SBI証券が警告！パスキーを設定していても不正ログインの危険？
SBI証券がフィッシング詐欺への注意喚起を出しました。X上ではSBI証券そのものに問題があるかのような事実と異なる噂も流れ、SBI証券が「自社の話ではありません」と追記する事態になっています。
昨年もフィッシング被害があり、パスキーを設定した方は多いと思います。今回の話はその延長線上にあり、もう少し手前の部分にあたります。
セキュリティと聞くと難しく感じますが、基本を守っていれば過度に恐れる必要はありません。最近は多くの企業で不正アクセスのニュースが続いているため、これから私たちがどう対策し、どう対応していくべきかも、簡単に触れていきます。
SBI証券が注意喚起を発表（1:08）
今回の注意喚起は、GoogleやAppleなどのアカウント情報を盗み取るフィッシング詐欺が横行しているという内容です。日本証券業協会からの通知を受け、一部の会員から提供された情報をもとに出されたもので、SBI証券で何かが起きたわけではありません。
Xでは「SBI証券が危ない」などと面白半分に書く人もいますが、軽い気持ちであっても、場合によっては威力業務妨害の罪に問われかねません。正しい情報を自分で確かめる姿勢が大切です。
これまでパスキーの設定は何度もお伝えしてきました。証券会社の不正アクセスが相次いだ際にも設定を勧めましたが、「パスキーは意味がない」と言う人もいました。正しい知識を持って恐れ、対策していくことが大切です。
仕組みは家にたとえると分かりやすくなります。大切な資産が入った家があり、その鍵がIDとパスワードです。この鍵が盗まれれば家に入られてしまうため、鍵を頑丈にしたのがパスキーです。ピッキングされにくいディンプルキーに、指紋認証や自分の端末からしか開けられない仕組みを組み合わせたようなものです。
ただし、そのパスキーが保存されている場所が問題です。パスキーはGoogleアカウントやAppleのキーチェーンなど、より大元の場所に保管されています。いわば鍵束を入れた金庫です。この金庫が簡単に開けられる状態だと、SBI証券に限らず、他のサービスもすべて取られてしまいます。
実際に、犯人はこの金庫を狙い始めています。証券会社のパスワードを長くしてパスキーも設定していても、WindowsやMac、Googleにログインするためのパスワードが短かったり、使い回しだったりすれば、根こそぎ盗まれかねません。Googleドライブの中身まで見られてしまう恐れもあります。さらに、Googleアカウントを乗っ取られると、パスキーを登録し直されてしまうことさえあり得ます。
つまり今回の注意喚起の核心は、鍵が強固になった今、その鍵束を預けているアカウントをきちんと守れているかを確認してほしいという点にあります。
パスキーは必須！まだ設定していない人は今すぐ確認（7:21）
パスキーは必須だと考えてください。設定できるサービスでは、原則として必ず設定しましょう。SBI証券でもログインにはパスキーが必須化されており、楽天証券でも設定が必須になっています。
パスキーは、パスワードを入力しなくて済むようにするための仕組みです。パスワードマネージャーというアプリにパスワードを覚えさせておき、それを呼び出すときに指紋などの認証を行います。少し緩くはなりますが、PINコードを使う場合もあります。ドメインが違う偽サイトでは作動しないため、フィッシング詐欺にもかかりません。
Google・Appleのアカウントも厳重に守る（8:47）
パスキーが登録されているのは、パスワードマネージャーやiCloudキーチェーンです。これらにはサイトごとのIDとパスワードがすべて保存されています。ですから、Windowsのログインパスワード、Googleアカウント、MacやiPhoneで使うApple IDのパスワードも、非常に強固にしておく必要があります。
パスワードを長くすると入力が大変になりますが、そこにもパスキーをかけておけば問題ありません。iPhoneなら顔認証や指紋認証で開き、再起動後にはパスコードを求められます。長いパスワードを入力する必要はなく、本人しか開けられない状態になります。パスワードと、顔や指紋などの生体情報という2つの要素が必要になるため、二要素認証と呼ばれます。
ところが、ここまでできていない人は意外と多いのが実情です。最近、フィッシング詐欺集団の一人が観光中の大阪で逮捕されましたが、日本のセキュリティ意識は世界でもトップレベルに低く、取り放題だと見られているという話がありました。捕まっておきながらそう言われるのは悔しいですが、実際に、よく分からないまま放置している人は少なくありません。
仕組みを細かく理解できなくても、パスキーが必要だと知り、画面の案内に沿って設定すれば済みます。分からないなりに、何をすべきかだけでも理解しておきましょう。そのうえで、パスワードの使い回しは絶対にしないことが基本です。
SBI証券は、お客様にお願いしたいこととして、GoogleやAppleなどのアカウントのセキュリティ確認を挙げています。これらのアカウントには必ず強力な二段階認証を設定してほしいという内容です。
Googleを使っている人はGoogleのパスワードマネージャー、Apple製品が中心の人はキーチェーンを使っていると思います。どちらでも構いません。仕事ではGoogleを使うことが多く、Googleアカウントとそのパスワードマネージャーにログイン情報を保存しています。Googleは何も信用しないゼロトラストの考え方で、重要な操作のたびに本人確認を求めてきます。その際、パスキーで指紋認証をしてログインする形にしておくわけです。
パスキーを登録しているパスワードマネージャーや、それを管理しているアカウントには、十分な対策をしてください。他のサービスのパスワードを使い回さないことは必須で、そのうえでパスキーを設定しておきましょう。
不審な設定案内やリンクを信用しない（12:56）
対策の二つ目は、不審な設定案内を信用しないことです。自分で確認する習慣がある人は引っかかりませんが、個人情報を並べて「あなたはこういう方ですよね」と油断させ、パスキーの再登録を促してくる手口があります。
特にショートメッセージ（SMS）には注意が必要です。自分が操作した直後に届く確認用の数字であれば問題ありませんが、何も操作していないのに向こうから届く連絡は、基本的に無視して構いません。
こうして金庫の中の鍵束を守れば、鍵を使うにも多要素認証が必要になり、中身も安全に保てます。
SBI証券で確認しておきたいセキュリティ設定（13:58）
SBI証券の設定には、確認したい項目が三つあります。
一つ目は、パスキーを設定したらパスワードによるログインを無効にすることです。SBI証券にはユーザーネーム、ログインパスワード、取引パスワードがありますが、パスキーを使えば、ログインパスワードを覚えておく必要も、自分で入力する必要もありません。パスキーで日常的にログインできるなら、パスワードでのログインは不要です。
これを無効にしておくと、犯人がパスキーを保管場所から取り出そうとしても、本人の指紋が合わないため登録を変えられません。そこで犯人はIDとパスワードを盗んで直接入力して入ろうとしますが、パスワードログインを無効化しておけば、パスキー経由でない限り絶対に入れなくなります。
二つ目は、使わないアプリのログインを制限することです。SBI証券は多くのアプリやツールを出しており、手当たり次第に設定した人もいるかもしれません。現在は「SBI証券プラス」という中核のアプリがあり、その下に国内株式、積立、米国株などのアプリがあります。使わないものはログインを制限してください。
たとえば、資産配分を決めて投資信託で運用している人なら、国内株式、米国株式、FX、先物、CFD、トレードのアプリはいりません。チェックが入るのはSBI証券プラスと、積立アプリの二つだけで済みます。投資方法も管理もシンプルにするのが基本です。使うものだけログインを可能にし、使わないものはアプリも削除しておくとよいでしょう。
三つ目は、さらに強力な「ログインの一時利用停止」です。ログインそのものをできなくする設定で、長期出張で家に入らない間は鍵を全部閉めておくようなものです。解除するには、個人情報をSBI証券に提示して手続きする必要があり、少し手間がかかります。それでも、誰もログインできないので究極の安全策です。
積立が自動で進む運用なら、日々ログインする必要はありません。リバランスをする年に一回ほどだけ停止を解除し、終わったらまた停止すれば、ログインできない間は取引もされません。非常に堅い方法です。同様の設定は楽天証券でも可能で、詳しく案内されているので、利用している人は確認してください。
今やるべきこととは？（18:59）
まず、パスワードを使い回していないか確認しましょう。使い回していなくても、誕生日や個人情報から推測できるものになっていないかも、今一度見直してください。少しでも不安があれば、パスワードマネージャーを開き、簡単なパスワードのサイトを一つずつ長いものに変更します。Googleなどであれば、長いパスワードを自動で生成してくれます。
変更後にパスキーを設定すれば、パスワードを覚える必要はありません。パスワードを確認したくなったら、マネージャーでドメインを検索し、目のマークを押して認証をすれば表示されます。表示される時間は限られていて、一定時間が過ぎると元の非表示に戻ります。
サイトごとのパスワード設定はすでに行っている人も多いはずですが、大元であるWindows、Apple、Googleなどのアカウントが手薄なケースは少なくありません。今回のSBI証券の注意喚起は、まさにここを指しています。IDはメールアドレスなどで決まっているので、パスワードを長いものに変更し、パスキーを覚えさせて、使い回しているものがあれば今すぐ長いものに変えてください。ここまでやれば、基本的には大丈夫です。
その先に、「不正アクセスの可能性があります」といった差出人不明の連絡が届いても、不安になって反応するのは禁物です。物理的な郵便では、見知らぬDMが届いても多くの人は開封せずに捨てますし、保険がただで入れると言われても無視すればいいと分かっています。それなのに、メールやスマートフォンだとなぜか反応してしまいます。
これからの時代は、個人情報はある程度漏れている前提で考える必要があります。住所や本人確認書類を企業に預けずに生活することはできませんし、企業側で不正アクセスが起きれば、利用者が防ぐ手立てはありません。AIがハッキングに使われているという話もあり、完全に防ぐのは難しくなっています。
ただ、住所が知られていても、実害はDMが届く程度です。電話番号が知られていても、せいぜい電話がかかってくる程度で、iPhoneなら知らない番号からの着信を取らない設定もできます。広告でも、検索した商品が追いかけてくるのは気持ち悪いものの、金銭的な実害はありません。そうしたものだと割り切っておけば、慌てずに済みます。
個人情報を知っているからといって、その連絡が正しい事業者からとは限りません。すでにある程度公開されている情報だと考え、連絡が来ても鵜呑みにせず、公式サイトを自分で調べて確認しましょう。警察を名乗る電話など、警察から突然かかってくることはほとんどありません。「折り返します」と伝え、本当かどうかを確かめるくらいの慎重さがあって構いません。
大元のパスワードを長くして使い回さず、パスワードマネージャーに登録してパスキーを設定する。これだけで、多くの人より強固な状態になります。ただ、これで絶対に大丈夫というわけではなく、漏れた情報をもとにフィッシングのメールやSMSが届く可能性はあります。そうした連絡は無視すれば基本的に問題ありません。証券会社の設定も、SBI証券や楽天証券が用意している機能で必ず行ってください。
まとめ（26:18）
家を守るために、家の鍵にあたるパスキーを設定すること。金庫にあたるOSやプラットフォームのIDとパスワードを強固にして、パスキーを設定すること。そして、パスワードの使い回しをしないこと。この三つをやっておけば、多くの人よりかなり強固な状態になり、十分です。あとは安易に他人を信用せず、パスワードを入力する場面では慎重になってください。
個人情報はある程度漏れている前提で対策を取る。それでも、住所や電話番号が知られても実害は多くありません。投資を複雑にするほど面倒な事態に巻き込まれやすく、口座が多いほどリスクも増えます。証券会社は複数持っている人もいますが、基本的には一つで十分です。そこを守れば、大切な財産も時間も守られていきます。
おすすめはSBI証券ですが、他の証券会社でも問題なく運用できます。ただ、今回も不正アクセスの報告が上がった証券会社があったため、セキュリティに強い証券会社を選ぶようにしてください。
またこちらの動画「【口座のっとり対策に必須】SBI証券「パスキー」開始【10月25日から】」では、証券口座の乗っ取りやフィッシング詐欺への対策に役立つ、パスキー認証の基本とSBI証券での設定方法・注意点を解説していますのでぜひご覧ください。
動画目次