個人事業主（一人親方）が綴る、ねこ丸ブログへようこそ。
脱サラ家庭の内部事情を、夫婦で執筆しております。
個人事業主の私たちには、老後のお金を用意してくれる会社がありません。
毎月の売上に一喜一憂しながら、少しずつ蓄えているお金です。
それを、知らない誰かに一瞬で持っていかれたら…。
でも、ほんの少し前までの私は、「自分は大丈夫」と思っていました。
この記事は、その考えをひっくり返された私の、セキュリティ総点検の記録です。
なお、私はセキュリティの専門家ではありません。
自分で調べて、できることを一つずつやってみた記録です。
一生懸命調べましたが、言葉や説明が不正確なところがあるかもしれません。
ご容赦願います。
また、この記事は2026年10月時点の情報です。証券会社の守りの仕組みや補償は、これからも変わる前提で読んでください。
もし今、被害にあったかもと不安な方は、先に被害にあったら、どこに連絡する？をご覧ください。
セキュリティ対策でできること・できないこと
まず、自分でできることを、どこで設定するかで4つに分けてみました。
上から順に、外側の守りです。
※お使いのサービスや機種によって、設定できる内容はちがいます。
どれも、自分で設定できることです。
このあとの「セキュリティ総点検」で、①〜④の順に、私がやったことを書いていきます。
つぎに、最近のニュースを見て、被害の原因を2つに分けてみます。
- A：サービスを提供する会社側からの情報漏えい
- B：自分の操作によるもの
Aは、私たち利用者には防ぎようがありません。
できるのは、漏れたときの被害をなるべく小さくすること。
その代表が、④のパスワードの使い回しをしないことかなと思います。
情報漏えいは防げない。でも、広げないことは自分でできる。
Bは、主にフィッシング詐欺です。
詐欺メールから、知らないうちに偽のサイトへ誘導され、自分でパスワードを入力してしまうケースです。
金融庁も、偽のサイト（フィッシングサイト）などで盗まれたIDやパスワードによる被害に、注意を呼びかけています。
《参照：金融庁 インターネット取引サービスへの不正アクセス・不正取引にご注意ください》
このケースでは、証券口座のアカウントを丸ごと奪い取られ、犯人がやりたい放題になる可能性もあります。
めちゃくちゃこわいと思いました。
でも、①〜④をやることで、かなり減らせると思います。
フィッシング詐欺対策の中でも、とくに今推奨されているのが「パスキー」です。
金融庁も、証券会社でパスキーなどの強い認証が始まったら、すぐに設定するよう呼びかけています。
《参照：金融庁 インターネット取引サービスへの不正アクセス・不正取引にご注意ください》
パスキーにしたら安心？
そもそも「パスキー」ってなに？
パスキーは、スマホなどの中にしまった「鍵」でログインする仕組みです。
パスワードを打ちこまず、偽のサイトには反応しないので、盗まれにくいとされています。
ここで、ひとつ私が勘違いしていたことがあります。
生体認証とパスキーは、ちがいます。
私は、ずっと同じものだと思っていました。
顔や指紋は、その鍵を使っていいか、スマホやパソコンが本人確認するためのものです。
顔や指紋の情報そのものが、証券会社に送られるわけではないそうです。
本人確認には、顔や指紋のほか、端末の暗証番号（PIN）が使われることもあります。
私も証券口座に設定して、ひと安心していました。
と思いきや。
鍵の保管場所そのものの乗っ取りニュースが。
パスキーにしただけでは、安心とは全然言えませんでした。
2026年10月2日、SBI証券が注意を呼びかけました。
GoogleやAppleのアカウントが乗っ取られ、そこに保存されていたパスキーなどが悪用された疑いのある例がある、という内容です。
10月6日には、SMBC日興証券も同じような注意を出しています。
《参照：＠IT／SMBC日興証券 お知らせ》
ここで気をつけたいのは、今回の注意喚起は、パスキーの仕組みそのものが破られたという話ではない、ということ。
狙われたのは、パスキーをしまっている場所。
GoogleアカウントやApple Account。
犯人は、偽のサイトに誘いこみ、鍵を盗んだわけではありません。
鍵の保管場所に入りこんで、本物の鍵を使った疑いがある、ということです。
どうやって保管場所に入られたのかは、公表されていません。
ただ、SMBC日興証券は、次の3つに注意するよう呼びかけています。
- AppleやGoogleを名乗る偽のメールやSMS
- 身に覚えのないログイン通知の承認
- パスワードの使い回し
なお、SBI証券は8日、ほかの証券会社で報告された例を受けた注意だと説明し、自社の口座での被害は確認されていないとしています。
そうなったら、お手上げです。
これは会社のシステムから漏れたのではなく、利用者のアカウントが狙われたケースなので、自分でも対策がとれます。
そうならないように、アカウントの守りを最大限に強化しました。
アカウントが乗っ取られても、鍵を持ち出されないようにする方法もあります。
クラウドで同期しない「端末固定のパスキー」や、USBなどでつなぐ「セキュリティキー」を使う手もあるそうです。
ただ、その端末やキーをなくすとまじで厄介らしいので、慎重に。
パスキーは丈夫な鍵です。
ただ、その鍵をどう管理するか、保管場所をどう守るかは、使う私しだいでした。
痛感したパスワード使い回しのやばさ
連日の騒動に背中を押されて、私は自分のパスワードを一つずつ見直すことにしました。
いわば、パスワードの棚卸しです。
そう思って行動し始めた矢先。
使っているサービスのひとつから、情報漏えいのお知らせが届きました。
漏れた情報は、お金に直接つながるものではありません。
それでも、通知を見た瞬間、手が止まりました。
たいした情報でなくても、こんなにあせる。
これがお金の口座だったら、たぶん頭が真っ白になっていました。
通知には「パスワードを変えてください」と書かれていました。
ところが、そのサイトがつながりにくくて、すぐには変えられません。
会社の側ですぐに手を打ってくれていたようで、つながるようになってから、あらためて設定し直しました。
ただ、それで守れるのは、漏れた会社のサービスだけです。
漏れたと分かって、その知らせが私たちに届くまでには、時間がかかります。
その間、ほかのサービスは無防備のまま。
最初の章で書いたように、会社から漏れるケースは、利用者がどんなに頑張っても防げません。
でも使い回していなければ、漏れたパスワードで、ほかのサービスに入られるおそれはぐっと減らせます。
逆に、同じパスワードを使い回していたら、ほかのサービスまで、気づかないうちに一網打尽にされるおそれが高まります。
（ただ、漏れたのがメールアドレスや電話番号なら、それを使った詐欺メールなどには引き続き注意が必要です）
セキュリティ総点検
冒頭で整理した①〜④の順に、私がやったことを書いていきます。
①証券会社などサービスの設定
セキュリティをどこまで強化するかは、自分の使い方しだいです。
便利さとセキュリティの高さは、引きかえの関係だと思います。
まず、証券口座は、パスキーを設定したうえで、パスワードでのログインを止めました。
※2026年10月時点では、証券会社によって、パスキーを作ると自動でパスワードのログインが止まるところと、
自分で「無効にする設定」が必要なところがあります。
パスワードでログインできる道が残っていると、盗まれたパスワードで入られるおそれが残ります。
パスワードの道をふさいで、パスキーだけにする。
不便に感じるところが守りになっているので、すでに無効にしたパスワードは、変えなくてもいいと私は思います。
ただ、そのパスワードをほかでも使い回していた場合は、万が一のとき、ほかのサービスで不都合が生じます。
ほかのサービスのパスワードは、すべて変更することをお勧めします。
証券会社には、パスキーのほかにもできることがあります。
出金や取引、使わないアプリを、自分で止めておける機能です。
万が一乗っ取られても、犯人がお金を動かせない状態にしておくのに役立ちます。
（止められる内容は、会社によってちがいます）
私は、出金と使わない取引、アプリを止めて、投資信託の積立はそのまま続けています。
ただ、売りたいときや出金したいときは、先に解除の手続きという手間がかかります。
ここで、セキュリティをやみくもに強化した、私の失敗談をふたつ。
ひとつめ。
パスキーを誤って消してしまい、ログインできなくなりました💦
戻すには、電話で手続きをしてもらう必要がありました。
でも受付は平日の日中で、仕事やなんやらの兼ね合いで、なかなか電話をかけられません。
急ぎの困りごとではありませんでしたが、入れないままでいるのは落ち着かないものです。
時間を見つけて電話をかけ、今は元どおりに戻しています。
ふたつめ。
解除の条件を確かめないまま、あせって強いロックをかけてしまいました。
いざ解除しようとしたら条件を満たせず、混雑する問い合わせの電話に、えんえんと時間を費やしました💦
強い守りは、自分を締め出すこともあります。
しかも、手が離せない仕事をしていると、戻すのにも時間がかかります。
これは証券会社だけでなく、どのサービスにも言えることです。
セキュリティを強くするほど、不便さも強くなる。だから、自分の使い方を知ってからかける。
止められる範囲や、解除のしかたは、サービスごとにちがいます。
かける前に、自分の口座の公式の案内で、解除の条件まで確かめてみてください。
②アカウントとパスワード管理アプリの設定
GoogleやAppleのアカウントは、たいていの人がどちらかを使っていると思います。
メールも写真も、人によってはSNSやサイトの登録も、なにもかもを日常的に結びつけているもの。
アカウントは、とても大事な個人情報の宝庫と言ってもいいです。
それに、個人事業主は、スマホやアカウントを仕事とプライベートで兼ねている人も多いと思います。私たちも、そうです。
もしここで乗っ取りなどのトラブルが起きたら、自分のお金だけでなく、取引先にまで迷惑をかけるかもしれません。
だからこそ、ちゃんとしておかないといけないと感じています。
先ほど書いたとおり、パスワードをGoogleやAppleで管理していたら、そのアカウント自体がパスキーのしまい場所になります。
なので、アカウントは絶対に死守したい存在です。
ここでは、「アカウントそのもの」と「パスワードの管理」に分けて書きます。
GoogleやAppleのアカウント
まず、アカウントの設定を徹底しました。
やったのは、次の7つです。
- 二段階認証をかけた
- 再設定用の電話番号とメールアドレスが、今のものか確かめた
- ログイン中の端末に知らないものがないか確かめ、古いものは消した
- Googleアカウントを「高度な保護機能プログラム」に登録した
- 万が一のために、パスキーを登録しているデバイスを追加した
- Googleアカウントにログインするときも、パスキーを使うようにした
- セーフブラウジングの「保護強化機能」をオンにした
※Googleでは、「セキュリティ診断」で、おすすめの設定をひと通り点検しました。
ただ、Googleアカウントは、パスキーを作ってもパスワードでのログインは残ります（2026年10月時点）。
その道までふさぐのが「高度な保護機能プログラム」です。
登録すると、パスワードだけではログインできなくなり、パスキーかセキュリティキーが必要になる、とても強い守りです。
注意点は、守りが強いぶん、端末をなくしたときなどは自分も入りにくくなることです。
機種変更のときは、前もって、新しい端末でもログインできる手段（予備のパスキーやセキュリティキー）を用意しておくと安心です。
解除は、ログインしている端末の設定からできます。
登録する前に、公式の案内で、保護機能の内容と条件をしっかり確かめておきましょう。
《参照：Google アカウント ヘルプ パスワードの代わりにパスキーでログインする／Google アカウント ヘルプ 高度な保護機能プログラム》
なお、私はGoogleを使っているのでGoogleの話が中心になりましたが、Apple Accountにも近い設定があります。
2ファクタ認証や、信頼できる家族を登録する「復旧用連絡先」、サインイン中のデバイスの確認などです。
高度な保護機能プログラムに近いものとしては、物理的な「セキュリティキー」を登録する方法があります。
ただ、キーを2本以上用意する必要があり、キーと端末をすべてなくすと締め出されるおそれもあるので、慎重に。
《参照：Apple サポート 復旧用連絡先／Apple サポート Apple Accountのセキュリティキー》
パスワードの管理
パスワード管理アプリは、IDとパスワードをまとめて覚えておいてくれる仕組みです。
GoogleやAppleなら「Google パスワード マネージャー」やAppleの「パスワード」アプリ（iCloudキーチェーン）、専用のものなら「1Password」「Bitwarden」「Keeper」「NordPass」などがあります。
これまで私は、GoogleやAppleのパスワード管理機能を、なんとなーく使っていました。
自動で現れ、自動で入力してくれるので、楽だったからです。
でも、Googleのアカウントが乗っ取られたら、そこに預けたパスワードやパスキーまで悪用されるおそれがあります。
卵を全部、一つのかごに入れていたことに気づきました。
そこで、パスワードの管理は、専用のパスワード管理アプリに分けることに。
ただ、乗り換えはちょっと手間でしたね。
専用のアプリは初めてで、ひと苦労。
結局、数日がかりの作業でした。
ですが、使い始めた今は、とても快適です。
GoogleやAppleのものにも、多くの専用のパスワード管理アプリにも、次のような機能があります。
私は、専用のパスワード管理アプリでこの3つを使っています。
- 自動入力：ログイン画面で、IDとパスワードを入れてくれる
- パスワードの自動作成：新しく登録するとき、強いパスワードを作ってくれる
- パスワードのチェック：使い回しや弱いもの、漏れたものを教えてくれる
自動入力には、思わぬ守りの効果もあります。
偽のサイトは住所（URL）がちがうので、基本的にパスワードが自動で入りません。
「あれ？入らない」が、偽物に気づくきっかけになります。
フィッシング詐欺の対策にも役立ちます。
ひとつ気をつけたいのは、専用のパスワード管理アプリは、GoogleやAppleとは別のアカウントだということ。
金庫を別途作ったなら、その金庫の鍵は、また別に固める必要があります。
パスワード管理アプリのほうでは、ほかにこの3つをやりました。
- アプリを開く合言葉を、長くて使い回さないものに
- 二段階認証を設定
- 締め出されたとき用の控えを保管
専用のパスワード管理アプリは、締め出されたときがこわいかもしれません。
アプリによっては、合言葉を忘れると、運営している会社でも元に戻せないそうです。
だから控えは、スマホやパソコンの中だけでなく、手元にも置いておくと安心です。
なお、Googleにまとめること自体が悪いわけではありません。私の場合は、分けておきたかっただけです。
新しいアプリにしたから安全、というわけでもありません。
今度はそのアプリの合言葉が、全部の鍵になります。
しまい場所を分ければ、そのぶん管理の手間も増えます。
どこにしまっても、守りの要は自分です。
③スマホやパソコンも、鍵のひとつ
パスキーを使うとき、鍵を開けるのは手元のスマホです。
スマホをなくしたり盗まれたりしたら、そこが入口になりかねません。
スマホでは、次の設定をしています。
- ロックは、顔か指紋、強いパスコードで開ける形にする
- なくしたときに、場所を探せる設定をオンにする
- いつもの場所の外で大事な設定を変えるときは、顔か指紋の確認が必要になる設定をオンにする
- 本体やアプリを、常に最新にしておく
- Wi-Fiルーターも最新にアップデート
- 古い機種は、アップデートが終わっていないか確かめる
iPhoneでは、2つ目が「探す」、3つ目が「盗難デバイスの保護」という名前の設定です。
《参照：Apple サポート 盗難デバイスの保護》
設定の名前や場所は、スマホの機種によってちがいます。
「機種名＋設定の名前」で調べると、やり方が見つかります。
④自分の習慣
ココが今回一番言いたいところです。
最も危なっかしいセキュリティの穴は、自分自身。
道具や設定がどれだけ優秀でも、使う私がミスをしたら効果は台無し。
なので、ミスを最大限減らすために、習慣が大事です。
習慣にするべきひとつめは、パスワードを使い回さないこと！
今回の総点検で、いちばん時間がかかった「厄介な存在」は、
過去の自分が決めてきた「てきとーなパスワード」です！
パスワードの棚卸しで見つかったのは、大きく分けてこの4つです。
- 同じパスワードの使い回し
- 少しだけ変えた、似た型のパスワード
- 短くて単純なパスワード
- 存在を忘れていた、古いアカウント
一覧を上から見ていくうちに、だんだん気が滅入ってきました…💀
古いアカウントの中には、もう何年も開いていないサイトまで。
ちょっと、なつかしくなりました。（笑）
でも、なつかしがっている場合ではありません。
登録している場所が多いほど、狙われる入口も増えます。
もう使わないものは退会し、残しておきたいものはパスワードを変えました。
パスワードを軽く見て雑に扱っていた、自分のツケです。
大いに反省しました。
パスワード管理アプリは、使うものにもよりますが、使い回しや弱いパスワードを教えてくれます。
どこを直せばいいか分かりやすいですよ。
こんな思いはしたくないので、今はパスワードの自動生成をしっかり使っています。
もうひとつの習慣が、偽のサイトに入らないこと。
どんなに設定を固めても、偽のサイトに自分で入力してしまえば、それまでです。
しかも今の偽物は、AIなども使われて、本物そっくりにできています。
私には、見分ける自信がありません。
だから、見分けようとしないことにしました。
見分けようとしない。最初から、リンクを踏まない。
パスキーもすべてのサイトにあるわけではありませんしね。
今の私が、手グセにしようとしていることはこの5つです。
- どのサービスでも、ブックマークか公式アプリから入る
- 公式のストア以外から、アプリやダウンロードをしない
- メールやSMSのリンクは開かない。友達や家族からでも、なりすましを疑う
- 「パスキーを登録し直してください」という案内こそ、いったん疑う
- 急かしてくるメールほど、いったん閉じて公式サイトで確かめる
金融庁も、見覚えのある相手からのメールやSMSでも、リンクを開かないよう呼びかけています。
最近は、AIで家族の声をまねて電話をかけてくる手口もあるそうです。
私たちは、万が一のときのために、家族だけの合言葉を決めました。
メールも、Gmail一本にしぼりました。
Googleは2024年に、迷惑メールやフィッシングなどの99.9%以上が受信箱に届かないようにしている、と説明しています。
そもそも怪しいメールが届かなければ、自分で見分ける場面も減ります。
面倒で後回しにしていた過去の私に、喝を入れたいです。
引っかかった人が悪い、という話ではありません。
引っかかるほどよくできているから、踏まない習慣で身を守る。
私はそう考えています。
①から③は、一度設定すれば、あとは見直すだけです。
でも④だけは、毎日のことです。
どれだけ外側を固めても、最後に扉を開けるのは自分自身でした。
被害にあったら、どこに連絡する？
まずは、自分の証券会社などのサービスの窓口です。
身に覚えのないログインや取引に気づいたら、すぐに証券会社へ連絡して、パスワードなどを変えます。
そのうえで、警察にも相談します。
どこに相談すればいいか迷ったときは、次の窓口があります。
電話番号や受付時間は変わることがあるので、それぞれのページで確かめてください。
補償についても、ひとこと。
2025年5月、大手の証券会社10社は、一定の補償をすると申し合わせました。
ただし補償は、被害の状況や、IDやパスワードの管理の状況などを見て、一件ずつ決まります。
つまり、必ず全額が戻るとは限りません。
雑なパスワード管理をしていれば補償の判断で不利になることも、ありえます。
日ごろの管理が、いざというときにもいきてきます。
《参照：ScanNetSecurity》
補償の内容は会社や時期によってちがうので、各社の公式の案内でご確認ください。
まとめ｜「自分は大丈夫」がいちばん危ない
セキュリティを見直す前の私は、こう思っていました。
パスキーにしたから、大丈夫。
あやしいリンクは押さないから、大丈夫。
私の情報なんて、狙われるほどのものじゃないから大丈夫。
どれも、根拠のない「大丈夫」でした。
自分の油断となまけ心こそが、一番厄介でやばい。
そう気づいた今、頭に置いているのはこの2つです。
- 自分の情報は、もうどこかで漏れている
- これで安心と思わず、最新の情報を得る
これを頭にたたきこんで、習慣にするのが、今の私の課題です。
収入が読めない私たち個人事業主の老後を守るのは、最後は自分の意識です。
どの証券会社を選ぶかで迷っている方は、証券会社はSBIと楽天どっち？投資初心者の個人事業主が王道を選ぶ理由に、私の考えを書いています。
それではみなさま、ご安全に！
※注意・免責※
この記事は、私自身の体験と、私が調べた範囲の情報をもとに書いています。記憶にもとづく部分もあります。安全のため、使っている証券会社やパスワード管理アプリの名前、設定の細かい内容は書いていません。情報漏えいの体験は、個人やサービスが特定されないよう、一部をぼかしています。
正確な情報の掲載に努めていますが、内容の正確性・最新性を保証するものではありません。制度や料金は変わることがあるため、お手続きの前に公式サイトや窓口で最新の情報をご確認ください。
証券会社の注意喚起・機能・補償についての内容は、執筆時点（2026年10月）の公表情報や報道にもとづいています。設定の内容や手順、補償の条件も、今後変わることがあります。
筆者はセキュリティの専門家ではなく、この記事は自分で調べて実際に設定した内容の記録です。設定の名前や仕組みの説明は、私の理解の範囲で書いています。正確な名前や手順は、お使いのサービスの公式の案内でご確認ください。スマホやアカウントの設定の名前・場所は、機種や時期によって異なります。この記事で紹介した対策は、不正アクセスや不正取引の被害を完全に防ぐものではありません。また、特定の証券会社やサービスの安全性を比べたり、評価したりするものではありません。
iPhone商標は、アイホン株式会社のライセンスにもとづき使用されています。
被害の心配がある場合は、記事の内容で判断せず、すぐにご自身の証券会社の窓口や、公的な相談窓口にご相談ください。
