パスキーを設定していても不正ログインの疑い、各社が注意喚起

パスキーを設定していた証券口座にも、不正にログインされた疑いのある事案が出ている。パスキーは、フィッシング詐欺に強い認証としてネット証券各社が導入を進めてきた仕組みだ。

狙われたとみられるのは、証券会社のシステムではない。パスキーやパスワードを保管・同期するAppleのApple AccountやGoogleアカウントが第三者に乗っ取られると、そこに保存されたパスキーやパスワードのメモを使って証券口座へ入られるおそれがある。各社が警戒しているのは、この経路だ。

楽天証券は10月14日、他社でGoogleやAppleのアカウントのログイン情報が不正に取得され、証券口座への不正ログインや不正取引が行われた疑いのある事案があったと案内した。同社の口座では、現時点で被害は確認されていないという。SBI証券も、自社の口座での被害は確認されておらず、自社のシステムから情報が流れたものでもないと説明している。

ネット証券の注意喚起は、9月末から10月半ばにかけて続いた。

日本証券業協会も、アカウント情報の管理を徹底するよう呼びかけている。一方で、楽天証券などの案内は「他社」とだけ記しており、不正ログインの件数や実際に起きた日は、11月12日時点で明らかになっていない。

破られたのはパスキーではなく、保管先のアカウントとみられる

パスキーは、パスワードの代わりにスマホやパソコンの中にある鍵でログインする仕組みだ。サイト側に置かれるのは鍵の片割れだけで、盗まれて困る合言葉をサーバーに預けない。本物のサイトと結び付けて登録するため、偽サイトに誘導されても使われにくい設計になっている。

その暗号の仕組みが破られたと公表した会社や団体は、11月12日時点で見当たらない。各社も、自社のシステムへの侵入ではないと説明する。

警戒されているのは、鍵の保管場所だ。

パスキーには、1台の端末から外に出ないタイプと、クラウドを通じて複数の端末で使えるタイプがある。iPhoneのiCloudキーチェーンやGoogleパスワードマネージャーに保存されるのは後者で、機種を変えても同じパスキーをそのまま使える。便利な反面、保管しているアカウントそのものが乗っ取られれば、そこを足がかりに悪用されるおそれが出てくる。

IDとパスワードだけで必ず取り出せるわけではない

AppleとGoogleは、同期するパスキーを暗号化し、両社自身も中身を読めないようにしていると説明する。新しい端末で使い始めるときにも関門が用意されている。

AppleはiCloudキーチェーンを使うアカウントに2ファクタ認証を必須にしている。新しい端末をキーチェーンに加えるには、すでに使っている端末での承認か、アカウントのパスワードに加えて登録電話番号へ届くSMSへの応答と、端末のパスコードの入力が求められる。Googleも、新しい端末でパスキーを使い始めるには、Googleパスワードマネージャーの PIN か、Android端末の画面ロックの入力が要る。

アカウントのIDとパスワードを知られただけで、保存されたパスキーがすぐに取り出せるとは限らない。攻撃者がどの方法でアカウントを奪い、こうした関門をどう越えたのか。どの公式の案内にも、その説明は書かれていない。偽のパスワード変更メールやスマホの紛失もリスクとして挙げられているが、今回の事案でどの経路が使われたかは分かっていない。

顔や指紋が証券会社へ送られるわけではない

パスキーでログインするとき、顔や指紋での確認を求められることが多い。ただし、顔や指紋のデータそのものを証券会社へ送る仕組みではない。顔や指紋は、手元の端末で本人かどうかを確かめ、端末の中のパスキーを使ってよいか決めるために使われる。

生体認証が突破されたのではなく、パスキーを預けていたアカウントが乗っ取られたとみられている。ここを取り違えると、対策の方向も変わってしまう。

「パスキー登録済み」と「パスキーでログイン」は同じではない

もう一つ見落としやすいのが、パスキーを登録したことと、いつもパスキーでログインしていることの違いだ。ログイン時にパスキーを必須にする動きは各社で進むが、会社や時期によっては、パスワードでのログインが残る場合もある。

SMBC日興証券は、クラウドに保存したパスワードのメモも悪用の対象になり得ると注意している。楽天証券も、クラウド上に保存されたパスキーやパスワードが悪用されるおそれがあるとしている。証券口座のパスワードをメモアプリに書き残し、そのメモがクラウドで同期されていれば、アカウントの乗っ取りとともに中身を見られてしまう。パスキーを設定したからと安心し、古いパスワードのメモを放置していないか確かめておきたい。

パスキーは外さず、Apple・Googleアカウントの守りを固める

では、何を見直せばいいのか。

各社の案内に共通するのは、パスキーをやめることではなく、パスキーを預けているアカウント側を固めることだ。金融庁も、パスキー認証のようなフィッシングに強い多要素認証の必須化が進んでいるとして、使えるようになったら速やかに設定するよう呼びかけている。

不安だからといって、パスキーを消すのは逆効果になりかねない。SBI証券は、ログインパスワードの利用を制限している人が端末のパスキーを安易に削除すると、ログインできなくなると注意している。

各社が挙げる見直しの要点は次の通りだ。

2段階認証は、パスワードに加えて手元の端末に届く確認コードなどを求める仕組みで、パスワードを知られても他人がすぐにはログインできない。登録端末の一覧には、手放した古いスマホやタブレットが残っていることもある。SMBC日興証券も、不要な端末などの登録を消しておくよう勧めている。

偽の「パスキー再登録」連絡と、異変に気づいたときの連絡

気をつけたいのが、パスキーの話題に便乗した連絡だ。SBI証券と楽天証券は、パスキーの再登録を促すSMSやメール、電話の案内に従わないよう呼びかける。楽天証券は、こうした連絡は詐欺の可能性が高いとし、同社はセキュリティに関するメールにリンクを付けていないと説明している。

楽天証券は、偽サイトに情報を入力した覚えがなくてもリスクはあると注意する。アカウントの情報がどこかで漏れていれば、本人が気づかないうちに悪用されかねない。登録端末の一覧やログインの通知を日ごろから見ておくと、異変に早く気づける。

証券口座で身に覚えのないログインや取引に気づいたら、すぐに取引している証券会社へ連絡する。SMBC日興証券は、身に覚えのない取引があった場合はコンタクトセンターへ連絡するよう案内している。連絡先は、届いたメールやSMSに書かれた番号ではなく、証券会社の公式サイトや公式アプリで確かめたい。

パスキーの仕組みそのものの強さは変わらない。ただ、鍵をクラウドで持ち歩く以上、証券口座の守りはAppleやGoogleのアカウントの守りと地続きになる。設定画面を一度開き、2段階認証と登録端末を確かめるところから始めたい。

[文/構成 by MediaDogs編集部]