは、多くの場合、GoogleやAppleのアカウントに保存されています。この土台が乗っ取られると、せっかくのパスキーも使われてしまいます。やっておきたいことは2つです。
- GoogleとAppleのアカウントに2段階認証を設定する（できれば認証アプリを使う方法）
- アカウントに登録している予備のメールアドレスや電話番号が、今も自分のものか確認する
設定4：ログインや取引の通知をオンにする
通知がオンなら、身に覚えのないログインがあったときにすぐ気づけます。オフのままだと、次に自分でログインするまで何も気づけません。楽天証券なら「ログイン通知」が「利用する」になっているか確認しておきましょう。
設定5：リンクは押さない・電話で操作しない
5つ目は、設定というより毎日の習慣です。
- 証券会社からのメールやSMSのリンクは押さない。ログインは必ずブックマークか公式アプリから
- サポートを名乗る電話がかかってきても、その場で操作しない。一度切って、公式サイトに載っている番号に自分でかけ直す
- 身に覚えのない取引を見つけたら、すぐに証券会社に電話する
まとめ
今日いちばん知っておいてほしいことは、次の3つです。
- パスキーを作っても、パスワードでのログイン（裏口）が残る場合がある
- パスキーの保管庫である、GoogleやAppleのアカウントも狙われている
- 乗っ取られても、全額が戻ってくるとは限らない
とはいえ、過度に怖がる必要はありません。今日の5つの設定をしておけば、乗っ取られるリスクはかなり下げられます。この記事が、ご自身の口座の守りを見直すきっかけになれば嬉しいです。
参考にした情報
- INTERNET Watch：岩井コスモ証券の不正アクセス・不正注文（2026年10月21日）
- 熊本日日新聞（共同通信）：大和証の情報漏えい（2026年10月5日）
- @IT：SBI証券が警告したGoogle・Appleアカウント経由の口座乗っ取り
コメントを残す