※この記事には広告・紹介リンクを含みます。
パスキーは、やめなくて大丈夫です。 2026年10月に報じられた証券口座の乗っ取りでは、報道によると、狙われたのはパスキー（パスワードの代わりになる新しいログインの方法）そのものではなく、パスキーを保存していた Apple や Google のアカウントとされています。
我が家にも、この「パスキーも突破される」という動画が、息子から LINE で届きました。
※ここからの会話は、わが家の実際のやりとりをもとに再構成しています（脚色あり）。登場するのは、父（私）・母（妻）・息子の3人で、家族をモデルにしたハムスターのキャラクターで描いています。
家族全員の証券口座が、ID とパスワードではログインできない設定になっていることを確かめました。
我が家は、パスキーを作れるところはすべてパスキーにして、1Password で管理しています。この記事では、次の3つを順に書きます。
- 証券口座に、パスワードではログインできないようにする（できているかの確かめ方も）
- パスキーをどこに保存するかを選ぶ
- 保存する場所のアカウントを守る
パスキーも突破されるって本当？
パスキーは、作ったサイトでしか使えない鍵
パスキーでログインするときは、スマホやパソコンの指紋・顔・PIN（端末のロックを外すときの暗証番号）で本人確認をします。
パスキーには、パスワードにない強みがあります（Google の説明）。
- 作ったサイトでしか使えません。 本物そっくりの偽サイト（フィッシング）に誘われても、パスキーは偽サイトでは使えません
- サイトには「鍵穴」しか渡していません。 鍵そのものは自分の側にあるので、サイトから情報が漏れても、それだけでは鍵を作れません
- 指紋や顔のデータは、サイトに送られません
狙われたのは、鍵をしまっていた場所
報道によると、2026年10月2日に SBI証券が注意を呼びかけたのは、次のような流れでした。
- 偽の案内などで、Apple や Google のアカウントを乗っ取られる
- そのアカウントのクラウド（ネット上の保管場所）に保存されていた、パスキーやパスワードのメモ（メモアプリなどに書いたもの）が悪用される
- 証券口座に不正にログインされる
パスキーは、Apple や Google のアカウントのクラウドに保存しておくと、同じアカウントの別の端末でも使えて便利です。そのかわり、そのアカウントを乗っ取られると、保存してあるパスキーも使われてしまうおそれがあります。たとえるなら、鍵が壊されたのではなく、鍵をしまっていた金庫を開けられたようなものです。
なお、SBI証券は10月8日に、SBI証券の口座での被害は確認されていないと説明しています（報道による）。報道の詳しい中身は、証券口座の乗っ取り対策の記事 にまとめました。
SBI証券・楽天証券でパスワードのログインを止めるには？
パスキーを作っても、パスワードでもログインできるままだと、パスワードが盗まれたときに入られてしまいます。なので、パスワードでのログインを止められるかを確かめます。
各社の、パスワードのログインを止める設定
| 証券会社 | パスワードでのログインを止める方法 |
|---|---|
| SBI証券 | 「ログインパスワード無効設定」で、パスキーだけでログインする形にできます。パスキーを設定している人だけが使えます。パスワードでログインしようとされると、ログインが失敗し、ログイン通知のメールが届きます |
| 楽天証券 | 公式のお知らせでは、パスキーを作ると、パスワードではログインできなくなります。2026年6月以降、パスキーを順番に必須にすると案内されています（時期は人によって違います） |
（2026年10月18日に、SBI証券と楽天証券の公式のページで確認）
- SBI証券は、この設定をすると、アプリやツールのログインにも制限がかかる場合があります。設定の画面と注意点は、公式の案内で確かめてください
- 楽天証券は、どうしてもログインできないときに、パスキーを一時的に止めるとパスワードでログインできる方法も案内されています
- ほかの証券会社も、パスキーやログインの制限の設定があるか、公式の案内で確かめてください
- パスワードでのログインを止めても、偽サイトや偽のメールには引き続き注意が要ります
設定できているかは、パスワードでログインしてみれば分かる
設定できているかは、ふだんどおり ID とパスワードでログインしてみると分かります。パスキーだけの設定になっていれば、パスワードではログインできず、エラーが出たり、パスキーでのログインに案内されたりします。
SBI証券では、ID とパスワードでログインしようとすると、次のように表示されました。
ログインパスワードを無効とする設定（パスワード利用不可）となっております。パスキー認証でログインしてください。（LAR_000036）
楽天証券では、ID とパスワードでログインしようとすると、エラーではなく、パスキーでのログインの画面に案内されました（画像のログイン ID は黒く塗っています）。
お客様（ログイン ID）はパスキー作成済のため、パスキーでログインします。
家族の口座は、どれもパスワードではログインできない設定になっていました。
- 試すときは、ブックマークや公式のアプリから、本物のログイン画面を開いてください。メールや SMS のリンクから開いた画面では試さないでください（私の考えです）
- SBI証券では、パスワードでログインしようとすると、ログイン通知のメールが届きます
パスキーはどこに保存する？Apple・Google・1Passwordを比べた
3つの保存先の違い
パスキーの保存先は、主に次の3つです（2026年10月18日に各社のページで確認）。
| 保存先 | 主に使える端末 | 料金 | 保存する場所 |
|---|---|---|---|
| Apple のパスワード | iPhone・iPad・Mac | 無料 | Apple のアカウント |
| Google パスワードマネージャー | Android と、Chrome（パソコン、iOS 17 以降の iPhone など） | 無料 | Google のアカウント |
| 1Password | パソコンのブラウザ（拡張機能）、iOS 17 以降の iPhone、最新の Windows 11、Android 14 以降のアプリ | 有料 | 1Password のアカウント |
Apple と Google のものは無料で、すぐに使えます。Google のものは、Chrome を通じて Windows や iPhone でもパスキーを使えます。
大きな違いは、どのアカウントの中に保存するかです。Apple と Google のものは、今回の報道で狙われたアカウントの中に保存します。1Password は、Apple や Google とは別の 1Password のアカウントに保存します。
1Password は、新しい端末で初めてサインインするときに、アカウントのパスワードに加えて「シークレットキー」という長い鍵が要ります。シークレットキーは、サインイン済みの端末と、「Emergency Kit（緊急キット）」という PDF に入っています。なので、1Password のアカウントのパスワードを盗まれても、それだけでは新しい端末からサインインできない仕組みです。シークレットキーの控えの持ち方は、証券口座の乗っ取り対策の記事 に書きました。
我が家が1Passwordに保存する理由
我が家は、iPhone のほかに、Windows のパソコンなど、いろいろな端末を使っています。なので、パスキーもパスワードも、1Password にまとめています。
1Password は、家族の共有の保管庫（家族で一緒に使う、パスワードを入れる箱）にパスキーを入れて、家族で分けることもできます（1Password ファミリープランの記事）。我が家は、400個以上のパスワードを 1Password で管理していて、家族3人でファミリープランを使っています。
1Password の料金と、日本の販売会社ソースネクストの3年版がお得な理由は、1Password の料金の記事 で比べました。1Password は、まずは14日間の無料体験から始められます。
▶ 1Password 3年版の販売ページを見る（ソースネクスト）
パスキーが使えないサイトはどうする？
パスキーにまだ対応していないサイトもあります。そういうサイトでは、パスワードに加えて、2段階認証（パスワードのほかに、スマホに出る数字などでもう1回確かめる仕組み）を設定します。
我が家は、2段階認証までしか無いサイトも、1Password で管理しています。1Password は、2段階認証の数字（認証コード）もしまって、自動で入力できます。登録のしかたは、1Password で iPhone の2段階認証を設定する記事 にまとめました。
どのサイトがパスキーや2段階認証に対応しているかは、1Password の「Watchtower」が教えてくれます（Watchtower の記事）。
Apple と Google のアカウントは、何を見直した？
Apple と Google のアカウントは、いろいろなところで使っています。なので、パスキーを 1Password に保存していても、このアカウントは守っておきます。我が家が確かめたのは、次の3つです。
- パスワードが長く、記号入りになっているか
- 2段階認証を設定しているか
- パスキーを設定しているか
使っていない端末を外すなど、ほかの見直しは、証券口座の乗っ取り対策の記事 に書きました。
パスキーと1Passwordのまとめ
- 報道によると、狙われたのはパスキーそのものではなく、パスキーを保存していた Apple や Google のアカウント
- 証券口座は、パスワードでログインできない設定にする（SBI証券は「ログインパスワード無効設定」、楽天証券はパスキーを作るとパスワードでログインできなくなる）
- パスキーの保存先を選ぶ。違いは、どのアカウントの中に保存するか。我が家は、いろいろな端末を使うので 1Password
- 保存先のアカウント（Apple・Google・1Password）は、長いパスワードと2段階認証で守る
料金の比べ方は 1Password の料金の記事 をどうぞ。
▶ 1Password 3年版の販売ページを見る（ソースネクスト）
▷ まずは無料体験から試したい方は 1Password 公式サイトへ
この記事を書いた人
自宅サーバー歴は、Windows ホームサーバーの頃から約20年です。400個以上のパスワードを 1Password で管理しています。
※この記事は、私の体験や記録をもとに、AI（Claude）に下書きを手伝ってもらって作成しています。証券会社と 1Password の設定は、2026年10月18日に各社の公式のページで確かめました。アイキャッチ画像と家族のキャラクターのイラストは AI（Google Gemini）で作成しました。
