顔や指紋の生体認証を使う「パスキー」を設定していた証券口座が、乗っ取り被害に遭った疑いが出ている。日本証券業協会や証券各社が注意を呼びかけている。生体認証は去年相次いだ証券口座乗っ取り被害の対策として各社が導入したばかりだった。 ただし今回は生体認証そのものが突破されたわけではなく、パスキーを管理しているグーグルやアップルのアカウントが先に乗っ取られ、そこに紐づくパスキーを使われたとみられている。きっかけは「アカウントのパスワード変更が必要」という偽メールに情報を入力してしまったことらしい。 スレが立った11/11は他にも「内閣府メルマガ6万件流出（アララへの不正アクセス）」「SMBC日興証券5万6487人分漏洩」「札幌市営地下鉄運行システムに不正アクセス」と、不正アクセス関連のニュースが次々に飛び込んできた日でもあった。ニュー速+民も「もう何を信じていいのか」と戦々恐々の様子。 元ニュース：生体認証の証券口座で被害　乗っ取りに注意呼びかけ（共同通信） 元スレ：生体認証の証券口座で被害　乗っ取りに注意呼びかけ [ぐれ★] PART1：「生体認証なのにｗ」でスレ開幕 大変だなあ パスキーもだめならもうだめだろ 金融取引禁止にしろ 指を盗まれたのかと ※ 指紋そのものが盗まれたわけではなく、指紋を使って解錠する「鍵」が置いてあった金庫（Googleアカウント）の方を盗まれた、というのが正確なところ。でも「指を盗まれた」の方がパンチあるのは分かる。 PART2：犯人は生体認証じゃなくて”いつものフィッシング” 良く読んだら生体認証は突破されてねーじゃんw 普通に乗っ取りだった 結局馬鹿がフィッシングに引っかかっただけだわな そして馬鹿がやっぱパスキーも駄目じゃねーかと騒ぎだす パスキーを管理してるGoogle・Appleのアカウントをフィッシング詐欺で乗っ取られたというだけの話でパスキー自体は現代技術では破りようがない マスターキー盗まれちゃった、テへみたいな感じか ※ 要するに「家の鍵（生体認証）は最新だったけど、鍵をしまってた物置（Googleアカウント）の方がガバガバだった」という話。鍵だけ強くしても意味がない、という教訓である。 PART3：「騙された奴が120%悪い」論争 アカウントのパスワード変更を求める偽メールを信じて入力し 騙された奴が120%悪くて、騙した奴は100%だけ悪い案件 証券口座乗っ取りはだいたいこれよな 被害者ずらして証券会社に補償求めてるけど ホイホイ信じて入力するからｗ 情弱騙すのはらくでいいねぇ 最近エグい量のパスキー認証フィッシングメール来てるけど引っかかったんか PART4：技術勢による「パスキー＝生体認証ではない」解説合戦 パスキーは生体認証じゃないぞ パスキーは公開鍵暗号方式で作られてるただの暗号鍵で生体情報なんか利用してない スマホで指紋使うのは単にスマホにその暗号鍵へのアクセス権を与える儀式で、指紋じゃなくても暗証番号とかパターンなぞりでも何でもOK 端末に保管されてるパスキーを利用許可するための、端末ロック解除手段の一つが生体認証ってだけだな ※ ここだけ読むとニュー速+が急に情報セキュリティ講座になる。見出しの「生体認証を活用したパスキー」という書き方がそもそも誤解を広げた説も出ていた。 PART5：対策会議「物理セキュリティキー派」「もうアナログ回帰派」 現状最強なのは物理セキュリティキー＋生体認証かな 次点で物理セキュリティキー＋PINコードなど クラウド管理のやつは安心しきれない… アナログに回帰しよう。 便利さよりリスクのほうが今は大き過ぎる。 やっぱタンスがさいつよですよ おっと誰か来たようだ… 通帳とハンコ持って窓口で金下ろすのが最強か？ 銀行から出たら襲われるかもしれないがw 証券口座は投信買う以外は全て取引停止にした PART6：この日だけで漏えいニュースが止まらない 金融もハック 輸送もダウン 【速報】札幌市営地下鉄運行システムに不正アクセス、運休や遅延にされまくる被害 次は原発のシステムかな？ SMBC日興証券、氏名や住所、投資銘柄、残高など最大5万6487人分漏洩 公式偽装もできちゃうし もうどこから来たメールも信じられなくなった ※ この日は「不正アクセス」というワードだけで何本もニュースが流れた日。1つ1つは別件だが、「結局パスワードとメールの管理がガバガバな会社・個人が多すぎる」という同じ根っこが見える。 まとめ：今回の「乗っ取り」は生体認証そのものが破られたわけではなく、生体認証（パスキー）を管理しているGoogle・Appleアカウントがフィッシングメールで先に乗っ取られていたのが原因。対策の基本は「パスワード変更を求めるメール・SMSのリンクは踏まない、公式アプリ・ブックマークから直接ログインする」という、結局いつもの話に戻る。 パスキーや二段階認証を導入していても、入口のアカウント管理が甘ければ意味がない。ニュー速+民のみなさんは、証券口座に紐づくGoogle・Appleアカウントの二段階認証、ちゃんと設定してますか？ 関連記事： 【速報】内閣府メルマガも６万件流出、原因は「アララ」への不正アクセス→社名に「あらら」の声 【速報】西日本128信金で一斉システム障害→原因は「機器の故障」も5chは疑念止まず 偽サイトで2段階認証も突破する「証券口座乗っ取り」横行…