パスキーだけでは危ない、Appleアカウントのセキュリティ強化が必須

SBI証券の公式発表によると、パスキーを設定していても、GoogleやApple等のアカウント情報が不正取得され、証券口座への不正ログイン・不正取引が行われた疑いのある事案が確認されているとのことです。

パスキーそのものが破られたわけではありません。狙われているのは、パスキーの保存先であるApple Accountです。この記事では、iPhoneユーザーが今すぐやるべき設定を前半で、詳しい仕組みを後半で解説します。

SBI証券の証券口座での被害は確認されていません。同じ趣旨の注意喚起はSMBC日興証券や三井住友信託銀行からも出ています

Apple アカウント自体の保護

パスキーが破られるということはなく保存先も適切に保護するということです。
パスキーはフィッシング耐性を持つ認証方式で、クラウドで同期・管理する場合、パスキーを管理するGoogle アカウントやApple アカウント自体の保護すべきです。

3分でできる！今すぐやる3つの設定
なぜApple Accountが狙われるのか
【詳しく】盗難デバイスの保護
【詳しく】Apple Accountを強くする設定
【詳しく】「パスワード」アプリの新機能
【詳しく】パスコードとiOSの見直し
設定チェックリスト
まとめ

3分でできる！今すぐやる3つの設定

① 盗難デバイスの保護をオンにする

「設定」＞「Face IDとパスコード」＞「盗難デバイスの保護」をオン。パスコードを盗み見られても、顔や指紋がなければパスキーを使われません。

② 登録している電話番号を確認する

「設定」＞自分の名前＞「サインインとセキュリティ」を開き、「信頼できる電話番号」が今使っている番号か確認します。古い番号のままだと、乗っ取られた時に自分で取り戻せません。

③ 知らない端末を削除する

「設定」＞自分の名前の画面を下までスクロールし、端末一覧に心当たりのない端末があれば「アカウントから削除」します。

自分で操作していないのに届いた確認コードや認証要求は、絶対に承認しないでください。「パスキーを再登録して」というSMSや電話も詐欺です。

この3つで、報告されている手口の大部分を防げます。理由や細かい設定は、以下で詳しく説明します。

なぜApple Accountが狙われるのか

iPhoneで作ったパスキーは、iCloudキーチェーンを通じて同じApple Accountの端末に同期されます。便利な反面、Apple Accountを乗っ取られると、犯人の端末にもパスキーが同期されてしまいます。

狙われる場所	実際の手口	守る設定
Apple Account	フィッシングでApple Accountのパスワードや確認コードをだまし取り、別の端末でサインインする	2ファクタ認証・端末の確認・セキュリティキー
iPhone本体	人前でパスコードを盗み見てからiPhoneを奪い、そのパスコードでパスキーを使ったりApple Accountのパスワードを変えたりする	盗難デバイスの保護
復旧手段	古い電話番号やメールが登録されたままだと、乗っ取られた時に自分で取り戻せない	電話番号の確認・アカウント復旧連絡先

三井住友信託銀行の事案では、被害者のAppleやGoogleのアカウントに、本人が登録した覚えのない端末が登録されていたことが確認されています（三井住友信託銀行）。

【詳しく】盗難デバイスの保護

「盗難デバイスの保護」は、パスコードを知られていても本人以外がiPhoneの重要な操作をできないようにする機能です。iOS 17.3以降で使え、自宅や職場など「よく知っている場所」以外では自動で守りが固くなります（ゴリミー）。

操作	保護オフ	保護オン（よく知っている場所以外）
保存したパスワード・パスキーの利用	パスコードでも可	Face ID／Touch IDが必須
Apple Accountのパスワード変更	パスコードで即変更可	Face IDのあと1時間のセキュリティ遅延、再度Face ID
「探す」をオフにする	パスコードで可	Face ID＋セキュリティ遅延
Safariでの購入（保存したカード）	パスコードでも可	Face ID／Touch IDが必須

1時間の遅延の間に、家族のiPhoneやパソコンから「探す」で紛失モードにする時間も稼げます。

注意： オンにするには、2ファクタ認証・Face ID（またはTouch ID）・「探す」の設定が必要です。外出先では設定変更が1時間待ちになることがあるため、旅行前には動作を確認しておきましょう。

【詳しく】Apple Accountを強くする設定

設定	効果	場所
2ファクタ認証	新しい端末でのサインインに、信頼できる端末の確認コードが必要になる。最近のApple Accountでは最初から有効になっており、自分でオン・オフする設定はない	「設定」＞自分の名前＞「サインインとセキュリティ」
信頼できる電話番号	古い番号のままだと、復旧時に自分が締め出される	同上
登録端末の確認	心当たりのない端末を見つけて削除できる	自分の名前の画面下部の端末一覧
アカウント復旧連絡先	自分がアクセスできなくなった時、信頼できる人の協力で復旧しやすい	「サインインとセキュリティ」＞「アカウントの復旧」
セキュリティキー（上級者向け）	FIDO対応の物理キーが必須になり、確認コードをだまし取る手口が効かない	「サインインとセキュリティ」＞「セキュリティキー」

セキュリティキーは2本以上の登録が必要で、すべて失くすとアカウントにアクセスできなくなる場合があります。普段使いなら、前半の3つの設定と復旧連絡先で十分です。

また、「Appleサポート」を名乗る電話やSMSで確認コードを聞かれても、絶対に伝えないでください。Appleが確認コードを尋ねることはありません。

【詳しく】「パスワード」アプリの新機能

AppleはiOS 18で「パスワード」アプリを独立させ、iOS 26・27で機能を広げてきました。

機能	登場したiOS	口座を守るうえでの意味
「パスワード」アプリ	iOS 18	パスキー・パスワード・確認コードを1か所で管理。アプリ自体もFace IDで保護（Apple）
セキュリティ勧告	以前から	漏えい・使い回し・弱いパスワードを一覧で警告
パスワードの変更履歴	iOS 26	誤って上書きしたパスワードも過去のバージョンから確認・復元できる（Mac Fan）
パスキーの安全な移行	iOS 26	「パスワード」アプリと1Password・Bitwardenなどの間で、パスキーを暗号化したまま移せる（FIDO Alliance）
弱い・漏えいしたパスワードの自動変更	iOS 27（今後のアップデートで提供予定）	Apple IntelligenceとSafariが、本人の承認のもとで強いパスワードに変更する（9to5Mac）

自動変更機能はiOS 27の最初のリリースでは見送られ、今後のアップデートで提供される予定です（iPhone Mania）。

セキュリティ勧告の確認方法： 「パスワード」アプリを開いて「セキュリティ」をタップし、証券会社・銀行・メールのアカウントから優先して変更します。

【詳しく】パスコードとiOSの見直し

パスコードは6桁以上、できれば英数字にする（「設定」＞「Face IDとパスコード」＞「パスコードを変更」＞「パスコードオプション」）
人前でパスコードを入力するときは手元を隠し、なるべくFace IDで解除する
iOSは常に最新版にする（脆弱性の修正が含まれる）

設定チェックリスト

☐ 盗難デバイスの保護がオン
☐ 「信頼できる電話番号」が今使っている番号になっている
☐ 知らない端末がApple Accountに紐づいていない
☐ アカウント復旧連絡先を設定した
☐ 「パスワード」アプリのセキュリティ勧告を確認した
☐ パスコードが6桁以上
☐ iOSが最新版

まとめ

パスキーは偽サイトに強い仕組みですが、保存先のApple Accountが乗っ取られると意味がありません。まずは前半の3つの設定（盗難デバイスの保護・電話番号の確認・知らない端末の削除）を済ませましょう。

関連記事： SBI証券のパスキー設定手順は「SBI証券のパスキーをiPhoneで設定する方法｜ログインパスワード無効設定まで解説」で解説しています。