証券口座のセキュリティ見直し｜パスキーを設定してもパスワードで入れた話と、家族4口座を20分で固めた記録

「また、どこかの会社で個人情報が流出したらしい」——そんなニュースを見るたびに、「自分の情報も入っているのでは」とモヤッとする方もいるのではないでしょうか。

企業からの流出の報道は、今や珍しいものではなくなりました。自分のメールアドレスや電話番号が、どこかで漏れている可能性は、誰にでもあります。そのうえで気をつけたいのが、新NISAで資産が育ってきた「証券口座」への入口です。

49歳の会社員である私は、自分のSBI証券の口座を電話番号認証で守っているつもりでした。この記事は、そんな私が「入口のカギ」を見直し、家族4口座をパスキーでしか入れないようにするまでの記録です。

特定の会社の名前を挙げるものではなく、「誰でも対象になりうる」という前提で、今日できる確認ポイントをまとめました。

この記事でわかるポイントは、次のとおりです。

• 他社の情報流出が、証券口座の危険につながる流れ
• パスキーを設定しても、パスワードで入れてしまう落とし穴
• 「売られても自分の口座に戻るだけ」とは言えない理由
• 金融庁が公表している、不正取引の件数
• 「最低限やること」と「余裕があればやること」の分け方
• 「おかしい」と思ったときの連絡先

※数字は2026年10月時点で、金融庁の公表資料をもとにしています。最新の情報は、必ず公式ページでご確認ください。

---

結論：投資の勉強より先に「入口のカギ」を見直す

証券口座の被害を完全になくす方法はありません。ただ、いくつかの設定を見直しておくことで、被害に遭いにくくすることはできます。

ポイントは、「自分は大丈夫」と思わず、「どこかで情報が出回っているかもしれない」という前提で、入口を固めておくことです。

やってみてわかった一番の落とし穴は、パスキーを設定しただけでは、パスワードの入口は閉じないことでした。

「他社の流出」が、証券口座の危険につながる理由

自分が使っている証券会社から漏れていなくても、別のサービスから漏れた情報が、証券口座を狙う入り口に使われることがあります。流れは、次のようになりやすいと言われています。

1. どこかのサービスから、メールアドレスや電話番号が流出する
2. その情報あてに、証券会社を装った偽のメールやSMS（ショートメッセージ）が届く
3. 本物そっくりの偽サイトに誘導され、ログインIDとパスワードを入力してしまう
4. 盗まれたIDとパスワードで、本人になりすましてログインされる（乗っ取り）

たとえるなら、家の鍵そのものを盗まれるのではなく、「鍵屋さんです」と名乗る人に、自分から鍵を渡してしまうような状態です。偽サイトは見た目では見分けがつかないことも多く、「自分は気づけるはず」と考えるのは危険です。

正直、売られても自分の口座に戻るだけだと思っていた

ここで、私の誤解を正直に書いておきます。

私は長いあいだ、「もし口座を乗っ取られて株や投資信託を売られても、売ったお金は結局、自分の口座に戻ってくるだけだろう」と思っていました。お金を盗まれるわけではない、という感覚です。

ところが、金融庁のページには、次のように書かれています。多くの場合、不正行為者が口座を勝手に操作して口座内の株式等を売却し、その売却代金で国内外の小型株等を買い付ける。その結果、被害口座には小型株等が残る、という内容です。

つまり、現金が戻ってくるのではなく、もとの資産が売られ、別のものに置き換えられてしまうことがあるわけです。金融庁も、不正な売却・買付の金額の合計は、顧客の損失額と一致しない（実際の損失額はこの数字とは別）と注意書きを添えています。

NISA口座の場合はどうでしょうか。金融庁の資料が書いているのは「口座内の株式等」を売却するという点までです。そのため、NISAで育ててきた投資信託がどう扱われるかまでは、公表資料からは確認できていません。ただ、口座の中身が意図せず入れ替わる可能性を考えると、「戻るだけだから大丈夫」とは、私はもう思えなくなりました。

数字で見る被害：金融庁の公表資料から

金融庁は、「インターネット取引サービスへの不正アクセス・不正取引」の発生状況を、月ごとに公表しています（2026年10月9日更新の資料）。

• ピークは2025年4月：不正取引は3,033件。売却金額は約1,625億円、買付金額は約1,423億円でした
• 2025年1月〜2026年9月の合計：不正アクセス19,252件、不正取引10,642件。売却金額は約4,372億円、買付金額は約3,837億円
• 2026年に入ってからの不正取引：7月は5件、8月は25件、9月は2件

2026年7月から8月にかけて、不正取引は5件から25件へ増えました。9月は2件に減っていますが、「ゼロではない」ことには変わりありません。件数が減ったからといって、気を抜いてよいわけではないと私は考えています。

また、金融庁のページには、パスキー認証など「フィッシングに耐性のある多要素認証」の必須化が進められていること、利用している証券会社で提供が始まったら、速やかに設定することが書かれています。

本当の親鍵は「メールアドレス」

証券口座のセキュリティを考えるとき、見落としやすいのがメールアドレスです。

ログインの通知メールも、パスワードを忘れたときの再設定も、多くの場合、登録したメールアドレスに届きます。つまり、メールを乗っ取られると、証券口座の対策が崩れてしまうかもしれません。証券口座のカギの、さらに上にある「親鍵」のような存在です。

私の登録メールはGmailです。証券口座の設定を見直すより先に確認してみると、私のGmailは、ログインのたびに必ずGoogleの確認を求められる状態になっていて、ひと安心しました。メール側に、パスワードだけでは入れない仕組みがあるかを確認しておくことが大事だと思います。実際、パスキーを設定したときも、確認の番号はメールに届きました。メールを守ることには、ちゃんと意味があると感じています。具体的な操作は、Googleアカウントのセキュリティ設定で確認してください（画面は変わることがあるため、ここでは手順を書きません）。

面倒すぎない現実ライン

ここまで読んで、「全部やるのは大変そう」と感じた方もいるかもしれません。私も同じです。

セキュリティをきつくしすぎて、ログインするたびにいくつもの確認が必要になると、口座を開くのが面倒になります。面倒になって、積立の状況をたまにしか見なくなるのは、本末転倒だと私は感じています。

私の場合、パスキーを設定してみると、むしろ電話番号認証の手間がなくなり、ログインがラクになりました。面倒さを心配しすぎなくても大丈夫かもしれません。やったことは、次の2段階です。

1. パスキーの設定：自分の口座で約5分
2. 家族の口座のパスキー設定とパスワード停止（ログインパスワード無効設定）：あわせて約15分

※かかる時間や手順は、人や時期によって変わることがあります。

なお、パスワードを止める前には、2つ確認しておきたいことがあります。1つ目は、普段使う端末のすべてでパスキーでログインできるかです。2つ目は、端末の紛失や機種変更で締め出されるおそれがあるため、パスキーを入れた端末を複数持つことと、パスキーが使えなくなったときの戻し方を、事前に公式の案内で確認しておくことです。

そこで、次の8項目を2段に分けました。

• 最低限やる：パスキー（①）／メールの保護（上の親鍵の話）／メール・SMSのリンクを踏まない（②）
• 余裕があればやる：③④⑤⑥⑦⑧

まずは最低限の3つだけでも、今日のうちに確認してみてください。

今日やる見直しチェックリスト

各社で設定画面の名前や場所は異なります。以下は「何を確認するか」の目安として使い、具体的な操作は、各社の設定画面やヘルプでご確認ください。

まず最低限やること

（＋上の節で書いた、メール（Gmail）の保護）

① パスキー（FIDO2）を設定したか

パスキーは、パスワードの代わりに、スマホやパソコンの指紋・顔認証などでログインする仕組みです。偽サイトでは使えない仕組みのため、フィッシング（偽サイトでIDやパスワードを盗む手口）に強いとされています。利用している証券会社で提供されているか、各社の設定画面で確認してみてください。

② 証券会社へは、ブックマークか公式アプリからだけアクセスしているか

メールやSMSのリンクは、見覚えのある送信者からでも開かないのが基本です（金融庁も同じ注意を呼びかけています）。「口座が停止されます」「至急確認を」といった文面で、不安をあおるものほど要注意です。いつもブックマークか公式アプリから入る習慣にしておくと、偽サイトに行きにくくなります。

余裕があればやること

③ ログイン・取引・出金時の多要素認証と、ログイン通知メールを有効にしたか

多要素認証は、パスワードに加えて、もう1つ別の確認（スマホへの通知など）を重ねる仕組みです。ログインしたときに通知メールが届く設定にしておくと、身に覚えのないログインに気づきやすくなります。

④ パスワードを他サービスと使い回していないか

どこかで流出したパスワードが、そのまま証券口座に試されることがあります。証券口座用に、他では使っていないパスワードを設定しておきましょう。

⑤ 登録メールアドレス・電話番号が最新か

古いままだと、通知が届かず、異変に気づけません。登録内容が今のものかを確認しておきます。

⑥ ログイン履歴・取引履歴に、身に覚えのないものがないか

月に1回でも、履歴を見る習慣をつけておくと安心です。資産の確認をするついでに、あわせて見るくらいの気軽さで続けるのがおすすめです。

⑦ 出金先口座が変更されていないか

登録している出金先の銀行口座が、自分で設定したままになっているかを確認します。

⑧ パスワードでのログインを止める設定（各社で名称は異なる）

パスキーを設定しただけでは、パスワードの入口は閉じません。パスキーが使える会社では、パスワードでのログインを止める設定が用意されているか、各社の設定画面で確認してみてください。止める前には、上の「面倒すぎない現実ライン」の注意点（複数端末・戻し方）を確認しておきます。

わが家の設定を公開します（電話番号認証だけ→パスキーのみへ）

ここで、わが家の設定の流れを正直に書いておきます。

① 最初は「電話番号認証だけ」でした。 私のSBI証券の口座は電話番号認証を使っていて、家族（妻と子ども2人）の口座は、特に対策をしていませんでした。

電話番号認証は、SBI証券の公式FAQによると、ログイン時にIDとパスワードに加えて、登録した電話番号から指定の番号に発信し、3分以内にログインする仕組みです。私の感覚では、以前は海外にいるときに使いにくいのが辛いところでした。海外から実際にどうなるかは、公式FAQでは確認できませんでした。

② まず自分の口座にパスキーを設定しました。 パスキーは、スマホやPCの顔認証・指紋認証などで本人確認を行う仕組みです。かかった時間は約5分で、メールで届いた番号を入力するだけで完了しました。画面名や手順は各社・時期で変わるため、設定は公式の案内に沿って進めてください。

③ 設定したあとも、パスワードで入れることに気づきました。 パスキーを設定したあとでも、PCからパスワードで普通にログインできたのです。公式FAQにも、パスキー認証とユーザーネーム・ログインパスワードは併用できると書かれています。パスキーを設定しただけでは、パスワードの入口は閉じないということです。

④ 家族の口座にもパスキーを設定し、パスワードの入口を閉じました。 家族の口座にもパスキーを設定し、「ログインパスワード無効設定」をオンにしました。家族の分で約15分でした。自分の口座も含め、わが家の4口座すべて、パスキーでしかログインできないようにしています。あわせて、面倒だった電話番号認証は外しました。パスキーは、端末の顔・指紋などで本人確認をする仕組みで、SBI証券の公式FAQでも、パスキーでログインする場合は電話番号認証が不要とされています。パスキーでしか入れない設定にした今、わが家では電話番号認証の出番がなくなったと考えています。

SBI証券の公式FAQによると、ログインパスワード無効設定を使うには、パスキー認証を設定していることが必須です。また、無効設定を有効にすると、自動的に「アプリ・ツールのログイン制限設定」のログイン制限が実施されます。パスワードでのログインを再開したいときは、アプリ・ツール側の制限も別途解除する必要があります。ただし、パスキーが使えなくなったときの手続きは、公式FAQでは確認できなかったため、事前に公式の案内を確認しておいてください。

なお、SBI証券の公式FAQには、パスキー認証は2026年6月30日から原則必須化と案内されています。海外からパスキーが使えるかどうかは、私は実際に試していないため、ここでは断定しません。海外で使う可能性がある方は、SBI証券の公式サイトやお問い合わせ窓口で確認してみてください。

家族の口座でも、残高だけでなく、「ログインの仕組み」や「異変があったときの連絡先」まで家族で共有しておくと、いざというときに慌てずに済みます。このテーマは、次の記事でも触れています。

残高は共有していた。でも、仕組みは共有していなかった

もし「おかしい」と思ったら

身に覚えのない取引やログイン通知に気づいたら、次の順番で動きます。

1. 証券会社の公式窓口へ、すぐに電話する。電話番号は、ブックマークした公式サイトで確認します（メールやSMSに書かれた番号は使いません）
2. パスワードを変更する。他のサービスで同じパスワードを使っていれば、それも変更します
3. 警察に相談する。警察相談専用電話「#9110」は、発信地を管轄する都道府県警察につながる全国共通の番号です。受付時間は都道府県によって異なり、つながらない回線もあるため、各都道府県警察の案内もご確認ください

金融庁の金融サービス利用者相談室（ナビダイヤル 0570-016811、平日10時〜17時）も、相談先のひとつとして案内されています。

まとめ：新NISAで資産が増えるほど、守る意味も大きくなる

• 他社の情報流出がきっかけで、偽メール・偽サイトを通じて口座が狙われることがある
• 金融庁の資料では、不正取引は2026年7月5件→8月25件→9月2件と推移している
• 「売られても自分の口座に戻るだけ」とは言えない。金融庁の資料では、口座内の株式等が売られ、小型株等に置き換えられる形が示されている
• 本当の親鍵はメールアドレス。証券口座の前に、Gmailなどメール自体の保護を確認する（わが家はGmailのログイン時に確認が入ることを確かめた）
• 最低限は「パスキー」「メールの保護」「リンクを開かない」。きつくしすぎて口座を開かなくなるのも本末転倒
• 私はわが家のSBI証券4口座にパスキーを設定し、パスワードのログインも止めた。パスキーは設定しただけでは、パスワードの入口は閉じない

「これで絶対に安全」という設定はありません。それでも、投資の勉強より先に入口のカギを確認しておくことは、長く続ける新NISAの土台になると私は考えています。

証券口座をまだお持ちでない方は、開設の流れを下の記事で確認できます。

SBI証券の口座開設方法【初心者ガイド】NISAを始める3点セット

---

※本記事は一般的な情報提供を目的としており、特定の商品の購入や売却を勧めるものではありません。セキュリティ対策は被害を完全に防ぐことを保証するものではなく、各社の設定方法や提供状況は変わることがあります。最新の内容は、必ず各証券会社の公式ページでご確認ください。投資判断はご自身の責任で行ってください。

参考資料

• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」（2026年10月9日更新の発生状況を参照）