テクノロジー

証券口座パスキーの安全性を高めよ！”物理キー”を本格導入した話
2026/10/11 12:13 コメント 63件
1: feilung 2026/10/12 02:42

物理キーの導入はアカウント乗っ取りやフィッシング対策として非常に強力な手段ですが、紛失・バックアップ管理の難しさや購入経路（偽物リスク）への注意が必要。

2: nguyen-oi 2026/10/12 07:13

YubiKey導入はガチ勢の嗜み。SMS認証の脆弱性考えると物理キー一択なんだよな

3: Galaxy42 2026/10/12 07:18

錠前

4: gimonfu_usr 2026/10/12 07:33

“Yubico”

5: plank 2026/10/12 07:38

物理キーをソフトウェアでイミュレートして、実物のUSBドングルは無視するようなコンピュータウイルスって作れない様になっているもんなん？ / 仕組み分かってないです otoku-memoさん、おかげで少し分かりました。

6: megumin1 2026/10/12 07:58

「物理キーから秘密鍵を遠隔で抜き出せないの？」という疑問ならまだしも（実際は耐タンパ性により不可能）、「（秘密鍵が入っている）物理キーを無視するようなウイルス」というはてぶコメントはさすがにウケル。

7: otoku-memo 2026/10/12 08:07

ハードウェアキーの動作原理なんもわかってない奴がおるな…。チャレンジ＆レスポンスで認証してて、内部の鍵は破壊しても取り出せない仕組みなので安全。マイナンバーカードも仕組みは一緒。

8: strangedoll 2026/10/12 08:08

ファームウェアのアプデがあると買い直しになるんよね…

9: fuwafuwakarugamo 2026/10/12 08:10

鍵生成のときに偽のセキュリティキーに差し替えてバックドアを仕込む攻撃は当然あり得て、認証器の証明書チェーンを検証すれば鍵を生成したハードウェアのモデルや製造元が分かるようになってる。正しい疑問だよ

10: tora_17 2026/10/12 08:16

調べた。SBI証券にはパスキー以外にパスワードログインが有効になっているため、ログインして無効に設定し直す必要がある。あと電話番号認証も可に。これで防御できる、はず。

11: anonymighty 2026/10/12 08:20

仮に物理キーの秘密鍵が固定だった場合、データを蓄積して量子計算機で暗号解読されちゃう可能性あるし、定期的に更新するとすると、その仕組みを狙われる可能性もあるなあ。一時しのぎかなあ。

12: sgo2 2026/10/12 08:20

フリマやオークションの中古品を買ってはいけない https://infomation-sytem-security.hatenablog.com/entry/yubikey-vulnerability-ysa-2024-03-firmware-check /(追記)Yubikey以外の選択肢も有る https://note.com/tmg500/n/n6e6dd8e33b11

13: sainokami 2026/10/12 08:23

S&P500最強伝説さんやん

14: Gka 2026/10/12 08:27

昔は高額ソフトに物理的なドングルキーが付属していたがkrackerとのイタチごっこで廃止された経緯を知っていれば疑問に思うのも当然では。

15: okbook 2026/10/12 08:28

そこそこ面倒くさいしなにかエラーが出ると詰む気がする。他に良い方法はないのかな。どうしても全額引き出して金庫に入れるべ、くらいの昭和的発想になってしまう。

16: m-kawato 2026/10/12 08:43

理論上の安全性はともかく、未知の脆弱性・バグや運用ミスなども考慮に入れると完全なセキュリティはないとみなすのが世間知とは思っている

17: naoya2k 2026/10/12 08:43

Appleのパスキーを設定しているのに、騙されてTouch IDまたはFaceIDのような物理キーを突破されてしまう人が、別ハードになっただけでなぜ格段に強度が上がるのか、僕にはちょっと難しくてわからんかった。

18: akuriemon 2026/10/12 08:45

証券口座パスキー用に物理キーを買う人はちゃんとその証券会社がその物理キー製品に対応してるか調べてから買ったほうが良いよ。楽天証券とかまだ対応範囲が少ない。

19: dekigawarui 2026/10/12 08:48

物理キーに悪意のあるファームウェアを仕込まれたら、全部ごぼう抜きにされそう。

20: umaemong 2026/10/12 08:52

よいまとめ。紛失時の復旧手段をどうするか。認証済の端末が別途あればいいんだけど、Apple端末複数台は気軽にはできない。マイナカード(デジタル認証)が使えるようになって欲しい。

21: enemyoffreedom 2026/10/12 08:54

まぁ大金を扱うサービスやメインの認証プロバイダ（Googleとか）では最低限使いたい。ただし結局サービス側の個人情報お漏らしは

22: misomico 2026/10/12 09:01

yubikeyを手に埋め込みたい

23: monochrome_K2 2026/10/12 09:04

パスキーの一元管理。確かにこの方法が一番固いのかなと思う

24: hobbiel55 2026/10/12 09:05

やっぱり、パスキーは端末毎に設定してローカルでのみ使えるようにしとくのが安心。パスキーをパスワードマネージャーで集中管理しようとするのが矛盾している。

25: petite_blue 2026/10/12 09:15

マイナンバーカードが物理キーとして使えるようになれば利便性が増しそう

26: tonocchokun 2026/10/12 09:17

物理キーの長所は物理的に盗まないとだめな点、短所はいちいち持ち歩かないといけないリスクがある点。なので物理キーにも指紋認証とかのセキュリティ機能があるものを使いましょう。

27: auto_chan 2026/10/12 09:31

ハードウェアウォレットに毒の部品が組み込まれれて資金流出がおきたばかり（ https://pasqualepillitteri.it/ja/news/22735/ledger-hakkingu-cryptobilis-9300-man-doru-hado-implanto ）なので物理も気をつけてね～。森羅万象ゼロトラスト！

28: myr 2026/10/12 09:33

それはそれで正しいけどこういうのもあるので、鵜呑みにしないで常に疑う姿勢が重要 https://ja.martincid.com/technology-ja/ledger%E3%81%AE%E6%9A%97%E5%8F%B7%E8%B3%87%E7%94%A3%E3%82%A6%E3%82%A9%E3%83%AC%E3%83%83%E3%83%88%E3%81%AB%E9%9A%A0%E3%81%97%E3%83%81/

29: nilab 2026/10/12 09:39

「利便性も損なわれていないし、セキュリティレベルも格段に上がったので満足しています。Googleの１回限りコード以外は」「犯人たちが足を運ぶ必要があるものは、この手の乗っ取り事件には使いづらい」

30: ya--mada 2026/10/12 09:40

パスキーをクラウドデータ同期せずに一台の端末で運用するのはクラウド侵害を懸念するなら良いけど、端末喪失時に課題が残る。パスキーのプラットフォーム(GoogleやApple)をFIDO2キーにしてパスキー同期が妥当だと思う。

31: raitu 2026/10/12 09:41

スマホに差し込める物理キーでAppleとGoogleアカウントを保護しそこに含まれるパスキーを保護する話。多層防御の一貫ではあり有効ではあるが、それ一つで万全ではないが、参考情報として

32: duckt 2026/10/12 10:00

昨日、父親の遺品を整理していたら、恐らくはネットバンキング用のワンタイムパスワードを生成するハードウェアトークンと思われるものが出てきて、それを二十一の息子が不思議そうに眺めているのが感慨深かった。

33: ToTheEndOfTime 2026/10/12 10:09

関係ないが全部のパスワードを効率的に変えられるように標準にしてほしい

34: naka_dekoboko 2026/10/12 10:09

つい最近、仮想通貨のハードウェア鍵デバイスの流通会社ごと反社が買ってチップ埋め込んでて130億くらいぶっこぬかれてたぞ

35: minamihiroharu 2026/10/12 10:13

物理キー、そろそろ買おうかなと思ってる。

36: hryord 2026/10/12 10:58

昔ボーステックから出たトップルジップってゲームがありコピー対策として物理的なドングル差すってのがあったがコピーソフト側で対策されてた／これは大丈夫だと思う

37: zkq 2026/10/12 10:59

ゲームをする人だけかもしれないが、エミュレーターでAndroidにログインするとき、物理デバイスだけだとGoogleにログインできないんだよね。だから1回限りのセキュリティーは残らざるを得ない。

38: FreeCatWork 2026/10/12 11:16

ボクの肉球より頑丈な鍵だにゃ！ハッカーもこれには猫パンチ確定だにゃ。

39: b9rantan8 2026/10/12 11:23

こういうのに騙される人っているんだな

40: lli 2026/10/12 11:23

既にマルウェアに感染したPCの場合、通常Appleや証券会社などは物理キーの製造会社などを制限していないので攻撃者に別のキーを登録されるリスクはあり得る。あとキーはメーカーから直接買うこと。

41: kenjou 2026/10/12 12:06

ハードウェアも脆弱性はあるのでこれを使えば安全とも言い切れなさそう。

42: alpon 2026/10/12 12:24

据え置きとか壁かけで時計くらいでかいやつあってもいいと思う

43: financedekatsu2000 2026/10/12 12:29

パスキーは不正ログイン対策を高めるもので証券資産全体の安全を保証するものではない。証券会社の取引システム自体が侵害されれば意味ない

44: sionsou 2026/10/12 12:31

ぶっちゃけこれらを浸透させるにはとてもじゃないが一般層では数十年はかかる。リテラシー的に無理だと思う…。世間ではまだ2段階認証すら理解しておらず、id/pass管理すら出来ない人間ばかりやぞ。

45: ka-ka_xyz 2026/10/12 12:35

物理キーは興味あるけど以前調べた時に実際の手順の解説が見つからなかったので助かる。（それはそれとしてデバイスコードフロー攻撃 https://techblog.ap-com.co.jp/entry/2026/09/17/103525 等も注意が必要

46: en3 2026/10/12 13:11

S&P最強伝説の人か！

47: toaruR 2026/10/12 14:00

物理キーの寿命とか、不安になって追加した他のキーでナニカが起こる可能性や……

48: andalusia 2026/10/12 14:18

そのタイプ（指紋認証ないタイプ）は、物理的にキー奪われたら終わりだけどね。Yubikeyという名前はユビキタスに由来しているので指紋認証とは関係ないのですが誤解している人が何故か多い気が。

49: ultimatebreak 2026/10/12 15:10

こういうの買うなら信頼できるブランドの直販一択なので変なところから買わんように

50: pribetch 2026/10/12 15:24

RPGの鍵みたいなデザインのやつないかな

51: cbjpaa 2026/10/12 15:28

物理キーをなくしそう

52: number917 2026/10/12 15:51

昔はドングルって珍しくなかったよな

53: mkusaka 2026/10/12 16:12

証券口座のパスキー強化に、物理キー2個でApple ID/Googleを設定手順込みで解説する記事。

54: Muucho 2026/10/12 16:43

パスキーは扱いがBitLockerなんかと一緒なんだよ。PCだとBIOS更新が手順踏まないとヤバイという話も聞くし

55: securecat 2026/10/12 17:54

証券口座や銀行で、以前はハードウェアトークンデバイスを申し込めたのに、トークンアプリへの移行をめちゃくちゃ推してきて画面もそうなってって、結果としてすべてトークンアプリになってしまった。

56: suka6411144 2026/10/12 18:10

書いてある内容は別におかしくないように思うのに滅茶苦茶な事を言っているブコメが散見される

57: dodefeg 2026/10/12 18:23

Google Workspaceの高度な保護機能においては1回限り使用可能なコードは利用先のネットワークが同じ必要があると説明されてるけど、個人用はまた違うんだろうか

58: fuzitahoushirou 2026/10/12 18:42

https://b.hatena.ne.jp/myr/

59: yamatedolphin 2026/10/12 18:50

そもそも、証券や銀行は、個人の人が、頻繁に取引しないのであれば、昔ながらの店頭+電話取引で、特に問題ないのでは？

60: hylom 2026/10/12 19:08

自分はYubicoのとGoogleのTitanを併用している、証券関連以外のWebサービスで使えるところが増えてきているし常時PCに挿しておけば指先（＋サービスによってはPIN）だけで多要素認証が完了できるので便利

61: byaa0001 2026/10/12 19:26

時事ネタを紹介しつつ延々とひたすら狂ったように同じことを解説し続けるインデックス投資界隈のレジェンドS&P500最強伝説さんがホッテントリに！/資産割れてて住まいも微妙に絞られてるから物理的に気をつけてね……

62: eos2323 2026/10/12 20:25

マイナンバーほど他サービスと密じゃないUUID証明ハードウェアを公的に発行してくれないかな

63: harumomo2006 2026/10/12 23:11

新品で買ったはずの物理キーにウイルスが仕込まれるのはビットコインであった。一度買って仕込んだものを返品するとそれを次に買った人が感染するやつ