パスキーは偽サイトに強いのに、なぜ保存先のGoogle・Appleアカウントも守る必要があるのか
パスキーは偽サイトでのログインに強い仕組みですが、その鍵を保管・同期しているGoogleやAppleのアカウントが乗っ取られると、話が変わります。 パスキーが破られたのではなく、鍵を預けている場所の守りが別に必要だ、というのがこの記事の要点です。
きっかけは、SBI証券が2026年10月2日に出した注意喚起です。この記事ではその内容を確認したうえで、パスキーの仕組みのどこを守ればよいかを整理します。
SBI証券の注意喚起には何が書いてあったか
SBI証券の注意喚起（2026年10月2日付）の要点は次のとおりです。
- 日本証券業協会の注意喚起などを受けた内容で、フィッシング詐欺によりGoogle・Appleのアカウント情報が第三者に取られ、そこに保存されたパスキーやパスワードが悪用されて、不正ログインや不正な取引が行われた事例が確認されたとしている
- そのうえで、SBI証券の証券取引における被害は確認されていない、自社システムからの情報流出でもない、と説明している
- 推奨する対策として、Google・Appleアカウントの2段階認証の設定、復旧用の電話番号・メールアドレスの確認、SMSなどで届く「パスキーを再登録してください」という案内のリンクを開かないこと、サポートを名乗る電話で登録を求められても応じないこと、を挙げている
注意したいのは、具体的な侵入手順は説明されていない点です。パスキーとパスワードのメモのどちらが使われたのか、Google・Appleアカウントのパスワードだけで足りたのかは、この文書からは分かりません。ここから先は、公式の仕組みの説明に基づく整理で、個別の事案の解説ではありません。
パスキーが強いのは「偽サイトに合わない」から
パスキーは、利用するサイトやアプリに結び付いた鍵のペアでログインする方式です。Googleの開発者向け資料でも、パスキーは特定のサイト・アプリに紐づくと説明されています。
そのため、見た目がそっくりの偽サイトを開いてしまっても、本物のサイト用の鍵は偽サイトには使われません。パスワードのように、入力した文字列がそのまま盗まれる、という形になりません。ここが、パスキーがフィッシングに強いと言われる理由です。
顔や指紋も、端末側でロックを解除するために使うもので、サービスへ生体情報を送る仕組みではないと説明されています。
守る対象は3つに分かれる
パスキーの安全を考えるときは、次の3つを分けて見ると整理しやすくなります。
| 守る対象 | 中身 | 例 |
|---|---|---|
| ログインの仕組み | 偽サイトに合わない鍵でログインする | パスキー自体の強み |
| 保管と同期 | 鍵をクラウド経由で複数の端末に持たせる | GoogleパスワードマネージャーやAppleのキーチェーン |
| 復旧の経路 | 端末をなくしたときに取り戻す手段 | 復旧用の電話番号・メールアドレス、アカウントの再設定 |
1つ目が強くても、2つ目や3つ目から入られると、そこが弱点になります。Googleの資料では、パスキーは同期の前に暗号化され、新しい端末で復号すると説明されています。Chromeのヘルプでは、保存済みパスキーを別の端末で使えるようにするとき、GoogleパスワードマネージャーのPINやAndroid端末の画面ロックPINなどの追加確認が必要と説明されています。
つまり、保管・同期の側にも守りは用意されています。それでも、アカウント自体を乗っ取られたり、復旧手続きを悪用されたりすれば、守りの前提が崩れる可能性があります。FIDO Allianceの資料も、認証方式の導入とあわせてログインと復旧の経路を強化する必要があると説明しています（これは今回の事案の証拠ではなく、背景としての資料です）。
今日できる確認
SBI証券の推奨とChromeの説明を合わせると、まず次の点を見直すのが現実的です。
- GoogleアカウントとAppleアカウントに2段階認証を設定する。パスワードだけで入れる状態を残さない
- 復旧用の電話番号とメールアドレスが自分のものか確認する。古い番号やメールが残っていないか見る
- 「パスキーを再登録してください」というSMSやメールのリンクを開かない。正規の手続きは、自分で公式アプリやブックマークから開いて行う
- 電話で「登録をお願いします」と言われても応じない。サポートを名乗る相手でも同じ
- 使っている証券会社などのサービスで、ログイン通知や取引時の追加確認の機能があるか確認する
どれも、パスキーをやめる理由にはなりません。パスキーをより安全に使うための、周りの守りの確認です。
まだ分かっていないこと
- 他社の事案で、実際にどの経路が使われたのか（パスキーが直接使われたのか、パスワードのメモだったのか）は、公開情報からは確認できていません
- Google・Appleアカウントのパスワードだけでパスキーを取り出せたかどうかも、断定できません
- 注意喚起は今後更新される可能性があります。最新の内容は、各社の公式ページで確認してください
まとめ
パスキーは、偽サイトに強いという点では、パスワードより安全な方式です。ただし、鍵を預けているGoogleやAppleのアカウントと、その復旧手段は、パスキーとは別に守る必要があります。「ログインの鍵が強い」ことと、「その鍵を保管している場所が安全」なことは、別の話だと考えると、見直すべき項目が見えてきます。
参考にした情報
- SBI証券「注意喚起」（2026年10月2日付）
- Google for Developers「パスキー」
- Chromeヘルプ「パスキーでログイン」
- FIDO Alliance, “Passkeys: The Journey to Prevent Phishing Attacks”（2025年3月）