パスキー設定の証券口座で乗っ取り被害、原因は偽メール｜今やることとガル民の本音

顔や指紋でログインする「パスキー」を設定していた証券口座が乗っ取られた疑いがあるとして、日本証券業協会や証券会社が注意を呼びかけています（47NEWS（共同通信））。

ただし、生体認証そのものが破られたわけではありません。GoogleやAppleのアカウントが乗っ取られ、そこに保存されていたパスキーを使われたとみられています。きっかけは「パスワード変更」を求める偽メールに入力してしまったこと。スマホの紛失も被害につながりうると報じられています。

ガルちゃんでは「フィッシングに引っかかってるだけやん」が+186でトップ。一方で「パスキーをどう使われたの？」と仕組みを知りたい声も多く、詳しい人の解説が支持を集めました。

なぜパスキーが使われたのか、今やること、ネット証券をやめるべきかまで、ガル民の本音と一緒に整理します。

▶ あわせて読みたい：NISAの不正ログイン被害、補償されないのはどんな時？／ドコモ不正アクセスで最大約30万件流出｜今やること

📌 出典：ガールズちゃんねる「生体認証「パスキー」活用の証券口座で被害 乗っ取りに注意呼びかけ」

📅 報道のポイント（47NEWS（共同通信）・Yahoo!ニュースより）

• パスキー（顔・指紋などの生体認証でログインする仕組み）を設定した証券口座が乗っ取られた疑い
• 日本証券業協会や証券会社が注意を呼びかけ
• 生体認証自体を突破したのではなく、GoogleやAppleのアカウントを乗っ取ってパスキーを使ったとみられる
• アカウントのパスワード変更を求める偽メールを信じて入力した恐れ。スマホの紛失も被害につながる可能性

ややこしやー、ややこしやー

>偽メールを信じて入力し
フィッシングに引っかかってるだけやん

>>5
生体認証悪くない〜トバッチリやん笑

>>1
>生体認証自体をくぐり抜けたのではなく、グーグルやアップルのアカウントを乗っ取って、パスキーを使われた
>アカウントのパスワード変更を求める偽メールを信じて入力し、口座を使われた
パスキーをどう使われたの？？

>>18
パスキーはGoogleマネージャーに登録されてるから、Googleアカウントを乗っ取られたら無条件で使われるんだよ。
偽メールが来る
↓
偽メールから飛んだ偽Google設定サイトに書き込み
↓
Googleアカウント、Googleマネージャーのパスキー乗っ取る
↓
乗っ取ったGoogleアカウントならパスキーは無条件で使えるので証券会社にログイン
の流れだと思うよ

パスキーはなかなか破られないからね
だからハッカーは鍵束となるAppleやGoogleアカウントを狙う
とにかくメールに貼り付けられてるURLは開けないこと
面倒でもアプリやサイトから自分で入って確認しよう

🔑 ガル民の解説をまとめると

• パスキーは「電子の鍵」。顔や指紋は、その鍵を使っていいかをスマホが確かめているだけ
• パスキーはGoogleやAppleのアカウントに保存され、同じアカウントの端末に同期される
• そのため大元のGoogle・Appleアカウントを取られると、相手の端末でパスキーを使われてしまう

注意呼びかけって、具体的に何したらいいの

>>7
前触れもなく届くメールにパスワードの変更のためのurlが書いてあったらそれを踏まないこと
これただのフィッシングなので

>>7
どこからのメールであっても絶対にメール内リンクをクリックしないこと。
普段使ってる会社のサイトならブラウザから別の方法でアクセスできるはず。

>>7
「不審なメールを開かない」昔からこれが一番大事。

✅ 今やることチェックリスト（ガル民の声と報道から）

• 「パスワード変更」「ログインはこちら」のメールやSMSのリンクは開かない。公式アプリか、自分で登録したブックマークから入る
• Google・Appleアカウントのパスワードを使い回していないか確認し、2段階認証を設定する
• アカウントに見覚えのない端末がログインしていないか確認する
• スマホをなくしたら、証券会社とGoogle・Appleアカウントの対応を早めに
• 怪しいと思ったら、メールではなく証券会社の公式サイトに載っている窓口へ

楽天証券とかパスキー設定中はパスワード変更できないし、完全にパスキー頼りな設計だよね

>>4
問題になってるのは証券会社のパスワードじゃなくて、パスキーを保存してるGoogleやAppleのアカウントのパスワードだよ
楽天証券ですでにパスキーを使ってるのに、楽天証券のパスワードを変更しても意味がない
意味がないから変更できないようになってるの

>>73
横。ちなみにだけど、楽天銀行はPCからのログインを禁止にできたり、ATMからの出金を不許可にできたり、登録スマホ以外からのログインを不許可にできたり等、割としっかりしてると思う。
興味あったら調べてみて。

不便だけどアナログに戻ろう
デジタルは一見便利だけど、ハッカー・資本家や国家に搾取される未来しかない。

ネット証券
ネットバンク
リスクありすぎ

やっぱり紙の通帳、印鑑、現金よね

>>6
証券会社の窓口に行ったり電話で売買注文入れるの？
面倒だよ～

証券会社は被害額を全額補償に統一してほしい

スマホや各種アプリ含め、変わるセキュリティ設定について行けん。今ですらそうだから、年取ったら無理。デジタル化進めるなら、年寄りでも大丈夫なセキュリティ設定をデフォルトで組み込んだ形で端末やらアプリやらホームページやら作るように企業に義務付けてくれよ。

>>14
パスワード入力する方が好きだったな
今はパスキーに変わってきてるから、知り合いの高齢者さんとか困ってるよ

補償の条件は証券会社ごとに違います。昨年の不正ログイン被害では、パスワードの使い回しなどが補償で問われました。詳しくはNISAの不正ログイン被害、補償されないのはどんな時？で整理しています。FXでの例はGMOのFX不正取引で見舞金と損失補償も参考に。

今回の被害は、パスキーや生体認証が破られたのではなく、偽メールからGoogle・Appleアカウントを乗っ取られたとみられるケースでした。対策はメールのリンクを踏まず、公式アプリから入ること、そして大元のアカウントに2段階認証をかけることです。

ガル民の反応は「フィッシングに引っかかってるだけやん」から始まり、「仕組みがややこしすぎる」「年を取ったらついていけない」へ。流出・不正アクセスの話はニトリの個人情報流出などでもまとめています。

あなたはパスキー、もう設定していますか？それとも「ややこしやー」組でしょうか？