「パスキーや二要素認証を設定していれば安心」はどこまで本当か――守れる入口と、別の確認が必要な場面

1導入：「パスキーを設定していても被害に遭うなら、設定しても無駄なのか？」という疑問に答える

最近、証券口座やクラウドサービスに関するニュースを見て、「パスキーや二要素認証を設定していても不正取引が起きるなら、設定しても意味がないのではないか」と感じた方がいるかもしれません。

しかし、公表資料を正確に読むと、今回の国内の事案で「パスキーが突破された」と説明されたものはありません。 岩井コスモ証券は、2026年10月21日の利用者向け説明で、今回の不正取引について「パスキー認証が突破されたものでないこと」を明記し、「本件は、情報漏洩に起因し不正取引の被害が拡大したものではありません」と説明しています（7口座で意図しない注文、うち5口座で約定、取引前の状態に戻す措置が完了し顧客の負担は生じていないことは10月20日の第2報の記述）[1]。システムの運用・保守委託先であるトレードワークスも、顧客のログインには多要素認証・パスキー等が設けられ、通常の経路からの不正ログインは防がれていたこと、不正アクセスの原因は同社システムの一部の管理機能の設定不備だったことを公表しています [1]。

一方で、GMOインターネットの「お名前.com デスクトップクラウド」（FX自動売買用のレンタルサーバー）では、顧客が借りているサーバーに保存されていた取引口座のログイン情報等が第三者に取得・不正利用された可能性と、顧客から取引口座での不正操作の報告があったことが公表されました。第4報（10月24日）では、顧客情報が外部に持ち出された事実を確認したとしています [2]。

つまり、「パスキーが無意味だった」のでも、「利用者が偽サイトにだまされて入力したせい」と決めつけられるものでもなく、「そもそも問題が起きた場所（経路）によって、入口の認証設定が守れる範囲と、別の確認が必要な範囲がある」というのが正確な整理です。

2問題が起きる「3つの場所」と、パスキー・二要素認証の守備範囲

3公表資料から見る「誤解してはいけない3つのポイント」

1. 「パスキーでも無意味」と誤解して設定をオフにしない
   岩井コスモ証券の説明（10月21日）にある通り、同社の事案ではパスキー認証そのものが破られたわけではありません [1]。パスキーや二要素認証をオフにしてしまうと、従来型の「パスワード使い回し攻撃」や「偽サイトによる盗み取り」に対して大きく弱くなります。なお、フィッシング（偽サイト）に耐性があるのはパスキーで、SMSやアプリのワンタイムコードは偽サイトに入力すると突破され得ます。どちらもパスワードだけより安全で、金融庁はパスキー等が提供されていれば速やかに設定するよう勧めています [3][4]。
2. 「利用者が偽サイトに入力したせいだ」と決めつけない
   同じく岩井コスモ証券は「情報漏洩に起因し不正取引の被害が拡大したものではありません」と説明しています [1]。また、お名前.com デスクトップクラウドのように、利用しているサーバー環境側の事案として調査・公表が行われているケースもあります [2]。被害に遭った人や自分を責めるのではなく、「どのサービス・どの経路の事案か」を公式発表で確認することが先決です。
3. 「事業者側のシステム侵害」と「個人の認証設定」を混ぜない
   ブックオフグループHDの事案（10月6日確認・10月9日公表、対象は子会社が提供する会員情報の管理システム。対応として脆弱性の是正を公表、侵入経路は未公表）[5] や、岩井コスモ証券の事案（委託先システムの管理機能の設定不備）[1] のように、事業者側のシステムが侵害された場合、利用者が複雑なパスワードやパスキーを設定していても、システム侵害自体は防げません。この場合は「自分のどの登録項目が対象に含まれるか」を確認し、パスワードが項目に含まれていれば変更し、同じパスワードを他社で使い回していればそちらも変更するのが適切な対応です（ブックオフも対象会員にこの2点を依頼しています [5]）。

4手元の認証と取引環境を見直す「4つの確認項目」（個人向けチェックリスト）

1. 確認1：パスキーや二要素認証を設定していても、「注文履歴（取消・未約定含む）」と「ログイン履歴」の確認を省略していないか
   見る場所：各口座の「注文照会」「ログイン履歴」等。認証設定は「入口の鍵」として維持しつつ、口座内部で意図しない動きがないかは履歴画面で直接確かめます。
2. 確認2：スマホアプリやWeb画面だけでなく、「PC用取引ツール」など別経路のログイン設定・取引暗証番号を確認したか
   見る場所：証券・金融サービスの「セキュリティ設定」「ログイン制限設定」。普段使わないログイン経路が有効なままになっていないかを確認します。
3. 確認3：レンタルサーバー（VPS等）上で自動売買や取引ツールを動かしている場合、クラウド事業者の最新続報を確認したか
   見る場所：利用中のクラウド事業者の公式お知らせページ。お名前.com デスクトップクラウドを利用している場合は、第3報・第5報の依頼（本サービス以外の端末からのパスワード変更、ログイン中の全セッション切断、取引履歴と残高の確認、二要素認証の設定）に従い、第4報の補償・代替サービスの案内（公式ページと登録メール）を確認します [2]。
4. 確認4：「どうせ防げない」と誤解してセキュリティ設定を弱めず、他社サービスとのパスワード使い回しを解消したか
   見る場所：ブラウザやスマートフォンのパスワード管理画面。特に金融口座やメインのメールアドレスには、他社と重複しない固有のパスワードを設定します。