顔や指紋の生体認証を使う「パスキー」を設定していた証券口座が、乗っ取り被害に遭った疑いが出ている。日本証券業協会や証券各社が注意を呼びかけている。生体認証は去年相次いだ証券口座乗っ取り被害の対策として各社が導入したばかりだった。
ただし今回は生体認証そのものが突破されたわけではなく、パスキーを管理しているグーグルやアップルのアカウントが先に乗っ取られ、そこに紐づくパスキーを使われたとみられている。きっかけは「アカウントのパスワード変更が必要」という偽メールに情報を入力してしまったことらしい。
スレが立った11/11は他にも「内閣府メルマガ6万件流出（アララへの不正アクセス）」「SMBC日興証券5万6487人分漏洩」「札幌市営地下鉄運行システムに不正アクセス」と、不正アクセス関連のニュースが次々に飛び込んできた日でもあった。ニュー速+民も「もう何を信じていいのか」と戦々恐々の様子。
元ニュース：生体認証の証券口座で被害 乗っ取りに注意呼びかけ（共同通信）
元スレ：生体認証の証券口座で被害 乗っ取りに注意呼びかけ [ぐれ★]
PART1：「生体認証なのにｗ」でスレ開幕
※ 指紋そのものが盗まれたわけではなく、指紋を使って解錠する「鍵」が置いてあった金庫（Googleアカウント）の方を盗まれた、というのが正確なところ。でも「指を盗まれた」の方がパンチあるのは分かる。
PART2：犯人は生体認証じゃなくて”いつものフィッシング”
※ 要するに「家の鍵（生体認証）は最新だったけど、鍵をしまってた物置（Googleアカウント）の方がガバガバだった」という話。鍵だけ強くしても意味がない、という教訓である。
PART3：「騙された奴が120%悪い」論争
PART4：技術勢による「パスキー＝生体認証ではない」解説合戦
※ ここだけ読むとニュー速+が急に情報セキュリティ講座になる。見出しの「生体認証を活用したパスキー」という書き方がそもそも誤解を広げた説も出ていた。
PART5：対策会議「物理セキュリティキー派」「もうアナログ回帰派」
PART6：この日だけで漏えいニュースが止まらない
※ この日は「不正アクセス」というワードだけで何本もニュースが流れた日。1つ1つは別件だが、「結局パスワードとメールの管理がガバガバな会社・個人が多すぎる」という同じ根っこが見える。
まとめ：今回の「乗っ取り」は生体認証そのものが破られたわけではなく、生体認証（パスキー）を管理しているGoogle・Appleアカウントがフィッシングメールで先に乗っ取られていたのが原因。対策の基本は「パスワード変更を求めるメール・SMSのリンクは踏まない、公式アプリ・ブックマークから直接ログインする」という、結局いつもの話に戻る。
パスキーや二段階認証を導入していても、入口のアカウント管理が甘ければ意味がない。ニュー速+民のみなさんは、証券口座に紐づくGoogle・Appleアカウントの二段階認証、ちゃんと設定してますか？
関連記事：
【速報】内閣府メルマガも６万件流出、原因は「アララ」への不正アクセス→社名に「あらら」の声
【速報】西日本128信金で一斉システム障害→原因は「機器の故障」も5chは疑念止まず
偽サイトで2段階認証も突破する「証券口座乗っ取り」横行
コメント