パスキーなのに勝手に売買？2026年秋の事件の本当の原因と、今すぐやる守りの設定｜SBI証券・楽天証券・Google・Apple

「パスキーを設定したから、もう安心」。そう思っていませんか？ ところが2026年の秋、パスキーなどで守られていたはずの証券口座で、本人が出していない売買注文が出されたというニュースが続きました。

「パスキーって意味がないの？」「破られたの？」と不安になりますよね。結論から言うと、パスキーの暗号が破られた事例はありません。狙われたのは、パスキーの「外側」でした。

この記事では、10の疑問に答えながら、SBI証券と楽天証券で今すぐできる守りの設定を解説します。設定の画面や名前は変わることがあるので、操作するときは公式ページも確かめてください。

この記事のポイント
・パスキーの暗号が破られた事例はない。狙われたのは証券会社側のシステム、Google・Appleのアカウント、ネット上のパソコンなど「外側」
・Google・Appleのアカウントは、2段階認証と機器の確認で守る
・SBI証券はパスワードの無効設定、楽天証券は注文通知。入り口を閉じて、通知と履歴を毎月確かめる

動画で見たい方は、こちらをどうぞ。

2026年秋に何が起きたのか

疑問1：証券口座のまわりで何が起きていた？

Google・Appleのアカウントを狙う手口：10月2日、SBI証券が「GoogleやAppleなどのアカウント情報を盗むフィッシング詐欺」に注意を呼びかけました。アカウントが盗まれ、そこに保存されたパスキーやパスワードのメモが悪用されて証券口座に入られる、という疑いです。証券会社の偽サイトに何も入力していなくても被害にあうおそれがある点が怖いところです（SBI証券は「当社の口座での被害は確認されていない」と追記。SMBC日興証券も同様の注意を出しています）。

疑問2：岩井コスモ証券の件は、口座の乗っ取りだった？

10月14日、岩井コスモ証券のネット取引システムを任されていた委託先のシステムに不正アクセスがありました。7つの口座で本人が出していない注文が出され、5つの口座で成立。漏えいした個人情報は4,975人分です。

岩井コスモ証券の説明は、「お客さんの口座の乗っ取りではなく、売買管理システムに第三者が直接侵入した」というものです。お客さんのログインにはパスキーなどが設定されていて、悪用されたのは管理機能の設定の不備でした。取引は前の状態に戻され、お客さんの負担は生じていない、としています。

FXの人に身近なGMOの件：10月20日、FXの自動売買などに使われる「お名前.com デスクトップクラウド」で、利用者のサーバーに不正なプログラムが置かれていたことが分かりました。MT4などに保存されたログイン情報が盗まれた可能性があり、影響の可能性があるサーバーは26,739件です。

つまり、パスキーで守っていても、ログインした状態や、保存したログイン情報を乗っ取られると、パスキーの外側で操作されてしまうおそれがあるんです。

パスキーは破られたのか？

疑問3：パスキーは破られてしまった？

ネットでは「パスキー安全神話崩壊」のような見出しも見かけますが、一次情報の裏付けはありません。パスキーは、偽サイトにパスワードを入力させる昔ながらのフィッシング詐欺には、とても強い仕組みです。

たとえるなら、パスキーは丈夫な鍵です。でも、鍵をしまう金庫（Google・Appleのアカウント）を開けられたら、鍵が丈夫でも使われてしまいます。岩井コスモの件は、そもそも鍵の話ではなく、売買の仕組みに裏側から入られたもの。GMOの件は、ログインしたままの部屋を乗っ取られた、というイメージです。

結論：パスキーはやめないでください。パスキーを使いながら、その外側を固めることが大切です。

疑問4：証券口座の不正取引は減ってきている？

ずいぶん減りましたが、合計の不正取引の金額は、売却が約4,372億円、買付が約3,837億円にのぼります。この数字は9月までで、10月の件はまだ入っていません。

日本証券業協会は2025年10月15日からガイドラインを改正し、ログイン・出金・出金先口座の変更で、パスキーのようなフィッシングに強い多要素認証を必須にしました。SBI証券は2026年6月30日からパスキーを原則必須に、楽天証券も2026年6月から段階的に必須にしています。ただし、SBI証券ではIDとパスワードでのログインも引き続きできるので、この入り口を閉じる設定が大事です。

今すぐやる守りの設定

疑問5：SBI証券では何を設定すればいい？

1. パスキー認証：「パスキー認証のサービス設定」から登録
2. ログインパスワード無効設定（いちばん大事）：WEBサイトやSBI証券Plusで、IDとパスワードによるログインを止める。先にパスキーの設定が必要
3. ログイン通知メール・ログイン履歴：身に覚えのないログインにすぐ気づける（家計簿アプリの自動ログインも出るので落ち着いて確認）
4. 取引制限設定：使っていない商品の取引を止めておく
5. ログインの一時利用停止：「おかしいな」と思ったら、まず止める

パスキーの作り方とパスワード無効設定の手順は、こちらの記事で画面つきで解説しています。

▶ 証券口座の乗っ取り対策｜パスキーだけでは危ない！今すぐやるべき5つの設定

疑問6：楽天証券では何を設定すればいい？

1. パスキー認証を作る：1つの口座に最大10個まで登録できる
2. 注文通知を自分でオンにする（いちばん大事）：自分で設定しないと届かない
3. 取引やサービスの一時的な利用停止を知っておく
4. 出金先口座の変更停止を、カスタマーサービスセンターに頼んでおく

注文通知は、パソコンなら「セキュリティ設定」の「注文通知」の欄で「変更」を押し、商品ごとに「通知する」を選んで「変更する」を押せば完了です。自分が出していない注文が出されたら、すぐに気づけます。

疑問7：GoogleやAppleでは何をすればいい？

パスキーは、GoogleやAppleのアカウントに保存して同期できます。つまり、このアカウントはパスキーの金庫です。

• Google：「2段階認証プロセス」を有効にする。復旧用のメール・電話番号が自分のものか確認。アクセスした機器の一覧に知らない機器がないか確認
• Apple：2ファクタ認証は必須。知らないときに確認コードが届いても絶対に承認しない。サインインしている機器の一覧をときどき確認し、知らない機器は削除
• 「パスキーを登録し直して」といったSMSや、サポートを名乗る電話には従わない

Appleの「復旧キー」は、設定するとAppleの標準の復旧手続きがオフになり、キーをなくすと永久に入れなくなるおそれがあります。慌てて設定しないでください。

疑問8：パソコンやスマホでは何に気をつける？

• ブラウザにIDやパスワードを保存しない。使い終わったらログアウトする
• メールやSMSのリンクからログインしない。公式アプリか、ブックマークした公式サイトから入る（証券会社はメールやSMSにログインのリンクを載せないよう、金融庁の監督指針で求められています）
• 証券会社を名乗るメールでも、リンクは押さない

もしものときと、毎月のセルフチェック

疑問9：被害にあったら？補償はある？

補償は、2025年5月にSBI証券や楽天証券をふくむ大手10社が一定の補償をする方針を出しました。ただし、一件ずつ判断され、全額とは限りません。いちばんの補償は、被害にあわないことです。

疑問10：毎月、何を確かめればいい？

1. 証券会社のログイン履歴に、知らない日時がないか
2. ログイン通知・注文通知のメールが届いているか（迷惑メールに入っていないか）
3. 取引と出金の履歴に、身に覚えのないものがないか
4. GoogleやAppleのアカウントに、知らない機器が入っていないか
5. 復旧用のメールアドレスや電話番号が、今も自分のものか
6. パスワードの無効設定や通知の設定が、オンのままか

給料日や年金の日など、毎月同じ日に見返すと続けやすいですよ。

まとめ

1. パスキーの暗号が破られた事例はない。狙われたのは外側
2. パスキーの保管庫であるGoogle・Appleのアカウントも、2段階認証と機器の確認で守る
3. SBI証券ならパスワードの無効設定、楽天証券なら注文通知。通知と履歴を毎月確かめる

パスキーは、正しく使えば、とても心強い味方です。今日の設定を、ぜひやってみてください。

参考にした情報

• INTERNET Watch：岩井コスモ証券の不正アクセス・不正注文
• @IT：SBI証券が警告したGoogle・Appleアカウント経由の口座乗っ取り
• GMOインターネットグループ 第2報
• 日本証券業協会 ガイドライン改正について（PDF）
• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
• SBI証券 FAQ「不正なログイン履歴や身に覚えのない取引を発見したら」
• Google ヘルプ「2 段階認証プロセスを有効にする」