浜銀TT証券でフィッシング被害、パスキー認証も「登録の乗っ取り」で突破

何が起きたか #

浜銀TT証券は9月3日、顧客がフィッシング詐欺の被害に遭い、保有する投資信託が不正に売買される事案を公表した。同社は2026年2月にフィッシング耐性のある「パスキー認証」を導入し、5月18日以降はパスキー未設定の口座で売買・出金操作を制限するなど、認証移行を積極的に進めてきた事業者だ。それでも被害が発生した点に、今回の教訓がある。

なぜ「パスキー」が破られたのか #

パスキーは公開鍵暗号を使う仕組みで、秘密鍵は端末の外に出ない。偽サイトに情報を入力させても、鍵そのものは原理的に盗めない。今回盗まれたのは同社が「パスキー登録情報」と呼ぶ、口座番号と旧来のパスワードだったとみられる。

証券会社のパスキー移行は多くの場合、既存の口座番号・パスワードでログインした上で新しい端末にパスキーを「登録」する設計になる。つまり登録の入口そのものは旧来の認証で守られたままだ。攻撃者はここを突いた。フィッシングで盗んだ口座番号とパスワードで正規顧客になりすましてログインし、自分の端末で新規にパスキーを登録してしまえば、以降は正規のフィッシング耐性認証さえ通過できてしまう。「暗号鍵は盗めない」という強みは、登録プロセスが旧認証のままなら意味を持たない。

教訓・対策 #

同社は顧客に対し、メールやSMS内のリンクからログインせず公式サイトをブックマークすること、パスワードの使い回しをしないことを呼びかけている。だが本質的な対策は事業者側にある。パスキー登録時に既存端末からの追加確認や本人への通知を義務付ける、初回登録から一定期間は出金・大口取引を制限するといった防御が必要だ。パスキーは「フィッシング耐性認証」の切り札とされるが、移行期の「登録」という一点に旧来の脆弱性が温存されていないか、金融機関に限らず点検する価値がある。