パスキーの設定は、1〜2分で終わります。難しくありません。以前、その様子を画面つきで書きました。
ただ、あの記事では書かなかったことがあります。
そのパソコンが、使えなくなった時のことです。
パスキーは、そのパソコンから出ない仕組みです。だから安全なのですが、裏を返すと、パソコンが壊れたときには使えません。では、どうやって口座にログインするのか。
調べてみたら、証券会社によって復旧方法が違いました。 そして2つとも、ふだん使っていないものが必要でした。
まず、パスキーはどこにあるのか
前の記事のおさらいです。
パスキーを作ると、対になったものが2つできます。証券会社に預けるのが「鍵穴」、手元に残るのが「鍵」です。
その「鍵」をどこに置くかで、話が変わります。
- 1Passwordなどのパスワード管理ソフトに置く … クラウド上に保存するので、別のパソコンでも鍵が使えます（自分のパソコンのみ）
- 「このパソコンに保存」を選ぶ … 鍵はそのパソコンの中だけにあります
前の記事では、スマホで取引をしないなら「このパソコンに保存」で十分です、と書きました。日常の使い勝手としては、いまもそう思います。 1台で完結しますし、暗証番号だけで入れます。
今日の話は、その先です。その1台が使えなくなった時のことです。
パスキーは、偽サイトでは使えません
ここで、パスキーの良いところを一つ書いておきます。
パスキーは、登録した証券会社のアドレスに紐づいています。本物そっくりの偽サイトを開いても、そこでは動きません。鍵が「この鍵穴以外には差さらない」作りになっているからです。
これが、金融庁が各社にパスキーを求めた理由でした。それまで使われていた、SMSで届く数字を入れる方式は、偽サイトが受け取って、その場で本物へ流し込むやり方で破られていました。数字は人が読めますが、パスキーの鍵は人が読めません。だから流し込めないのです。
つまり、パスキーにした時点で、偽サイトでパスワードを抜かれる心配はかなり小さくなります。
では、何が残るのか。戻り道のほうです。ログインパスワードは、パスキーになっても口座に残り続けます。そして、そちらは偽サイトで打ち込めてしまいます。
だから今日の話は、パスキーの心配ではなく、その裏側にあるものの話です。
SBI証券は、ユーザーネームとログインパスワード
SBI証券の案内はこうなっています。
パソコンを紛失した、あるいは壊れた場合は、ユーザーネームとログインパスワードでログインして、その端末のパスキーを削除する。そのうえで、新しいパソコンで登録し直す。
つまり、復旧方法はログインパスワードです。
ここが引っかかるところだと思います。パスキーにすると、ログインパスワードは日常で使わなくなります。 使わないものは、忘れます。
ユーザーネームやパスワードが分からない場合は、テクニカルサポートデスク（0120-581-255）に電話する形になります。受付は平日の8時から17時までです（年末年始を除く）。土曜の夜に壊れたら、月曜の朝までは動けない、ということになります。
もうひとつ。Windowsのパソコンは、買い替えのときも登録し直しが要ります。 同じOS同士なら引き継げるスマホとは、そこが違います。
楽天証券は、登録した電話からの電話
楽天証券は、別の形でした。
パスキーで入れないときは、登録してある電話番号から、自動音声ダイヤル（0120-657-205）にかけます。 郵便番号、ログインID、生年月日を入力すると、30分間だけパスキーが止まります。
その30分のあいだに、ID・パスワードと絵文字でログインして、パスキーを追加したり削除したりする。そういう作りです。
電話が鍵になっているわけですね。
前の記事でも、パスキーを削除するときに登録済みの電話からフリーダイヤルにかける場面がありました。楽天証券は、この電話認証を復旧にも使っています。
24時間動くという点では、こちらのほうが助かる場面があるかもしれません。ただし条件があります。登録してある電話番号が、いま使っている番号であること。 変わっていたら、この道は使えません。
共通しているのは「日常で意識しないもの」
2社を並べると、形は違いますが、要るものは似ています。
- SBI証券 … ログインパスワード（日常では使わない）
- 楽天証券 … 登録した電話番号（日常では意識しない）
スマホは毎日使います。ただ、そこに証券会社の番号が登録してあることは、ふだん意識しません。パスワードのほうも同じで、パスキーにしたとたん、触らなくなります。そしてパソコンの故障は、たいてい慌てています。
だから、いま確かめておく。それだけの話だと思います。
紙に書くのは、危なくないのか
では、忘れないためにどうするか。紙に書いておく、というのが私の答えです。
ここで引っかかる方がいると思います。「パスワードを紙に書くな」と、さんざん言われてきたからです。
私は、天秤にかけました。漏れることよりも、入れなくなることのほうが怖いと思っています。
紙が盗まれるとしたら、空き巣でしょうか。もしそうなったら、そのときにパスワードを変えればいい。使われる前に、です。空き巣に入られたことは、分かります。
一方、入れなくなるほうは、取り返しがつきません。今回お手伝いしている方の場合、書いておかなければ、二度と口座に入れなくなります。
それに、調べてみて分かったことがあります。
2025年に相次いだ証券口座の乗っ取りは、主にフィッシング（偽サイト）と、インフォスティーラーと呼ばれるウイルスによるものでした。インフォスティーラーは、ブラウザに保存されたIDやパスワードを抜き取ります。
つまり、「紙に書くな」と言われて、代わりにブラウザに覚えさせると、まさに狙われている場所に置くことになります。
家の引き出しの紙は、この経路にありません。 世界中からは届かないからです。
そしてもう一つ。フィッシングで抜かれた場合、抜かれたこと自体に気づけません。 手口も、勝手に売って値の付きにくい小型株を買う、というものでした。売るに売れない銘柄が残るので、発見が遅れます。
盗まれたと分かる紙と、盗まれたと分からないブラウザ。 この違いは大きいと思います。
ただし、ここは書き方に気をつけないといけません。紙に書いたからといって、ブラウザが安全になるわけではありません。 両方に置けば、危ないところが一つ増えるだけで、何も減りません。
順番があります。先に、ブラウザに覚えさせたものを消す。そのうえで、紙に書く。 そうして初めて、置き場所が自分の手の届く範囲だけになります。
紙の、本当の落とし穴は「書き間違い」
ここまで、盗まれる話をしてきました。ただ、紙でいちばん多い失敗は、そこではないと思っています。
書き間違いです。
妻が、パスワードを書いた紙を見ながら「これで入れたはずなんだけど」とエラーになっている。そういう場面を、何度も見ています。しかもそのとき、紙が間違っているのか、打ち方が違うのかが分かりません。
意味のない文字の並びを見ると、私はドラクエ2の「ふっかつのじゅもん」を思い出します。ゲームの続きを再開するために、紙に書き写しておく、ひらがなの列です。長いものは52文字ありました。
打ち込んで、「じゅもんが ちがいます」と出たときの絶望感。どこが違うのかは、教えてくれません。
私はこのときから、「ぽ」と「ぼ」、「ぶ」と「ぷ」のような、間違えやすい文字を念入りに確認するようになりました。
いまのパスワードでも、起きることは同じです。
紛らわしいのは、この4組です。
- 0（ゼロ）と O（オー）
- 1（イチ）と l（小文字のエル）と I（大文字のアイ）
- –（ハイフン）と _（アンダーバー）
- 大文字と小文字
防ぎ方は一つだけです。書いたら、その紙を見ながら、その場で一度打ってみる。
打てたら、その紙は正しい。打てなかったら、その場で直せます。あとで一人になってから気づくのとは、まるで違います。
いま、やっておくこと
4つあります。順番も、この通りです。
1｜ブラウザに覚えさせたパスワードを消す
これが先です。証券会社のIDとパスワードをブラウザに保存していると、あとの3つをやっても意味が薄くなります。Chromeなら、設定 →「自動入力とパスワード」→「Google パスワード マネージャー」で、何が入っているか見られます。
私は1Passwordに預けていて、Chromeには一つも保存していません。 Google パスワード マネージャーの中身が空であることも、確かめました。
2｜ログインパスワードを紙に書いて、別の場所に置く
日常で使わなくなるからこそ、書いておきます。置き場所は、パソコンのそばではなく、引き出しなど別のところに。
書いたら、その紙を見ながら、その場で一度打ってみてください。ここを飛ばすと、書き間違いに気づくのが「入れなくなった日」になります。
3｜登録してある電話番号が、いまの番号か確かめる
固定電話を解約した、携帯を変えた。心当たりがあれば、先に直しておきます。
4｜暗証番号（PIN）は、紙に書いてよい
これは意外に思われるかもしれません。「パスワードを紙に書くな」と、さんざん言われてきたからです。
でも、PINはパスワードとは別のものです。
パスワードは、世界中のどこからでも使えます。だから書いて残すと危ない。一方、Windows HelloのPINは、そのパソコンに紐づいています。 よそのパソコンに打ち込んでも、何も起きません。書斎のその机の前に座らないと、意味がない数字です。
しかも、間違え続けると、パソコンの中のTPMという部品が止めにきます。総当たりで破る、という手が効きません。
だからPINは、パソコンのそばに書いて置いてよい。 むしろ、忘れて入れなくなるほうが困ります。
ただし、TPMが無いパソコンは話が別です
ここは、はっきり書いておきます。
いま書いたPINの安全性は、TPMという部品があることが前提です。TPMが無いパソコンでは、PINがディスクに保存されます。その場合、ディスクを暗号化していなければ、取り出されて総当たりされる余地が出てきます。
確かめ方は簡単です。 Windowsキーを押して「ファイル名を指定して実行」から `tpm.msc` と打ちます。「使用する準備ができています」と出れば、あります。
だいたい2016年以降のパソコンには入っています。それより古い機械をお使いなら、パソコンの買い替えをおすすめします。
70代の方の場合
いま、70代の方の証券口座の開設をお手伝いしています。パソコンは新しいものを1台だけ。1Passwordのようなパスワード管理ソフトは入れていません。
つまり、鍵はそのパソコンにしかない構成です。
ですので、口座を開くその日に、ログインパスワードを紙に書いてもらうことにしています。 そして紙は2か所に分けます。
- PIN … そのパソコンの前でしか使えない → パソコンのそばでよい
- ログインパスワード・取引パスワード … どこからでも使える → 引き出しなど、別の場所へ
置き場所を分けるのは、危険度が違うからです。同じ「紙に書く」でも、同じ扱いにしなくてよい。
その方はメールを使ったことがなく、パスワードも以前のものは忘れています。だからこそ、戻り道だけは手で触れる形にしておく。 それが、この構成でできる一番のことだと思っています。
まとめ
- パスキーは、そのパソコンから出ない。 だから壊れた日には使えません
- 戻り道は用意されています。ただし会社によって形が違います。 SBI証券はユーザーネームとログインパスワード、楽天証券は登録電話からの自動音声（30分だけパスキーが止まる）
- どちらも「日常で使わなくなったもの」が要ります。 だから、いま確かめておく
- 紙に書くなら、先にブラウザから消す。 2025年の乗っ取りはフィッシングとウイルスによるもので、ウイルスが狙うのはブラウザに保存されたパスワードです。両方に置けば、危ないところが増えるだけです
- 紙のいちばんの落とし穴は、盗まれることではなく「書き間違い」です。書いたら、その場で一度打って確かめる
パスキーそのものは、良い仕組みだと思います。設定も1〜2分です。ただ、便利になったぶん、使わなくなったものが静かに増えていきます。 それが要る日は、たいてい慌てている日です。
今日が人生で一番若い日です。ぜひ、今日から一歩踏み出しましょう。
コメント