スマートフォンにひも付いたAppleやGoogleのアカウントが乗っ取られ、そこに保存されていた証券口座のパスキーやパスワードで不正な取引が行われた疑いのある事案が国内で起きたと、2026年9月24日に日本経済新聞が報じました。日本証券業協会は加盟する証券会社に対し、顧客への注意喚起を求めたとされています。
ここ1年、証券会社はログインをパスキーに切り替える作業を進めてきました。パスキーは偽サイトに入力させることができない仕組みなので、フィッシング対策としては現在いちばん強い部類に入ります。それでも今回のように、パスキーを預けている場所のほうを狙われると回り込まれてしまいます。日本証券業協会の注意喚起ページにも「クラウド上にパスキーをバックアップする場合、Apple アカウントやGoogleアカウントについても多要素認証を設定する等、厳重に管理してください」という注記が入っています。
この記事では、金融庁が公表している最新の被害データで今どのくらい起きているのかを確かめたうえで、証券口座側とApple・Googleアカウント側のどこを見直せばいいのかを整理します。
あわせて読みたい：今のうちにやるデジタル終活｜故人アカウント管理連絡先とアカウント無効化管理ツールの設定手順、家族に残す1枚
8月の被害は前月から増えた。ただしピーク時とは桁が違う
金融庁は「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」というページで、月ごとの発生状況を更新しています。最新は2026年9月9日更新分で、2026年8月までの数字が載っています。直近2か月を並べると次のようになります。
- 2026年7月…不正アクセス18件、不正取引5件、売却金額 約0.2億円、発生した証券会社等 1社
- 2026年8月…不正アクセス39件、不正取引25件、売却金額 約2億円、発生した証券会社等 4社
件数も金額も前月から増えています。売却金額が前月を上回ったのは3月（約159億円）以来で、5か月ぶりです。日本経済新聞も「8月は再び増加 5カ月ぶり前月上回る」と報じています。
1年半の推移で見ると、山はとっくに過ぎている
ただ、「増えた」という一言だけで受け取ると実態を読み違えます。同じ資料をさかのぼると、ピークは2025年4月で、不正アクセスは1か月で5,490件、売却金額は約1,625億円ありました。2026年8月の39件・約2億円は、そこから2桁から3桁小さい水準です。2025年1月から2026年8月までの累計では、不正アクセス19,207件、不正取引10,639件、売却金額 約4,368億円にのぼります。
つまり今は「まだ毎月たくさん起きている」状態ではなく、いったん抑え込んだところに、少し戻ってきたという形です。なお、この数字は金融庁が各証券会社等から報告を受けた発生日ベースの暫定値で、まだ判明していない分がある可能性があると但し書きが付いています。
証券会社のパスキー必須化は、すでにかなり進んでいる
被害が減った背景にあるのが、認証方式の切り替えです。日本証券業協会は2025年10月15日にガイドラインを改正し、ログイン時・出金時・出金先銀行口座の変更時といった重要な操作について、フィッシングに耐性のある多要素認証（パスキーによる認証など）を実装し、必須化（デフォルトとして設定）することを会員証券会社に求めました。
このガイドラインには期限の定めがありません。パブリックコメントへの回答でも「本ガイドラインの性質上、施行日の概念はありません」としたうえで、各社の状況を踏まえて速やかに対応することになる、と説明されています。そのため必須化のタイミングは会社ごとにばらばらです。公式に日付を出している例を挙げると、次のようになります。
- SBI証券…2026年6月30日より原則必須化。よくあるご質問には「引き続きユーザーネーム/パスワードでログインは可能ですが、設定いただけるまでの間、継続的に設定を促すご案内を表示、配信させていただく」とある
- SMBC日興証券…2026年1月30日に導入し、4月下旬から順次必須化。必須化後に従来の二要素認証でログインすると、取引や出金など一部の機能が使えなくなる。必須化の実施日は顧客ごとに異なり、個別にメールやメッセージボックスで案内
大手だけの話でもありません。ITmediaのキーマンズネットが9月26日に報じたところでは、光世証券が2026年9月、オンライン取引サイトにFIDOに準拠したパスキー認証基盤を導入しました。スマートフォンやPCの顔認証・指紋認証・端末PINでログインできるようにするもので、2026年3月に検証と構築を始め、認証部分は約3か月で作り上げて6月に導入を終えたとされています。
スマートフォンを持っていない人が置き去りになるわけでもありません。ガイドラインには、必要な機器を持っていないなどの理由でやむを得ず設定を解除する場合は代替的な多要素認証を提供すること、そして解除率が低くなるよう方法の見直しを検討することが書かれています。対応方法は証券会社によって違うので、案内が届いたら中身を読むのが確実です。
破られたのはパスキーではなく、パスキーの置き場所
ここで今回の事案に戻ります。報じられている手口は、証券会社のログイン画面を突破したというものではありません。スマートフォンにひも付いたAppleやGoogleのアカウントを乗っ取り、そこに保存されていた証券口座のパスキーやパスワードを使って取引したとみられる、という内容です。
パスキーは公開鍵暗号方式を使った認証で、秘密の側の鍵が利用者の手元に残ります。偽サイトに打ち込んでしまうということが起きないので、金融庁も日本証券業協会も、フィッシングに耐性のある方式として切り替えを呼びかけています。
一方で、パスキーはクラウドに同期して複数の端末で使えるようにするのが一般的です。iPhoneならiCloudのキーチェーン、AndroidやChromeならGoogleパスワードマネージャーに入ります。機種変更してもログインし直せるのはこの仕組みのおかげですが、裏を返すと、そのAppleアカウントやGoogleアカウントにログインできる人は、同期されたパスキーを別の端末に呼び出せるということでもあります。証券会社の入口を固くしても、鍵を預けた金庫の扉が開いてしまえば同じことになります。
この記事の趣旨は「パスキーをやめよう」ではありません。金融庁も日本証券業協会も切り替えを求めていますし、抑え込みに効いたのも事実です。必要なのは、パスキーを預けている側のアカウントを、証券口座と同じくらい真面目に守ることです。なお、パスキーの保存先が変わると起きることについてはパスキーは保存先しだいで、PCを買い替えると使えなくなるでも触れています。
今日見直す3か所
① Apple・Googleアカウントの多要素認証
Appleは、ほとんどのアカウントで2ファクタ認証が既定になっていると案内しています。それでも自分の状態は一度見ておくほうが安全です。iPhoneやiPadなら「設定」、Macなら「システム設定」を開き、自分の名前 →「サインインとセキュリティ」→ 2ファクタ認証の順に進みます。ウェブからならaccount.apple.comにサインインし、「アカウントセキュリティをアップグレード」から有効にできます。アカウント作成時から2ファクタ認証を使っている場合は解除できません。新しく有効にした場合だけ、登録から2週間以内なら戻せる仕様です。
Googleは、Googleアカウント →「セキュリティとログイン」→「Googleにログインする方法」→「2段階認証プロセスを有効にする」です。2つ目の手順は、確認コードを打ち込む方式よりも「Googleからのメッセージ」をおすすめするとGoogleが書いています。タップで済むうえ、SIMスワップのような電話番号を使った手口を防げるからです。ハードウェアセキュリティキーを使えばさらに強くできます。
② 証券口座の「通知」と「出金先変更」の設定
ガイドラインは証券会社に対して、身に覚えのないログイン・取引・出金・出金先口座の変更について、登録済みのメールやSMSに通知を送る機能を提供することを求めています。ただし、通知を送る・送らないを利用者側で選べる作りにしてよいとも書かれています。つまり、自分でオフにしたまま気づいていない可能性があります。ログイン通知と出金・出金先変更の通知は、オンになっているか確かめておきたいところです。
金融庁も、多要素認証や通知サービスを有効にしたうえで、こまめに口座の状況を確認するよう呼びかけています。不正取引は、口座の中の株式を勝手に売り、その代金で国内外の小型株などを買い付ける形が多いとされています。残高の合計額が大きく動いていなくても、持っている銘柄が入れ替わっていないかを見るのが早い確認方法です。
③ ログインの入口をブックマークに固定する
金融庁は、証券会社のサイトへはあらかじめ正しいURLをブックマークしておき、そこからアクセスすること、見覚えのある送信者からのメールやSMSでも、メッセージに載っているリンクは開かないことを挙げています。日本証券業協会も同じ内容を求めています。
これが効くのは、現在広がっているのが「リアルタイムフィッシング」と呼ばれる手口だからです。日本証券業協会の説明では、偽サイトにIDとパスワードを入力させたあと、さらに偽のワンタイムパスワード入力画面へ誘導し、入力された値をその場で本物のサイトに打ち込んで乗っ取ります。ワンタイムパスワードがあっても止まらないので、そもそも偽サイトにたどり着かないことのほうが重要になります。
日本証券業協会はもう2つ、細かいけれど実務的な注意を出しています。ひとつは、パスキーを登録するときを狙ったフィッシングが懸念されるので、登録は公式サイトか公式アプリから行うこと。もうひとつは、ブラウザで普段行わないキーボード操作、とくにCtrl + Vのようなショートカットの実行を求められても応じないことです。
身に覚えのない取引に気づいたら
金融庁は、不審なサイトに情報を入力したおそれがある場合や不審な取引の心配がある場合は、証券会社の問い合わせ窓口に連絡し、あわせて速やかにパスワード等を変更するよう案内しています。日本証券業協会は、警察への相談も呼びかけています。
どこに相談していいか分からないときの一般窓口として、金融庁の金融サービス利用者相談室があります。電話は0570-016811（IP電話からは03-5251-6811）、受付は平日10時00分〜17時00分です。
補償についても、業界としての申し合わせがあります。日本証券業協会は、今回の一連の不正アクセスによる被害について大手証券やネット証券の10社と協議し、各社の約款等の定めに関わらず一定の被害補償を行う方針とすることを申し合わせたと公表しています。補償の条件や範囲は各社の案内によります。
よくある質問
Q. パスキーを設定すれば、もう乗っ取られませんか。 A. 偽サイトにパスワードを打ち込んでしまう形の被害には強くなります。ただし今回のように、パスキーを保管しているAppleアカウントやGoogleアカウントが乗っ取られると回り込まれる可能性があります。証券口座側とアカウント側の両方を固める必要があります。
Q. パスキーはクラウドに同期しないほうがいいですか。 A. 同期をやめると、端末を失くしたときに自分もログインできなくなります。日本証券業協会が求めているのは同期の停止ではなく、クラウドにバックアップするならAppleアカウント・Googleアカウント側にも多要素認証を設定して厳重に管理する、という対応です。
Q. 自分の使っている証券会社がパスキーに対応しているか、どこで分かりますか。 A. 各社の公式サイトのお知らせか、ログイン後のセキュリティ設定画面です。必須化の時期は会社ごとに違い、同じ会社でも顧客ごとに実施日が分かれることがあります。メールやSMSのリンクからではなく、ブックマークした公式サイトから確認してください。
Q. スマートフォンを持っていません。取引できなくなりますか。 A. ガイドラインでは、必要な機器を持っていないなどの理由で多要素認証を設定できない顧客には代替的な多要素認証を提供することとされています。具体的な方法は証券会社ごとに異なるので、届いた案内か窓口で確認してください。
スマホを買い替えるときに、2段階認証やパスキーでログインできなくなるのを防ぐ確認は、Daily Picks編集部のKindle本『スマホ機種変更「引っ越し」の手順 ―変える前に読む本』にもまとめています。
関連して読みたい記事
今回狙われたのは証券口座そのものではなく、その鍵を預けているApple・Googleアカウントでした。同じ2つのアカウントは、自分に何かあったときに家族が困る場所でもあります。多要素認証を見直すついでに、連絡先や無効化の設定まで一度で決めておくと手間が少なく済みます。口座やアカウントの引き継ぎで実際に必要になる手続きも、順番が分かっていれば慌てずに進められます。
- 今のうちにやるデジタル終活｜故人アカウント管理連絡先とアカウント無効化管理ツールの設定手順、家族に残す1枚
- 家族が亡くなったときのスマホ・パソコン・ネット契約の整理｜iPhone・Android・パソコン別の手続きと解約の順番
出典
- インターネット取引サービスへの不正アクセス・不正取引にご注意ください（金融庁、令和7年4月3日・令和8年9月9日更新）
- インターネット取引サービスでの不正アクセス・不正取引の被害状況（PDF）（金融庁、2026年9月9日）
- 不正アクセス等にご注意ください！（日本証券業協会）
- 「インターネット取引における不正アクセス等防止に向けたガイドライン」の改正について（PDF）（日本証券業協会、2025年10月15日）
- 【パスキー認証】パスキー認証は必須になりますか？（SBI証券）
- 【重要】4月下旬より、日興イージートレードのログインにパスキー認証が必須となります（SMBC日興証券、2026年4月17日）
- 証券口座を狙う不正アクセス、光世証券が「パスキー」に切り替えた理由（キーマンズネット／ITmedia、2026年9月26日）
- Apple Accountの2ファクタ認証（Apple サポート、2026年8月13日）
- 2段階認証プロセスを有効にする（Google アカウント ヘルプ）
- 証券取引で不正疑い、AppleやGoogleアカウント乗っ取りでも発生（日本経済新聞、2026年9月24日）
- 証券口座乗っ取り、8月は再び増加 5カ月ぶり前月上回る（日本経済新聞）
⚡ いま読まれているトレンド
ドコモ「あんしんフィルター」の障害が続く｜設定が変えられない・アプリが使えないときの対処（Androidは窓口で暫定案内、iPhoneはプロファイル削除）
日本シリーズ2026はどこで見られる？｜第2戦〜第7戦のテレビ（TBS・NHK BS・日テレ・テレ朝）とネット配信（TVer・U-NEXT・Hulu・ABEMA）
DEAN & DELUCAのチャリティートートバッグ2026｜先行販売の抽選は10月29日17時まで、発売は11月1日。アプリでのエントリーと当日の時間
