SBI証券やSMBC日興証券などの大手ネット証券各社が、証券口座への不正侵入の疑いについて注意を呼びかけています。顔認証や指紋認証を利用する「パスキー」は、フィッシング詐欺を防ぐ次世代の認証方式として導入が進んでいますが、これを利用している口座が狙われています。攻撃者は、利用者のApple AccountやGoogleアカウントを乗っ取ることで、そこに保存されているパスキーを悪用し、証券口座へ不正ログインを行っている疑いがあります。2025年以降、証券口座への不正アクセス被害は急増しており、改めて警戒が強まっています。
今回の事案では、パスキーの仕組み自体が破られたわけではありません。問題は、パスキーを複数の端末で同期するために、AppleやGoogleのクラウド上に保存している仕組みにあります。大元となるクラウドアカウントがフィッシングなどで窃取されると、そこに保管された証券口座のパスキーもまとめて第三者の手に渡ってしまうのです。証券会社のシステムを直接狙うのではなく、利用者の端末と連携するクラウドサービスを標的に変えるという、新たな攻撃構造が浮き彫りになっています。高度な認証を導入していても、管理の脆弱性がリスクとなります。
生体認証を活用したパスキーは非常に強固な技術ですが、その鍵を管理するAppleやGoogleなどのアカウント管理が極めて重要であることが分かりました。パスキーだけに頼るのではなく、大元となるクラウドアカウント自体のセキュリティ対策を徹底し、多層的な防衛を意識することが、大切な資産を守るための鍵となります。