パスキーだけではリスク大、Googleアカウントのセキュリティは大丈夫か

SBI証券の公式発表によると、パスキーを設定していても、GoogleやApple等のアカウント情報が不正取得され、証券口座への不正ログイン・不正取引が行われた疑いのある事案が確認されているとのことです。

パスキーそのものが破られたわけではありません。狙われているのは、パスキーの保存先であるGoogleアカウントです。この記事では、Googleアカウント・Androidスマホのユーザーが今すぐやるべき設定を前半で、詳しい仕組みを後半で解説します。

SBI証券の証券口座での被害は確認されていません。同じ趣旨の注意喚起はSMBC日興証券や三井住友信託銀行からも出ています

Google アカウント自体の保護

パスキーが破られるということではなく、保存先も適切に保護する必要があるということです。

AndroidスマホやChromeで作ったパスキーは、Googleパスワードマネージャーに保存され、同じGoogleアカウントの端末に同期されます。パスキーを管理するGoogleアカウント自体を守ることが欠かせません。

3分でできる！今すぐやる3つの設定
なぜGoogleアカウントが狙われるのか
【詳しく】Googleアカウントを強くする設定
【詳しく】Googleアカウント自体のパスキー
【詳しく】Androidの盗難保護とIDチェック（対応機種のみ）
【詳しく】Googleパスワードマネージャーの守り
設定チェックリスト
まとめ

3分でできる！今すぐやる3つの設定

3つともGoogleアカウントの設定なので、スマホの機種やAndroidのバージョンに関係なく、パソコンのChromeで行うのがおすすめです。Chromeで myaccount.google.com を開き、左のメニューの「セキュリティとログイン」から設定します（スマホの場合は、GmailやGoogleアプリの右上のプロフィール写真＞「Googleアカウントを管理」＞「セキュリティとログイン」）。

① 2段階認証プロセスがオンか確認する

「セキュリティとログイン」＞「2段階認証プロセス」を開き、オンになっているか確認します。オフなら画面の案内に沿ってオンにします。パスワードを盗まれても、手元のスマホがなければログインされません。

② 再設定用の電話番号とメールアドレスを確認する

「セキュリティとログイン」の画面を下にスクロールし、「Googleにログインする方法」という欄にある「再設定用の電話番号」と「再設定用のメールアドレス」が、今使っているものか確認します。古いままだと、乗っ取られた時に自分で取り戻せません。

③ 知らない端末からログアウトする

同じ画面の「お使いのデバイス」という欄にある「すべてのデバイスを管理」をクリックし、心当たりのない端末があれば選んで「ログアウト」します。

自分で操作していないのに届いた「ログインしようとしていますか？」という確認や確認コードは、絶対に承認しないでください。「パスキーを再登録して」というSMSや電話も詐欺です。

この3つで、報告されている手口の大部分を防げます。理由や細かい設定は、以下で詳しく説明します。

なぜGoogleアカウントが狙われるのか

Googleパスワードマネージャーに保存したパスキーやパスワードは、同じGoogleアカウントでログインしたAndroidスマホやパソコンのChromeで使えます。便利な反面、Googleアカウントを乗っ取られると、犯人の端末から保存した情報を悪用されるおそれがあります。

狙われる場所	実際の手口	守る設定
Googleアカウント	フィッシングでGoogleアカウントのパスワードや確認コードをだまし取り、別の端末でログインする	2段階認証プロセス・端末の確認・パスキー
Androidスマホ本体	人前でPINを盗み見てからスマホを奪い、そのPINでパスワードマネージャーを開いたり設定を変えたりする	盗難保護・IDチェック
復旧手段	古い電話番号やメールが登録されたままだと、乗っ取られた時に自分で取り戻せない	再設定用の電話番号・メールの確認

三井住友信託銀行の事案では、被害者のAppleやGoogleのアカウントに、本人が登録した覚えのない端末が登録されていたことが確認されています（三井住友信託銀行）。

【詳しく】Googleアカウントを強くする設定

2段階認証プロセスの「2段階目」には、いくつかの方法があります。SMSのコードは偽サイトに入力させられる手口があるため、できるだけ上の方法を使いましょう。

2段階目の方法	安全性	特徴
パスキー・セキュリティキー	最も高い	偽サイトでは使えない。Googleアカウント自体にもパスキーを作成できる
Googleプロンプト	高い	スマホに届く「ログインしようとしていますか？」をタップして承認。身に覚えのない承認は絶対にしない
認証アプリ（Google認証システムなど）	中	アプリに表示される6桁のコードを入力
SMS・音声通話	低め	コードを偽サイトに入力させられる手口がある

設定	効果	場所
Googleアカウントのパスキー	Googleアカウントへのログイン自体をパスキーにでき、パスワードを盗まれる心配が減る	「パスキーとセキュリティー」のページを直接開く
セキュリティ診断	2段階認証・端末・連携アプリなどの問題点を一覧で確認できる	「セキュリティ診断」のページを直接開く
最近のセキュリティ関連のアクティビティ	身に覚えのないログインや設定変更がないか確認できる	「最近のセキュリティ関連のアクティビティ」のページを直接開く
高度な保護機能プログラム（上級者向け）	ログインにパスキーかセキュリティキーが必須になり、最も強い保護になる	Googleの「高度な保護機能プログラム」ページから登録

高度な保護機能プログラムは、一部の外部アプリが使えなくなるなどの制約があります。普段使いなら、前半の3つの設定とGoogleアカウントのパスキー作成で十分です。

また、「Googleサポート」を名乗る電話やSMSで確認コードを聞かれても、絶対に伝えないでください。

【詳しく】Googleアカウント自体のパスキー

「Googleのパスキー」には2種類あります。この記事で守りたいのは主に②ですが、②を守るためにも①を正しく理解しておくことが大切です。

種類	何のためのパスキーか	保存先
① Googleアカウント自体のパスキー	Googleアカウントへのログイン用	作成した端末（Androidは端末内、iPhoneはiCloudキーチェーン、セキュリティキーなど）
② Googleパスワードマネージャーに保存したパスキー	SBI証券など、ほかのサイトへのログイン用	Googleアカウントに保存され、同じアカウントの端末に同期

Androidでは自動で作られている

AndroidスマホでGoogleアカウントにログインしていると、Googleアカウントのパスキーが自動で作成されている場合があります（Googleヘルプ）。登録済みのパスキーは「パスキーとセキュリティー」のページで確認できます。

パスキーの作成方法

「パスキーとセキュリティー」のページを開く
「パスキーを作成する」＞「パスキーを作成」をタップ（クリック）する
端末のロック解除（指紋・顔・PINなど）で認証する

対応環境は、パソコンがWindows 10・macOS Ventura・ChromeOS 109以降、スマホがAndroid 9・iOS 16以降です。iPhoneで作る場合はiCloudキーチェーンをオンにしておきます。複数の端末で使う場合は、端末ごとに作成します。

知っておきたい注意点

2段階認証が省略される：2段階認証プロセスがオンでも、パスキーでログインすると2つ目の手順は省略されます。パスキーそのものが「本人の端末である」ことの証明になるためです（Googleヘルプ）。
端末のロックを解除できる人はログインできる：パスキーを作ると、Googleアカウントからログアウトしていても、端末のロックを解除できる人なら誰でもGoogleアカウントにアクセスできます。家族と共用の端末では作らず、画面ロックは推測されにくいものにしましょう。
パスワードを先に使いたい場合：「セキュリティとログイン」の「Googleにログインする方法」にある「可能な場合はパスワードをスキップする」をオフにすると、ログイン時にパスワードの入力を求められます。
端末を失くしたとき：別の端末からGoogleアカウントにログインし、失くした端末のパスキーを削除します。Androidで自動作成されたパスキーは、「お使いのデバイス」の「すべてのデバイスを管理」からその端末をログアウトさせると削除されます。

乗っ取った人が自分のパスキーを追加する手口への備え

アカウントを乗っ取った人は、あとで何度でも入れるように、自分の端末のパスキーをこっそり追加することがあります。Googleはこれに備えて、本人の許可なく追加された疑いのあるログイン方法の使用を制限し、「リスクのある方法」として扱います。本人が確認しなかった場合は、30日後に自動で削除されます。また、認証方法や復元方法を変えた場合は、反映まで最長7日ほどかかることがあります（Googleヘルプ）。

確認方法：「最近のセキュリティ関連のアクティビティ」のページを開き、身に覚えのないパスキーやログイン方法が追加されていないか確認します。心当たりがなければ「削除」を選び、すぐにGoogleアカウントのパスワードを変更しましょう。

【詳しく】Androidの盗難保護とIDチェック（対応機種のみ）

Androidには、iPhoneの「盗難デバイスの保護」に相当する機能があります。ひったくりを検知して画面をロックする「盗難保護」と、自宅など「信頼できる場所」以外で重要な操作に生体認証を求める「IDチェック」です（ライフハッカー）。

ただし、Androidは古い機種ではOSのアップデートが止まっていることが多く、これらの機能が使えない場合があります。その場合でも、前半の3つの設定（パソコンのChromeでできるGoogleアカウント側の設定）を済ませておけば、アカウント乗っ取りの大部分は防げます。

操作	IDチェックなし	IDチェックあり（信頼できる場所以外）
Googleパスワードマネージャーのパスワード・パスキーを見る	PINでも可	指紋・顔認証が必須
画面ロックのPIN変更・指紋の追加	PINで可	指紋・顔認証が必須
「デバイスを探す」をオフにする	PINで可	指紋・顔認証が必須
新しいGoogleアカウントの追加・初期化	PINで可	指紋・顔認証が必須

IDチェックは、PINを盗み見られた場合でも、本人の指紋や顔がなければ重要な設定を変えられないようにする機能です（XenoSpectrum）。Android 15以降のPixelやGalaxyなどから順次提供されています。

設定方法： 「設定」アプリ上部の検索欄に「盗難保護」と入力して開くのが確実です。開いたら「盗難検出ロック」と「IDチェック」（「本人確認」と表示される場合あり）をオンにして、自宅などを信頼できる場所に登録します。メニューの場所は機種やAndroidのバージョンによって異なり、「セキュリティとプライバシー」（または「プライバシーとセキュリティ」）の中や、「Google」＞「すべてのサービス」の中にある場合があります。盗難保護の画面にIDチェックが表示されない機種では利用できません。

【詳しく】Googleパスワードマネージャーの守り

機能	口座を守るうえでの意味
パスワードマネージャーPIN	新しい端末でパスキーを使うには、このPINか、以前の端末の画面ロックが必要になる（HelenTech）。他人に教えない
パスワードチェックアップ	漏えい・使い回し・弱いパスワードを一覧で警告。証券口座のパスワードが含まれていないか確認できる
パスキーのインポート・エクスポート	2026年6月からAndroidで、パスキーを含むログイン情報を他のパスワード管理アプリと安全に移せるようになった（jetstream）

パスワードチェックアップの確認方法： パソコンのChromeで passwords.google.com を開き、「チェックアップ」から確認します（Chromeの右上「︙」＞「パスワードと自動入力」＞「Googleパスワードマネージャー」＞「チェックアップ」でも開けます）。証券会社・銀行・メールのアカウントから優先して変更しましょう。

画面ロックの見直し： Androidの画面ロックは6桁以上のPINかパスワードにし、人前で入力するときは手元を隠して、なるべく指紋や顔認証で解除しましょう。Androidのシステムアップデートも常に最新にしておきます。

設定チェックリスト

☐ 2段階認証プロセスがオン
☐ 再設定用の電話番号とメールアドレスが今使っているもの
☐ 知らない端末がGoogleアカウントにログインしていない
☐ Googleアカウント自体のパスキーを作成した
☐ セキュリティ診断で問題が表示されていない
☐ （対応するAndroidのみ）盗難保護とIDチェックがオン
☐ パスワードチェックアップを確認した
☐ 画面ロックが6桁以上、システムアップデートが最新

まとめ

パスキーは偽サイトに強い仕組みですが、保存先のGoogleアカウントが乗っ取られると意味がありません。まずは前半の3つの設定（2段階認証プロセスの確認・再設定用の連絡先の確認・知らない端末のログアウト）を済ませましょう。

関連記事： iPhoneを使っている方は「パスキーだけでは危ない、Appleアカウントのセキュリティ強化が必須」、SBI証券のパスキー設定手順は「SBI証券のパスキーをAndroidで設定する方法」（iPhoneの方は「SBI証券のパスキーをiPhoneで設定する方法」）で解説しています。