証券や銀行の口座乗っ取りを防ぐ、元エンジニアが教えるすぐにやるべき3つの対策

情報漏えいには2種類ある

情報漏えいには2種類あります。この2つを分けて考えると、自分が守れる範囲と、企業に任せるしかない範囲がはっきりします。

1つ目は、「企業のデータベースが抜かれる漏えい」です。氏名、住所、メールアドレス、時には本人確認書類の画像までが、企業側のシステムからまとめて盗まれます。これは私たち利用者が気をつけても防げないことです。「ネット証券は危険、対面の証券会社や銀行なら安全」と思う人もいますが、対面型の証券会社自体がサイバー攻撃を受けた例もあります。

2つ目は、「自分のアカウントが乗っ取られる漏えい」です。偽サイトにパスワードを入力したり、他のサービスから漏れたパスワードを使い回していたりすると、第三者があなた本人としてログインします。2025年の証券口座乗っ取りはこちらです。「証券口座の出金先は本人名義の口座に限られるから、お金は盗めないのでは？」と思うかもしれません。しかし犯人は、被害者の投資商品を勝手に売却し、自分が利益を得られる株を勝手に買います。結果、利益は犯人に渡り、被害者には値下がりした株だけが残ります。

ここでのポイントは、私たちがパスキーや強いパスワードなどの自己対策で防げるのは、2つ目だけということです。そこで「企業から情報が流出しても、他の口座に波及しない状態」を作ることを目指した現実的な設計を、この記事ではお伝えします。

パスワード管理の新常識。覚えるのは「1つ」だけ

パスワード管理の正解は、この10年で変わりました。覚えるのは、「たった1つのパスワード」だけ。あとはもう忘れていいのです。

旧時代の正解は、「パスワードはすべてサイトごとに分ける。ただし人間は覚えきれないので、共通部分とサイトごとの差分を頭の中で組み立てる」でした。たとえば「Password1234?amazon」「Password1234?rakuten」のような形です。

しかし「少し変えているから大丈夫」という従来の方法はもう通用しません。なぜなら攻撃側はAIを駆使し、漏れたパスワードを他のサービスで試す作業を自動化・高速化しているからです。
新時代の正解は、「パスワードはサイトごとにアプリに作らせ、アプリに覚えさせる」です。作る場所と覚える場所は、お使いのスマホに合わせます。iPhoneならApple純正の「パスワード」アプリ（iCloudキーチェーン）、Androidなら「Google パスワード マネージャー」です。あるいは1Passwordなどのパスワード管理専用の有料アプリもあります。

私たちが覚えておく「たった1つのパスワード」とは、それらパスワードアプリ、つまり「金庫」を開くパスワードだけです。Apple純正ならApple Accountのパスワード、GoogleならGoogleアカウントのパスワード、1Passwordならマスターパスワードが該当します。これだけは、他で使い回していない、大文字・小文字・英数字・記号を混ぜた15文字以上の文字列を設定します。

2段階認証も同じです。SMSで届くタイプは、電話番号ごと乗っ取られるおそれがあるので、アプリが発行するタイプに切り替えます。iPhoneなら「パスワード」アプリがコードも出してくれます。AndroidならGoogle純正の「Google 認証システム」アプリを入れ、Googleアカウントに同期させておきます。

パスキーの登録だけでは不十分。さらにパスワードを廃止しよう

ここまでパスワードを強くする話をしてきましたが、最近ではパスワードそのものを使わない、さらに強いログイン方法があります。それがパスキーです。パスキーがなぜ強力なのかを知るために、まずはパスワードがなぜ不十分なのかを理解しましょう。

そもそも、パスワードは「合言葉」です。泥棒が合言葉を知っていれば、それだけで侵入されます。一方、パスキーは「鍵」です。しかもあなたのスマホの中から出ない鍵なので、泥棒には盗む機会そのものがありません。偽サイトを開いてしまっても、パスキーは本物のサイトでしか動かないので、騙されようがないのです。

では、2段階認証ならどうでしょうか。結論から言うと、SMSや認証アプリのコードも結局は画面に入力する英数字の「合言葉」にすぎないため、パスキーには及びません。

ただし、パスキーは登録しただけでは不十分です。残念ながらまだ多くのサービスでは、パスキーを登録しても、パスワードでのログインも変わらずできてしまいます。すると当然、泥棒はパスワードで侵入を試みます。したがって、パスキーを登録したら、パスワードによるログインそのものを廃止しましょう。ここまで設定して初めて、パスワードからパスキーへの切り替えが完了します。