SBI証券のパスキーと不正ログイン｜Google・Appleのアカウントまで守る手順

SBI証券は2026年10月2日、「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください」というお知らせを出しました。GoogleやAppleのアカウントが第三者に乗っ取られ、クラウドに保存されたパスキーやパスワードのメモが悪用されて、証券口座への不正ログインや不正取引が行われた疑いのある事案が確認された、という内容です。まずやることは3つです。GoogleアカウントとApple Accountの2段階の認証と、復旧に使うメールアドレス・電話番号が自分のものかを確かめること。「パスキーを再登録してください」というSMSや電話に応じないこと。SBI証券のログイン履歴を見て、ログイン通知メールを受け取れる状態にしておくことです。この記事では、発表に書かれていることと書かれていないことを分けたうえで、Google、Apple、SBI証券の画面で確かめる手順と、身に覚えのない取引を見つけたときの連絡先を、公式の案内に沿って整理します。

SBI証券が10月2日に発表したこと

最初に、発表の文面をそのまま確かめておきます。SBI証券の公式サイトに2026年10月2日付で掲載されたGoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意くださいには、次のように書かれています。

本事案は、当社システムから「ユーザーネーム」「ログインパスワード」「取引パスワード」が不正取得されたものではありませんが、証券口座のログイン情報を偽サイトに直接入力していなくても、パスキーやログイン情報を保存しているGoogleやApple等のお客さま利用アカウントが第三者に不正に使用されると、証券口座にも被害が及ぶおそれがありますのでフィッシング詐欺には十分にご注意ください。 出典: sbisec.co.jp

この発表から読み取れることを、文面に沿って並べます。

• 事案の中身は、フィッシングなどで GoogleやApple等のアカウント情報が第三者に取られ、クラウド上に保存されたパスキーやパスワードのメモが悪用されて、証券口座への不正ログイン・不正取引が行われた疑いがあるというもの
• SBI証券のシステムから、ユーザーネーム・ログインパスワード・取引パスワードが盗まれたものではない
• 証券口座のログイン情報を偽サイトに入力していなくても、パスキーやログイン情報を保存している GoogleやAppleのアカウントが不正に使われると、証券口座にも被害が及ぶおそれがある

もう1つ、見落とせない一文があります。お知らせの冒頭には、日本証券業協会からの会員向けの通知に基づき、一部の会員（証券会社）から報告された事案について注意喚起をしたもので、SBI証券の証券口座での被害は確認されていない、と書かれています。業界全体で報告された手口を受けて、SBI証券が自社の利用者に向けて備えを呼びかけた、という位置づけです。

逆に、この発表に書かれていないこともはっきりさせておきます。どの証券会社で何件の被害があったのか、GoogleとAppleのどちらのアカウントだったのか、パスキーがどういう経路で使われたのか、といった具体的な経緯は書かれていません。本記事では、発表にない経緯は扱いません。読み手がやるべきことは、経緯が分からなくても同じだからです。

発表の後半では、利用者へのお願いが2つ示されています。1つは、GoogleアカウントやApple Accountに強力な2段階認証（認証アプリなど）を設定し、アカウントの復旧に使うメールアドレスや電話番号が自分のものかを確かめること。もう1つは、「セキュリティ向上のため、パスキーを再登録してください」などの SMS を受け取っても、リンクを開いたり登録手続きをしたりしないこと、サポート担当者を名乗る電話で登録を求められても応じないことです。以下の節は、この2つのお願いを実際の画面の操作に落とし込んだものです。

パスキーそのものが破られたのか｜公表されている事実

「パスキーを設定していたのに、それでも危ないのか」と不安に思った人もいるはずです。ここは公表されている事実だけで整理します。

パスキーとは、パスワードの代わりに、スマートフォンやパソコンの顔認証・指紋認証・画面ロックの暗証番号を使ってログインする仕組みのことです。SBI証券のパスキー認証の案内ページは、最も重要な認証情報（秘密鍵）は端末から外に出ないのでフィッシング詐欺対策に有効だと説明し、偽サイトでは認証が使えない仕組みだとも書いています。

Apple のパスキーのセキュリティについても、パスキーは公開鍵暗号を使う標準に沿って作られていて、サーバには公開鍵だけが保管され、秘密鍵をサーバ側が知ることはないと説明しています。10月2日の発表を含め、SBI証券・Google・Apple のいずれも、パスキーの仕組みそのものが破られたとは公表していません。

では、なぜ注意が必要なのか。理由は、パスキーの「保存先」にあります。パスキーは1台の端末の中だけに保存することもできますが、Googleパスワードマネージャーや iCloudキーチェーンに保存すると、複数の端末で同じパスキーを使えるようになります。SBI証券のよくある質問も、同じ保存先を使える端末どうしならパスキーを共有できると案内しています。

※複数の端末間で同じパスキープロバイダ（Googleパスワードマネージャー、iCloudキーチェーンなど）がご利用できる場合、当該パスキーを共有することが可能です。 出典: faq.sbisec.co.jp

便利な仕組みですが、裏を返すと、その保存先のアカウントが自分以外の手に渡れば、パスキーを使える端末が増えてしまうおそれがあるということです。Google のパスキーのヘルプも、パスキーは自分が所有して使っている端末でだけ作るように求め、いったん作ると、その端末のロックを解除できる人なら誰でも Google アカウントにアクセスできると注意しています。

パスキーの錠前は固くても、錠前の鍵をしまっている金庫（GoogleアカウントやApple Account）と、金庫を開ける合鍵の作り直し手段（再設定用の電話番号やメールアドレス、復旧キー）が弱ければ、全体としては守り切れません。10月2日の発表が GoogleやAppleのアカウントの確認を呼びかけているのは、この構造のためです。守る範囲は、SBI証券の画面だけでなく、パスキーを保存しているアカウント、端末、アカウントを取り戻すための手段まで広がると考えてください。

まず10分で確かめること

上から順に進めてください。

1. GoogleアカウントとApple Accountで、2段階の認証がオンになっているかを見る
2. 再設定用の電話番号とメールアドレス、Apple の信頼できる電話番号が、今も自分のものかを見る
3. Google と Apple のアカウントにログインしている端末の一覧に、知らない端末がないかを見る
4. SBI証券にログインし、ログイン履歴に覚えのない日時やチャネルがないかを見る
5. ログイン通知メールが届く設定か、届くメールアドレスが今使っているものかを見る
6. メモアプリやクラウドの保存先に、証券口座のパスワードを書いたメモが残っていないかを見る

知らない端末やログインの記録を見つけたときは、設定の見直しより先に、「身に覚えのない取引やログインを見つけたとき」の節の手順に進んでください。

Googleアカウントを守る手順

Googleパスワードマネージャーにパスキーやパスワードを保存している人は、ここから始めます。メニューの名前は Google アカウント ヘルプの表記です。

2段階認証プロセスを有効にする

Google の2段階認証プロセスのヘルプによると、手順は次のとおりです。

1. Google アカウントを開く
2. 「セキュリティとログイン」をタップする
3. 「Google にログインする方法」で「2 段階認証プロセスを有効にする」を選ぶ
4. 画面の指示に沿って進める

2段階認証プロセスとは、パスワードに加えてもう1つの確認を求める仕組みのことです。同じヘルプは、テキストメッセージや音声通話で届く確認コードは、電話番号を利用するハッキングに弱いおそれがあると書き、パスキーやハードウェアのセキュリティキー、Google からのメッセージ（スマートフォンに届く通知をタップする方式）を勧めています。SBI証券の発表も、確認コードを受け取るだけの設定ではなく「強力な2段階認証（認証アプリなど）」の設定を求めています。

再設定用の電話番号とメールアドレスを確かめる

アカウントを取り戻すための情報は、Google の復元オプションを設定するで確かめられます。「セキュリティとログイン」の「Google にログインする方法」から、「再設定用の電話番号」と「再設定用のメールアドレス」を開き、今も自分が受け取れる番号とアドレスかを見ます。解約した携帯番号や、もう使っていないメールアドレスが残っていたら、編集して直してください。

同じヘルプには、再設定用の電話番号を追加・変更すると反映まで最長で7日ほどかかることがある、と書かれています。他人が勝手に番号を書き換えたときに本人を守るための仕様です。家族や親しい友人を「アカウント復元用の連絡先」に登録しておく方法も、同じページで案内されています。

不審な動きとログイン中の端末を見る

Google のハッキングまたは不正使用された Google アカウントを保護するは、次の2つの確認を挙げています。

• 「セキュリティとログイン」の「最近のセキュリティ イベント」で「セキュリティ イベントを確認」を選び、自分がしていない操作がないかを見る
• 「お使いのデバイス」から「デバイスを管理」を開き、通常と違う端末がないかを見る

自分がしていない操作には「いいえ、リクエストしていません」を、知らない端末には「デバイスに心当たりがない場合」を選び、画面の手順で保護します。同じヘルプは、Gmail で自分が設定していない転送ルールやフィルタがあれば削除するようにも書いています。転送の設定が残っていると、SBI証券からの通知メールや認証コードが相手にも届くからです。

登録されているパスキーを見直す

Google アカウントに登録されているパスキーは、「セキュリティとログイン」の「Google にログインする方法」にある「パスキーとセキュリティ キー」で確かめられます。手放した端末や、覚えのないパスキーがあれば、選んで削除アイコンから消します。Google のヘルプは、パスキーを設定した端末を紛失した場合や、共有の端末で誤って作った場合にも削除するよう案内しています。

Apple Accountを守る手順

iCloudキーチェーンにパスキーやパスワードを保存している人は、Apple Account を確かめます。

2ファクタ認証がオンかを確かめる

Apple のApple Accountの2ファクタ認証によると、2ファクタ認証とは、パスワードに加えて、信頼済みのデバイスに表示されるか信頼済みの電話番号に送られる6桁の確認コードを求める仕組みのことです。多くのアカウントでは最初から使われていますが、念のため確かめます。

1. iPhone または iPad で「設定」を開く（Mac では「システム設定」）
2. 自分の名前を選び、「サインインとセキュリティ」を選ぶ
3. 2ファクタ認証がオンになっているかを見る。オフなら、オンにして画面の案内に従う

同じ「サインインとセキュリティ」の画面で、信頼できる電話番号が今使っている番号かも確かめてください。Apple のパスキーの説明によると、iCloudキーチェーンを使う Apple Account では2ファクタ認証が必須で、新しい端末で初めてサインインするときには、パスワードと6桁の確認コードの両方が必要になります。この確認コードが届く先が古い番号のままだと、守りが働きません。

知らない端末と、電話番号の転送を確かめる

Apple のApple Accountの不正利用が疑われる場合は、乗っ取りの兆候として、覚えのない端末へのサインインの通知、頼んでいないのに届いた2ファクタ認証のコード、覚えのない信頼できるデバイスの追加などを挙げています。確認の手順は次のとおりです。

• account.apple.com で「デバイス」を選び、覚えのない端末があれば削除する
• 個人情報やセキュリティ情報に知らない内容があれば訂正する
• 携帯電話会社に問い合わせ、Apple Account に結び付いた電話番号に SMS の転送が設定されていないかを確かめる

3つ目は見落とされやすい点です。確認コードが SMS で届く場合、電話番号の側で転送が設定されていると、コードは本人以外にも届きます。同じページは、フィッシングなどの標的型の攻撃に備えて Apple Account のセキュリティキーを使うことや、iPhone の「盗難デバイスの保護」をオンにすることも勧めています。

復旧用連絡先と復旧キーを決めておく

アカウントを取り戻す手段も見直します。Apple のApple Accountの復旧キーを設定するによると、復旧キーとは28文字のコードで、信頼できる電話番号や Apple 製の端末と組み合わせてアカウントへのアクセスを取り戻すものです。iPhone では「設定」から自分の名前を選び、「サインインとセキュリティ」から「復旧キー」へ進んで作ります。

ただし、復旧キーを設定すると、Apple の通常のアカウント復旧の手続きは使えなくなり、紛失しても Apple は復旧キーを発行し直せません。同じページは、復旧キーを Apple のパスワードアプリ、iCloud写真、メモ、iCloud Drive に保管しないよう書いています。アカウントに入れなくなると、それらのアプリも開けなくなるからです。印刷するか書き留めて、安全な場所に分けて保管するよう案内されています。保管を続ける自信がない人は、信頼できる人を「復旧用連絡先」に登録する方法もあります。

SBI証券でパスキーを登録・確認・削除する手順

ここからは SBI証券側の操作です。手順は SBI証券のパスキー認証の案内ページとよくある質問の記載に沿っています。案内ページの冒頭には「6/30よりパスキー認証の設定を原則必須化いたしました」とあり、不正ログイン対策のために設定を強く勧めています。

登録する前に端末を整える

SBI証券は、事前に端末側でパスキーを使う環境を整えてから、SBI証券で登録するよう案内しています。端末ごとの確認点は次のとおりです。

• iPhone：「Face IDとパスコード」でロック画面が設定されているか、「一般」の「自動入力とパスワード」でパスワードアプリがオンか、iCloud の「パスワード」で「このiPhoneを同期」がオンか
• Android：画面ロックが設定されているか、Googleパスワードマネージャーで「パスキーを自動作成してすばやくログインする」がオンか
• Mac：「Touch IDとパスワード」の設定、「自動入力とパスワード」の設定、iCloud の「パスワード」で「このMacを同期」がオンか

登録の手順

1. ログイン後の SBI証券のサイトのホームで「セキュリティ設定」をクリックする
2. パスキー認証の欄の「変更」をクリックする
3. 取引パスワードを入力して「パスキーを設定」をクリックする
4. 登録メールアドレスに届いた認証コードを入力し、「認証」をクリックする
5. 画面の案内に従って端末の認証（顔認証・指紋認証など）を行う
6. 「パスキーの登録が完了しました」と表示されたら完了

SBI証券のよくある質問によると、パスキーは10個まで作れます。案内ページは、スマートフォンだけでなく普段使うパソコンにも登録しておくと、片方の端末が手元にないときや故障・紛失のときの備えになると書いています。

登録状況の確認と削除

使わなくなった端末や、身に覚えのないパスキーがあれば削除します。

1. 「セキュリティ設定」からパスキー認証の欄の「変更」を開く
2. 登録済みのパスキーの中から、消したいものの「削除」をクリックする
3. 取引パスワードを入力して「パスキーを削除」をクリックする
4. 「パスキーの削除が完了しました」と表示されれば完了。登録メールアドレスに削除完了のメールが届く

注意したいのは、SBI証券の画面で消しただけでは終わらない点です。

※SBI証券に登録済みのパスキーを削除後、端末またはクラウドサービスアカウント（Apple,Google等）側に保存されているパスキーもあわせて削除いただくことをおすすめします。削除しない場合、当社WEBサイトで削除完了後もパスキーの使用が求められる場合があります。 出典: faq.sbisec.co.jp

Google側は、Google アカウントの「パスキーとセキュリティ キー」の画面から削除します。Apple側は、パスワードアプリで該当するアカウントを開き、「編集」から削除します。Apple の iPhone ユーザガイドは、パスワードを削除しても作成元のウェブサイトやアプリからは削除されない、と注記しています。端末とサービスの両方で消す必要があるのは、このためです。

同じよくある質問は、クラウドなどに保存しているパスキーを先に消してしまった場合、ユーザーネームとログインパスワードで SBI証券にログインし、SBI証券に登録されているパスキーを削除してから登録し直すよう案内しています。ログインパスワード無効設定を有効にしている人は、テクニカルサポートデスク（0120-581-255、年末年始を除く平日8:00～17:00）に問い合わせるよう書かれています。

機種変更のとき

案内ページのよくある質問によると、iPhone から iPhone、Android から Android のように同じ OS の間で機種を変える場合は、iCloudキーチェーンや Googleパスワードマネージャーの同期でパスキーが引き継がれるため、原則として登録し直す必要はありません。iPhone から Android のように OS をまたぐ場合は引き継げないので、新しい端末で登録し直し、古い端末のパスキー情報を削除するよう勧めています。

ログインの通知・履歴・制限の設定

パスキーの登録とあわせて使いたいのが、SBI証券のログインに関する4つの機能です。

ログイン通知メール

ログイン通知メールサービスは、口座にログインがあるたびに、登録メールアドレスへ「ログイン通知」という件名のメールを送る仕組みです。PCサイト、スマホサイト、スマホアプリ、PCツールが対象で、第三者のログインにすぐ気づけるようにするものです。ログイン後に「My設定」から「Eメール通知サービス」へ進み、ログイン通知サービスの項目の「変更」で、設定の解除や通知先のメールアドレスの変更ができます。解除されていないか、通知先が今読んでいるアドレスかを確かめてください。

2026年9月25日から、ログイン通知メールの送信元は [email protected] に変わりました。送信元でメールを振り分けている人は、受け取れているかを見直しましょう。資産管理アプリなど他社のサービスによる自動ログインでも通知は届くので、連携しているサービスがある人は、その分の通知が届くことも頭に入れておきます。

ログイン履歴

ログイン履歴サービスでは、ログインの日時とチャネル（PCサイト、アプリなど）を確かめられます。PCのメインサイトではログイン後のトップ画面の上部に「ログイン履歴」のリンクがあり、スマートフォンサイトでは右上のメニューから開けます。最大100件まで表示され、2年以上前の履歴は見られません。履歴は削除できないので、不審な記録があればそのまま画面を保存しておけます。

ログインパスワード無効設定

各種制限設定のページによると、ログインパスワード無効設定とは、ユーザーネームとログインパスワードによるログインを止め、パスキー認証だけでログインできるようにする機能です。パスキー認証を設定している人だけが使えます。2026年7月10日以降は、無効設定を有効にすると「アプリ・ツールのログイン制限設定」も自動で有効になります。同じページは、無効設定のあとも偽サイトや偽アプリにユーザーネームやパスワードを入れないよう注意していて、パスワードでのログインの操作を検知すると履歴と通知メールに残るとも書いています。

ログイン一時利用停止

ログイン一時利用停止設定は、WEBサイト、アプリ、PCツールのすべてで口座へのログインを止める機能です。登録メールアドレスでの認証が必要で、法人口座では使えません。停止中も投資信託などの積立の設定どおりに注文が出ることや、信用取引の建玉の状況によっては追加保証金や強制返済が起こりうることが、同じページに書かれています。不審なログインに気づいたときの応急の手当てとして覚えておいてください。

クラウドに保存したパスワードのメモを見直す

10月2日の発表は、悪用されたものとして、パスキーと並んで「パスワードのメモ」を挙げています。手帳代わりにスマートフォンのメモアプリやクラウドの文書に、証券口座のユーザーネームやパスワードを書いている人は、ここを見直します。

どこにメモが残っているかを洗い出す

まず、パスワードを書いた可能性のある場所を思い出し、順に開きます。

• スマートフォンのメモアプリ（iCloud に同期しているメモ、Google Keep など）
• Google ドライブや iCloud Drive に保存した文書や表計算のファイル
• 写真アプリに残った、パスワードの画面や紙のメモのスクリーンショット
• 自分宛てに送ったメールやチャットのメッセージ

メモアプリで「SBI」「パスワード」などの語を検索すると見つけやすくなります。見つかったメモは削除し、削除済みの項目を一定期間残すアプリでは、そちらからも消しておきます。

見つかったら、SBI証券のパスワードを変える

メモがクラウドに残っていた場合は、そのクラウドのアカウントがすでに他人に見られていた可能性を考え、SBI証券のログインパスワードと取引パスワードを変更します。変更はログイン後の画面から行えます。Google のハッキング対策のヘルプも、Google アカウントで保存しているパスワードや、Google アカウントと同じパスワードを使っているサイトは、すぐに変更するよう書いています。

取引パスワードは、ログインパスワードとは別のパスワードで、パスキーの登録や削除などの手続きのときに入力を求められます。この2つを同じにしていたり、他のサービスと使い回していたりする場合は、別々のものにしてください。

メモの代わりにどう管理するか

パスワードを覚えきれないのは当然です。メモをやめるなら、2段階の認証で守られたパスワード管理の仕組みに任せる方法があります。Google のアカウントのセキュリティを強化するは、パスワードマネージャーを使って一意の安全なパスワードを作り、パスワード チェックアップで弱いパスワードや使い回しを確かめるよう勧めています。

パスワード管理の仕組みを使う場合も、その入れ物となる Google アカウントや Apple Account の2段階の認証と復旧の手段が、そのまま守りになります。

届いたSMS・電話・メールの見分け方

乗っ取りの入口の多くは、本物らしく見える連絡です。SBI証券の発表は「セキュリティ向上のため、パスキーを再登録してください」という SMS を例に挙げ、リンクを開かず、登録手続きもしないよう呼びかけています。サポート担当者を名乗る電話で登録を求められた場合も同じです。

迷ったときの3つの原則

• 届いた SMS やメールのリンクからはログインしない。SBI証券のサイトには、ブックマークや公式アプリから入る
• 電話で認証コードやパスワードを聞かれても答えない。Google のヘルプは、Google が電話でコードの確認を求めることはないと書いている
• パスキーの登録や削除は、自分で SBI証券の画面を開いて行う。誰かに手順を案内されて進めない

金融庁のインターネット取引サービスへの不正アクセス・不正取引にご注意くださいも、見覚えのある送信者からのメールや SMS であってもリンクを開かないこと、正しいウェブサイトの URL をブックマークに登録してそこからアクセスすることを挙げています。パスキー認証のようなフィッシングに強い認証が提供されたら、速やかに設定するよう求めてもいます。

差出人の名前だけで判断しない

SBI証券は2026年9月25日から、一部のメールの差出人名を「SBI証券」に変えました。同時に、差出人名は偽装されうるので、名前が「SBI証券」でも送信元が公式のメールアドレスかを確かめるよう案内しています。メールアプリで差出人のアドレスまで表示させ、リンクを押す前に確かめる習慣をつけてください。

身に覚えのない取引やログインを見つけたとき

不審なログインや取引を見つけたら、次の順で動きます。

SBI証券ですぐにやること

SBI証券のセキュリティの全体像のページは、身に覚えのないログイン履歴や取引・出金を見つけた場合、ログインパスワードと取引パスワードの変更、ログイン一時利用停止の設定をしたうえで、カスタマーサービスセンターに連絡するよう案内しています。

SBI証券のセキュリティのページに載っている、セキュリティに関する臨時の問い合わせ窓口は次のとおりです。

窓口	内容
電話番号	0800-170-5333
営業時間	平日8:00～17:00
ガイダンス1番	電話番号認証などセキュリティの設定状況の確認・変更
ガイダンス2番	FIDO認証、パスキー認証の設定方法
ガイダンス3番	不正アクセス・不正取引

同じページは、SBI証券から臨時窓口として電話をかけてくる番号は 0800-170-5333 と、発信専用の 050-3852-0487 だと書いています。これ以外の番号から「SBI証券のサポート」を名乗る電話が来たら、いったん切って、自分で上の番号にかけ直すほうが確実です。

連絡の前に、ログイン履歴の画面、身に覚えのない注文や約定の画面、届いた SMS やメールの画面を保存しておくと、状況を正確に伝えられます。

公的な相談窓口

金融庁は、口座に不審な点があればまず各証券会社の窓口に確かめるよう求めたうえで、金融サービス利用者相談室（平日10時00分～17時00分、ナビダイヤル 0570-016811、IP電話からは 03-5251-6811）を案内しています。

警察への相談は、警察庁のサイバー事案に関する相談窓口に、全国共通のオンライン受付窓口と、都道府県警察のサイバー犯罪相談窓口の連絡先が載っています。被害届を出す場合は、最寄りの警察署に連絡するよう書かれています。どこに相談すればよいか分からないときは、警察相談ダイヤル #9110 も使えます（警視庁の警察相談ダイヤル#9110の案内では、通常の電話料金がかかります）。

補償について

補償を受けられるかどうかは、この記事で判断できることではありません。SBI証券の補償対応のページには、2025年10月26日以降に起きた不正アクセス・不正取引の被害について、補償の有無と内容は、利用者ごとの ID・パスワードの管理や、SBI証券が提供するセキュリティ機能の利用状況などに応じて、個々に検証して決めると書かれています。同じページは、利用者の側にも、パスキー認証の利用やフィッシングサイト・不審メールへの注意といった日常の対策への協力を求めています。個別の扱いは、SBI証券の窓口で確かめてください。

在宅で働く人がアカウントを守る意味

ここまでの手順に加えて、在宅で仕事をしている人に考えておいてほしいことがあります。

在宅の仕事では、Google アカウントや Apple Account が、仕事のメール、取引先と共有するファイル、請求書の保存先を兼ねている場合があります。そのアカウントにパスキーやパスワードも保存しているなら、1つのアカウントの乗っ取りが、証券口座だけでなく仕事の信用にまで広がります。取引先からの連絡が相手に転送されていた、共有したファイルを勝手に見られていた、という事態は、お金の被害とは別の重さがあります。

@SOHO は2004年から在宅ワークとフリーランスの仲介を続けてきました。在宅で仕事を続けるうえでは、仕事に使うアカウントを生活のアカウントと分け、2段階の認証と復旧の手段を整えておくと、何かあったときに確かめる範囲が狭くて済みます。AI・マーケティング・セキュリティのお仕事で紹介しているように、企業の情報セキュリティ対策を支える仕事もあり、こうした設定を正しく説明できる力は、それ自体が仕事として求められています。

ログインの仕組みや認証そのものを作る側に関心がある人には、アプリケーション開発のお仕事も参考になります。Web アプリや SaaS を企画から実装まで手がける仕事で、ログインや権限の設計はどのアプリでも欠かせない部分です。

よくある質問

Q. SBI証券でパスキーを設定していれば、GoogleやAppleのアカウントは気にしなくてよいですか？

気にする必要があります。SBI証券は2026年10月2日の注意喚起で、パスキーやログイン情報を保存しているGoogleやAppleのアカウントが第三者に不正に使われると、証券口座にも被害が及ぶおそれがあると書いています。GoogleアカウントとApple Accountの2段階の認証と、復旧に使う電話番号やメールアドレスが自分のものかを確かめてください。

Q. 10月2日の発表は、SBI証券から情報が漏れたということですか？

発表では、SBI証券のシステムからユーザーネーム・ログインパスワード・取引パスワードが不正に取られたものではないと書かれています。また、日本証券業協会からの会員向けの通知に基づく注意喚起で、SBI証券の証券口座での被害は確認されていないとも明記されています。発表にない経緯は、SBI証券の公式の案内で確かめてください。

Q. SBI証券でパスキーを削除するときに気をつけることは何ですか？

SBI証券の画面で削除したあと、端末やGoogle・Appleのアカウント側に保存されているパスキーもあわせて削除するよう、SBI証券のよくある質問は勧めています。削除しないと、SBI証券での削除後もパスキーの使用を求められる場合があるためです。削除の操作では取引パスワードの入力が必要で、完了すると登録メールアドレスに通知が届きます。

Q. 身に覚えのない取引を見つけたら、どこに連絡すればよいですか？

SBI証券は、ログインパスワードと取引パスワードの変更、ログイン一時利用停止の設定をしたうえで、カスタマーサービスセンターへの連絡を案内しています。セキュリティの臨時窓口は0800-170-5333（平日8:00～17:00、不正アクセス・不正取引はガイダンス3番）です。あわせて、金融庁の金融サービス利用者相談室や、警察のサイバー犯罪相談窓口にも相談できます。