パスキー設定の証券口座に侵入疑い、Apple・Googleアカウント経由で乗っ取りか

相次ぐネット証券の注意喚起と「パスキー」悪用の構図

　2026年10月に入り、SBI証券やSMBC日興証券、楽天証券などの主要なネット証券が、証券口座への不正アクセスに関する注意喚起を相次いで公表した。各社が指摘しているのは、利用者のApple AccountやGoogleアカウントといったクラウドアカウントが第三者に乗っ取られ、そこに保存されているパスキーやパスワードのメモが悪用されることで、証券口座への不正ログインや不正取引が行われた疑いのある事案である。

　事案の背景には、証券業界全体で進められてきたセキュリティ強化の動きがある。2025年春以降、フィッシング詐欺などを発端とした証券口座への不正アクセスと不正売買が急増し、金融庁の集計では2025年1月から2026年9月までの累計被害が約1万9300件に達した。攻撃者は盗み出したログイン情報を使って被害者の口座に侵入し、保有株を売却した資金で特定の小型株を大量に買い付ける相場操縦の手口を横行させていた。

　この事態を重く見た日本証券業協会と金融庁は、偽サイトに情報を入力しても認証情報を盗まれないフィッシング耐性を持つパスキーの導入と必須化を各証券会社に要請した。顔認証や指紋認証を利用するパスキーの普及により、偽サイト経由での被害は劇的に減少した。

　しかし、攻撃者は証券会社のシステムを直接狙うのではなく、利用者のスマートフォンなどの端末と連携するクラウドサービスへと標的を変えた。パスキーは利便性を高めるため、AppleやGoogleのパスワード管理機能を通じてクラウド上に保存され、複数の端末間で同期される仕組みになっている。この大元となるアカウントのログイン情報がフィッシングなどで窃取されてしまうと、そこに保管された証券口座のパスキーもまとめて第三者の手に渡ってしまう。

　SBI証券の発表では、自社のシステムから顧客の認証情報が漏えいした事実や、同社の口座での実被害は現時点で確認されていないとしている。一方でブルーモ証券などの他社では、クラウドアカウントの乗っ取りを通じた実際の不正ログイン事例が公表されている。次世代の強固な認証システムを導入してもなお防ぎきれない不正アクセスの実態は、利用者のセキュリティ管理そのものの脆弱性を突いた形となっている。果たして、この新たな脅威に対してどのような対策が有効なのだろうか。