証券口座の不正取引から学ぶ、パスキーを入れるときのログイン設計
金融庁によると、証券会社のインターネット取引での不正取引は、2025年1月から2026年9月までに10,642件にのぼりました。業界はパスキーなどフィッシングに強い認証の必須化で応えました。証券会社以外のサービスがログインを見直すときに、この経験から持ち込めることを書きます。
「パスキーに対応したいが、ユーザーが戸惑って離脱しないか心配だ」という相談を受けることが増えました。
心配はもっともです。ただ、この一年半、日本で一番大きな規模でこの問題に向き合ったのは証券業界でした。数字も、業界のガイドラインも公開されています。証券会社でなくても、ログインの設計を考えるときの参考になります。
私はセキュリティの専門家ではなく、ログインや登録の画面を設計して実装する立場です。その目線で整理します。
何が起きたのか
金融庁の注意喚起のページでは、実在する証券会社を装ったフィッシングサイトなどで盗まれたログイン情報による、不正アクセスと不正取引の件数が公開されています。
2026年10月9日に更新された集計表によると、2025年1月から2026年9月までの合計で、不正アクセスは19,252件、そのうち不正取引まで行われたものが10,642件でした。最も多かった2025年4月だけで、不正取引は3,033件です。
不正取引による売却金額の合計は約4,372億円とされています。ただし金融庁は、これは被害口座内での取引の合計で、顧客の損失額とは一致しないと注記しています。数字はいずれも暫定値です。
業界はどう応えたか
日本証券業協会は、2025年10月15日にインターネット取引における不正アクセス等防止に向けたガイドラインを改正しました。ログイン、出金、出金先の口座の変更といった重要な操作のときに、フィッシングに耐性のある多要素認証を「実装及び必須化（デフォルトとして設定）」するというものです。例として、パスキーによる認証と、公開鍵基盤（PKI）をベースにした認証が挙がっています。
金融庁は業界団体との意見交換会で、この必須化を原則として2026年6月末までに実施するよう求めていました。
集計表を見ると、2026年7月の不正取引は5件、8月は25件、9月は2件です。必須化の期限と時期が重なっています。ただ、資料から因果関係までは読み取れないので、ここでは数字を並べるだけにしておきます。
証券会社のガイドラインから読み取れる設計の論点
ガイドラインは技術の文書ですが、読むと、画面の設計で決めるべきことが三つ見えてきます。
1. 選べるようにするのではなく、最初から有効にする。 ガイドラインの言葉は「必須化（デフォルトとして設定）」です。設定画面の奥に「パスキーを有効にする」を置くだけでは、多くの人は切り替えません。ログインの直後や、次回のログインのときに、その場で登録まで進められる流れにする必要があります。
2. 使えない人の道を用意する。 ガイドラインは、スマートフォンを持っていないなどの理由で設定を解除する顧客には、代わりの多要素認証を提供するように求めています。さらに、解除率を追いかけ、解除率が下がるように認証の方法を見直すことも書かれています。解除率は、そのまま設計の成績表です。
3. 重要な操作のたびに確かめる。 対象はログインだけではありません。出金や、出金先の口座の変更も含まれています。お金や個人情報が動く操作の手前で、もう一度パスキーで確かめる。ここを省くと、ログインを固めても、別の場所から崩れます。
証券会社でなくても持ち込めること
ポイントが貯まるサービス、残高を持つアプリ、個人情報を多く預かる会員サイト。フィッシングで狙われる理由は、証券口座と同じです。
導入するときに、私が特に気をつけているのは次の三つです。
言葉。 「パスキー」という言葉を知らない人はまだ多いと思います。最初の説明は、「顔認証や指紋で、パスワードなしでログインできます」のように、使う人の動作で書きます。仕組みの説明は、知りたい人のためにリンクの先に置けば十分です。
機種変更とアカウントの復旧。 パスキーの多くは、AppleやGoogleのアカウントを通じて、同じ人の別の端末にも引き継がれます。それでも、端末をなくした人や、AndroidからiPhoneに変えた人は出てきます。復旧の手段がメールやSMSのコードだけなら、攻撃する側はそこを狙います。ログインと同じくらい、復旧の画面に時間をかけるべきです。
測るもの。 ログインの成功率、ログインにかかる時間、パスキーを登録した人の割合、解除した人の割合、そしてログインに関する問い合わせの件数。導入の前から取っておけば、導入の効果を数字で説明できます。
最初の打ち合わせで
ログインの見直しを検討している場合、最初の打ち合わせでは三つを教えてください。今のログインと復旧の流れ。ログインに関する問い合わせの件数と内容。そして、ユーザーのスマートフォンの機種の内訳がわかれば、それもお願いします。
この三つがわかれば、パスキーを必須にしたときに誰がどこで困るかを、導入の前に確かめられます。