※この記事には広告・紹介リンクを含みます。
※冒頭の会話は、わが家の実際のやりとりをもとに再構成しています（脚色あり）。登場するのは、父（私）・母（妻）・息子の3人で、家族をモデルにしたハムスターのキャラクターで描いています。
それで、わが家で見直したのは次の3つです。証券口座の乗っ取りに備えるなら、どの家でもこの3つから始められます。
- パスワードを長くして、使い回さない
- Apple と Google のアカウントを守る
- パスワードを管理アプリに任せて、家族で分ける
2026年10月、Apple と Google のアカウントを乗っ取られて証券口座が狙われる事例について、証券会社から注意喚起が出ました。私は400個以上のパスワードを「1Password」で管理しているので、報道を受けて見直したことと、家族での使い方を書きます。
この記事では、報道の中身と、見直した3つの対策、そして1Password の限界と、助けになることを書きます。情報は2026年10月17日時点です。
証券口座の乗っ取りは、どんな報道だった？
2026年10月に出た注意喚起
| 日付 | 会社 | 内容 |
|---|---|---|
| 2026-10-02 | SBI証券 | Google・Apple のアカウントが乗っ取られ、クラウドに保存されたパスキーやパスワードのメモが悪用されて、証券口座に不正にログインされる事例に注意するよう呼びかけ |
| 2026-10-06（10-14更新） | SMBC日興証券 | Apple Account・Google アカウントの流出等についての案内。2段階認証の設定や、登録している端末の確認などを案内 |
| 2026-10-08 | SBI証券 | 現時点で SBI証券の証券口座での被害は確認されていない、と説明 |
⚠️ SBI証券の10-02の注意喚起は、日本証券業協会が会員向けに出した通知にある、他の証券会社で報告された事案が根拠でした。SBI証券は、現時点で自社の証券口座での被害は確認していないと説明しています。
出典：SMBC日興証券の案内、報道（@IT、セキュリティ対策Lab）。SBI証券の発表は報道を通じて、2026年10月17日に確認しました。
何が狙われたのか
報じられた流れは、次のとおりです。
- 本物そっくりの偽の案内（フィッシング）で、Apple や Google のアカウントの情報を盗まれる
- そのアカウントのクラウド（ネット上の保管場所）に保存されたパスキー（パスワードの代わりになる新しいログイン方法。顔や指紋で本人確認をします）や、パスワードのメモが悪用される
- 証券口座に不正にログインされる
報道では、「パスキーそのものが破られた」とは伝えられていません。たとえるなら、家の鍵が壊されたのではなく、鍵をしまっていた金庫の鍵を盗まれたようなものです。
つまり、証券会社の守りが固くても、鍵を預けているアカウントを破られると、預けた鍵が使われてしまう可能性があります。
証券口座の乗っ取りに備える対策は？見直す3つ
SMBC日興証券などの案内と、私がやったことを分けて書きます。
対策1：パスワードを長くして、使い回さない
SMBC日興証券の案内にも、複雑なパスワードにして、ほかのサービスと使い回さないことが挙がっています。
私は、登録するサイトごとにパスワードの最大の桁数が決まっているので、その最大の桁数でパスワードを作っています。パスワードが60桁まで使えるサイトなら60桁、16桁までなら16桁です。記号が使えるなら、記号も必ず入れます。
人間の手打ちで100桁は、見て打っても気が遠くなります・・・。サイトごとに別々にするなら、なおさら覚えられません。これが対策3につながります。
対策2：Apple と Google のアカウントを守る
今回の報道で狙われたのは、このアカウントです。SMBC日興証券の案内では、次のことが挙がっています。
- 2段階認証を設定する（パスワードのほかに、もう1つ確認を入れる仕組みです）
- 登録している端末を確かめ、使っていない端末は外す
- フィッシング（偽の案内）や SMS に注意し、不審なリンクは開かない
- 登録しているメールアドレスを、ときどき確認する
証券口座の側にも、2段階認証やログイン通知などの設定があれば、あわせて見直します（会社によって名前や設定が違います）。画面の操作は、各社の公式の案内で確かめてください。不審なログインや取引に気づいたら、すぐに口座のある証券会社へ連絡します。
私がやっているのは、ほかのサイトへのログインに、こうしたアカウントを使わないことです。Amazon のアカウントでログインできるサイトもありますよね？ それ以外にも、Google や Apple のアカウント、Facebook などのアカウントで、ほかのサイトにログインできます（「Google でログイン」などのボタンです）。私はそれをしていません。そのアカウントを乗っ取られたら、それ経由でログインしているサイトも被害に遭うと思うからです。
ただし、この機能にはサイトごとのパスワードが要らなくなる良さもあります。使う場合は、元のアカウントの2段階認証を必ず設定しておきます（私の考えです）。
対策3：パスワードを管理アプリに任せて、家族で分ける
パスワード管理アプリは、たくさんのパスワードをまとめて安全にしまい、必要なときに自動で入力してくれるアプリです。
これを使うと、長くて別々のパスワードを覚えなくてよくなります（対策1）。さらに、ログイン情報をしまう場所を、Apple や Google のアカウントだけにしなくて済みます。
私が使っているのは「1Password」です。次の章で、限界と、助けになることを正直に書きます。
1Password は証券口座の乗っ取り対策になる？
乗っ取りそのものを止める道具ではありません。 ただ、被害を広げにくくする仕組みがあります。
1Password では止められないこと
- 偽サイトに自分で入力してしまうこと。 本人が偽サイトに入れてしまえば、管理アプリを使っていても守れない場合があります
- サービス側から情報が漏れること。 証券会社や通販サイトが攻撃されて漏れるのは、利用者には止められません
1Password が助けになること
- 使い回しをやめられる。 サイトごとに別の長いパスワードを作って自動入力するので、1つ漏れても、ほかのサイトに広がりにくくなります
- 漏えいに気づける。 「Watchtower」という機能が、情報が漏れたサイトで使っているパスワードを知らせてくれます（→ 「1Password」で侵害されたウェブサイトを調べる方法とWatchtower機能）
- サインインに、もう1つ鍵が要る。 1Password には「シークレットキー」があり、アカウントのパスワードとあわせてデータを守ります。新しい端末で初めてサインインするときに必要で、サインイン済みの端末と、次の節の「Emergency Kit」に保存されています（1Password サポートの説明）。つまり、新しい端末からは、アカウントのパスワードだけではサインインできない仕組みです
シークレットキーの控えを持っておく
シークレットキーは、パスワードを忘れたときの代わりにはなりません忘れたときにサインインできるようにする鍵ではない、と公式が書いています。
公式は、シークレットキーなどが入った PDF「Emergency Kit（緊急キット）」を、次のように保管するよう案内しています。
- 印刷して、金庫など安全な場所にしまう
- 個人のクラウドストレージに保存する
- 配偶者など、信頼できる人に渡す
私の考えですが、サインイン済みの端末が1台も使えなくなったときのために、1Password の外にも控え（たとえば紙に印刷したもの）があると安心です。クラウドに置くなら、そのクラウドのアカウントを守ること（対策2）が前提になります。
アカウントのパスワードを忘れたときは、回復コード、またはファミリープランなら家族の管理者（オーガナイザー）に頼む方法があります（公式の案内）。それでも入れないときは、1Password のサポートに相談します。
私の家族は、1Password をどう使っている？
家族での分け方
- 息子は、自分で使いこなしています
- 妻は、ID とパスワードの登録（一番最初）を、私と一緒に入力します
- 家族3人で共有するものと、夫婦だけのものに分けています。夫婦だけのものは金融資産などで、万一のことがあった場合でも大丈夫なようにしています
パスワード自体は、私も妻も覚える必要がありません。妻が使えるところまで一緒に設定すれば、あとはネット通販での買い物なども、妻が1人でしています。
1Password のファミリープランでは、パスワードを入れる「保管庫」を分けて、家族と共有できます。料金と招待のしかたは、1Password ファミリープランの記事にまとめました。
自宅サーバーではなく、1Password を選んだ理由
私は自宅サーバー（Unraid。家に置いて、自分で管理しているサーバー）を使っています。パスワードの管理を自宅サーバーでやる方法も考えましたが、サーバーが落雷や洪水などの天災で私の手に負えなくなったとき、すべてのパスワードに入れなくなります。そのため 1Password にしました。
金融資産など、なくすと取り返しのつかないものが多いので、お金を払ってでも安心を買うことにしました。
家族のパスワード管理を始めるには？
Apple や Google にも、無料のパスワード管理の機能があります。私の考えでは、家族みんなが同じ会社の端末で、パスワードをしまうだけでよいなら、それで足りることもあります。ただ、今回狙われたのがそのアカウントなので、使うなら先に対策2（2段階認証など）をすませてください。
一方で、「鍵をしまう場所を Apple・Google のアカウントだけにしたくない」「家族で保管庫を分けたい」という方には、1Password が向いています。
インストールと最初の設定は 1Password のインストールと初期設定 にまとめました。
日本で買うなら、ソースネクストの3年版があり、販売ページでは「公式サイトより安い」と案内されています。価格は時期や為替で変わるので、買う前に公式サイトと見比べてください。買い方は 「1Password 3年版」をお得に利用する方法 で紹介しています。
▶ 1Password 3年版の販売ページを見る（ソースネクスト）
▷ 月払いなどで試したい方は 1Password 公式サイトへ
証券口座の乗っ取り対策のまとめ
- 乗っ取りに備えて見直すのは、①パスワードを長くして使い回さない ②Apple・Google のアカウントを守る ③管理アプリに任せて家族で分けるの3つ
- SBI証券は、現時点で自社の証券口座での被害は確認していないと説明しています（2026-10-08）。注意喚起は、他の証券会社の事案が根拠でした
- 1Password は乗っ取りを止めるものではなく、使い回しをなくして被害を広げにくくするものです。サインインには、シークレットキーというもう1つの鍵も使います
- シークレットキーの控え（Emergency Kit）は、1Password の外にも持っておくと安心です
▶ 1Password 3年版を買う（ソースネクスト）
▷ 1Password 公式サイトへ
この記事を書いた人
※この記事は、私の体験や記録をもとに、AI（Claude）に下書きを手伝ってもらって作成しています。報道や公式ページの内容は、2026年10月17日にAIが確認しながら書きました。アイキャッチ画像と家族のキャラクターのイラストは AI（Google Gemini）、図は Claude が作成しています。
※個人の体験の紹介で、セキュリティを保証するものではありません。各社の最新の案内もご確認ください。
