パスキーは、使い続けてかまいません。ただ、パスキーを預けているAppleやGoogleのアカウントの守りは、いま見ておきます。確かめるのは3つです。2段階認証がオンか。復旧に使う電話番号やメールが古くないか。知らない端末が入っていないか。
私がパスキーを使っているのは、Googleだけです。自分のアカウントでは、復旧用の電話番号とメールを確かめて直し、知らない端末が入っていないかも見ました。
何があったのか
SBI証券は2026年10月2日に、「GoogleやApple等のアカウント情報を窃取するフィッシング詐欺にご注意ください」という注意喚起を出しました。フィッシングでGoogleやAppleのアカウント情報が第三者に取られ、クラウドに保存されたパスキーなどが悪用されて、証券口座に不正にログインされた疑いのある事案が確認されている、という内容です。ただし、SBI証券の証券口座での被害は確認されていない、と同じ注意喚起の冒頭に書いてあります（SBI証券）。
これは、日本証券業協会からの会員向けの通知に基づく注意喚起です（同じくSBI証券）。パスキーの暗号そのものが破られた、とは書かれていません。SBI証券は、パスキーやログイン情報を保存しているGoogleやAppleのアカウントが第三者に不正に使われると、証券口座にも被害が及ぶおそれがある、としています。どういう経路で悪用されたのかは、この注意喚起には書かれていません。
パスキーは、どこに預けてあるのか
パスワードが「合言葉」なら、パスキーは「端末に持たせる合鍵」のようなものです。その合鍵の控えは、AppleやGoogleのアカウントに預けてあります。Appleは、パスキーをiCloudキーチェーンで複数のデバイスに同期し、エンドツーエンドで暗号化していて、その暗号化鍵をAppleも知らない、と説明しています。また、iCloudで使うApple Accountが不正に使われた場合でも、パスキーとパスワードが保護されるよう、iCloudキーチェーンを設計している、と説明しています（Appleサポート）。Googleは、同じアカウントでログインしているすべてのデバイスで、保存したパスキーを使えると説明しています。一方、SBI証券は、パスキーを保存しているアカウントが第三者に使われると、口座にも被害が及ぶおそれがあるとしていて、どういう経路で悪用されたかは公表していません。
自分のパスキーが保存されている場所は、次のところで見られます。Googleは、Google パスワード マネージャー（passwords.google.com）です。Chromeでは、右上のメニューの「パスワードと自動入力」から「Google パスワード マネージャー」を開きます（Googleヘルプ）。Googleアカウントの「セキュリティとログイン」にある「Google にログインする方法」の「パスキーとセキュリティ キー」の行には、保存したパスキーの件数が出ます。iPhoneは、iOS 18以降は「パスワード」アプリ、iOS 17以前は「設定」の「パスワード」で見られます（Appleサポート）。
確かめる3つのこと
SBI証券は、GoogleアカウントとApple Accountに、強力な2段階認証（認証アプリなど）を設定することと、アカウントの復旧に使うメールアドレスや電話番号が自分のものかを確かめることを、求めています（SBI証券）。画面で見る場所を、AppleとGoogleで並べます。
| 確かめること | Apple（iPhone） | |
|---|---|---|
| 1. 2段階認証がオンか | 「設定」→自分のユーザー名→「サインインとセキュリティ」→「2ファクタ認証」。iCloudキーチェーンを使うApple Accountでは、2ファクタ認証が必須 | 「セキュリティとログイン」→「Google にログインする方法」の「2 段階認証プロセス」の行。緑のチェックと「（日付）より有効」が出ていればオン |
| 2. 復旧に使う電話番号やメールが古くないか | 「2ファクタ認証」の画面の「信頼できる電話番号」 | 「Google にログインする方法」の「再設定用の電話番号」「再設定用のメールアドレス」 |
| 3. 知らない端末が入っていないか | 「設定」→自分のユーザー名→下にスクロール→デバイスの一覧→知らないものを「アカウントから削除」 | 「セキュリティとログイン」→「お使いのデバイス」→「すべてのデバイスを管理」→知らないものを「ログアウト」 |
出典：Apple（信頼できる電話番号・デバイスの一覧）、Google（2段階認証・再設定用の連絡先・デバイス）。
Googleの2段階認証は、私も自分のアカウントで、この行を見て確かめました。オンにするときは、同じ場所で「2 段階認証プロセスを有効にする」を選びます。
- Googleの再設定用の電話番号やメールは、変更後7日間は、以前の宛先にコードが送られることがあります
- Googleで同じ名前のデバイスが複数出ているときは、その名前のものを全部ログアウトします
- Appleで削除したデバイスがサインインしたままだと、次にネットにつながったとき、Apple Accountの画面が再び出ることがあります
知らない端末があったときの、パスワードの変え方も、公式のページにあります。Googleは「セキュリティとログイン」の「Google にログインする方法」で「パスワード」を選びます（Googleヘルプ）。Appleは、iPhoneでの変え方がこちらです（Appleサポート）。
「パスキーを再登録してください」と来たら
SBI証券は、「セキュリティ向上のため、パスキーを再登録してください」などのSMSが届いても、リンクを開いたり、案内に従って登録したりしないよう求めています。サポート担当者を名乗る相手から電話で登録を求められても、登録しないよう求めています（SBI証券）。
リンクは押しません。パスキーの設定は、証券会社などの公式のアプリや、自分で開いたサイトから確かめます。
Appleを名乗るメールの確かめ方は、こちらに書きました。
親のアカウントは、どうするか
家族のパソコンやスマホを見ている人には、遠くにいる親のアカウントの心配もあります。私が確かめたのは自分のアカウントだけで、家族のアカウントは設定していません。
次に会ったとき、親のiPhoneやGoogleアカウントで、復旧用の電話番号やメールが古くないかと、知らない端末がないかを一緒に見ます。
LINEの友だちから認証番号を聞かれたときのことは、こちらに書きました。
2段階認証そのものの考え方は、こちらに書きました。
出た画面や届いたメールから、ほかの偽物の見分け方を探すときは、こちらです。
