資産形成というと、投資や節約、収入を増やす方法に目が向きがちです。しかし、長い時間をかけて資産を積み上げても、金融口座や関連するアカウントが不正アクセスを受ければ、その前提が崩れてしまいます。
最近、個人情報の漏えいや証券口座への不正アクセスに関するニュースを目にし、自分の預金や投資資産についても、改めて確認する必要があると感じました。
そこで今回は、銀行や証券会社だけでなく、クレジットカード、メール、Google・Apple・Microsoftの各アカウント、スマートフォンやパソコンの認証設定まで点検しました。
この記事では、見直しのきっかけとなった事案と、私が実際に行った対策、今後のアカウント開設に対する考え方の変化を紹介します。
個人情報流出と金融口座の不正アクセスが身近な問題に
タイムズカーで約160万アカウントの本人確認書類が漏えい
タイムズカーは2026年9月29日、不正アクセスによって運転免許証画像などの本人確認書類が漏えいしたアカウント数が、約160万件に上ると発表しました。
漏えいが確認された情報には、運転免許証画像のほか、現住所確認書類、学生証画像、家族確認書類などが含まれています。同社は、タイムズカーを装ったメールやSMS、電話などへの注意を呼びかけています。 [share.timescar.jp]
情報漏えいが直ちに金銭被害を意味するわけではありません。しかし、本人確認書類を含む個人情報が流出した場合、フィッシングやなりすましなどの二次被害にも注意が必要です。
また、退会済みの利用者についても専用の確認窓口が設けられています。退会したとしても、過去に事業者へ提供した情報が直ちにすべて消去されるとは限りません。 [share.timescar.jp]
出典：タイムズカー「不正アクセスに関する調査結果および今後の対応について（第3報）」
証券口座では出金を伴わない不正取引も発生
金融口座についても、不正アクセスへの警戒が必要です。
金融庁によると、証券会社を装ったフィッシングサイトなどで盗まれたログイン情報を使い、第三者が証券口座へ不正にアクセスする被害が発生しています。
特徴的なのは、口座から現金を出金するだけが被害ではないことです。保有していた株式などを勝手に売却し、その代金で国内外の小型株などを買い付ける不正取引も確認されています。
つまり、出金先の銀行口座を厳重に管理していても、証券口座内の不正売買によって資産が脅かされる可能性があります。
金融庁は、メールやSMSのリンクからログインせず、あらかじめ登録したブックマークを利用することや、多要素認証と通知サービスを有効にすることを勧めています。
出典：金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
AIの発達でサイバー攻撃に対する考え方が変わった
情報処理推進機構（IPA）が公表した「情報セキュリティ10大脅威 2026」では、組織向け脅威の3位に「AIの利用をめぐるサイバーリスク」が初めて選ばれました。
個人向けの脅威にも、フィッシングによる個人情報の詐取、不正ログイン、インターネットバンキングやクレジットカードの不正利用などが挙げられています。 [ipa.go.jp]
もっとも、前述した個別の事案にAIが利用されたかどうかは、今回確認した公表資料からは分かりません。
それでも、AIによる攻撃の効率化や巧妙化が懸念されるなか、従来と同じ感覚で個人情報を提供し続けてよいのか、改めて考える必要があると感じました。
資産を守るために実施した4つのアカウント対策
今回の点検では、すべてのアカウントに一律の対策を行ったわけではありません。
保有資産の金額、不正利用された場合の影響、ほかのサービスの認証や復旧に使われているかを考え、重要性に応じて対策の範囲を分けました。
特に、一定額以上の資産がある銀行口座や証券口座については、その金融機関が提供している範囲で、利用できる対策をすべて行うことを基本方針としました。
使っていないアカウント・銀行口座・クレジットカードを整理する
最初に、現在使っていないアカウント、銀行口座、証券口座、クレジットカードを整理しました。
クレジットカードについては、残っているポイント、継続課金、公共料金などの支払先になっていないかを確認したうえで、今後利用する予定がないものを解約しました。
金融口座やクレジットカード以外のサービスでは、パスワードが流出しても、直ちに金銭被害が発生するとは限りません。
それでも、氏名、住所、電話番号、メールアドレスなどが流出すれば、フィッシングやなりすましなどの二次被害につながる可能性があります。そのため、金銭的な価値が残っているかだけで判断せず、今後利用する見込みがないアカウントは可能な範囲で削除しました。
ただし、退会や削除によって、過去に提供した個人情報がすべて消去されるとは限りません。今回の整理は、将来の管理対象と不正利用される入口を減らすための対策と位置付けています。
重要なアカウントのパスワードを長くし、使い回しを避ける
銀行、証券会社、クレジットカード、メールなど、重要なアカウントのパスワードも見直しました。
一つのサービスからログイン情報が流出した場合、同じパスワードを利用している別のサービスでも、不正ログインを試みられる可能性があります。
そこで、重要なアカウントについては、従来より長く、ほかのサービスとは異なるパスワードを設定しました。
金融庁も、パスワードを利用する場合には、使い回しを避け、できる限り長く、推測されにくい文字列を使用するよう求めています。
パスキー設定後もID・パスワードによるログイン経路を確認する
多要素認証については、単に「設定済み」と表示されているかだけでなく、どのような認証方式が利用されているかまで確認しました。
一定額以上の資産がある金融口座では、パスキー、認証アプリ、生体認証、端末認証、取引時認証、通知機能など、そのサービスで利用できる対策を可能な限り有効にしています。
金融庁も、証券会社がパスキーなどフィッシングに耐性のある多要素認証を提供した場合には、速やかに設定するよう勧めています。
ただし、パスキーを設定しても、従来のIDとパスワードによるログイン方法が残っている場合があります。
そのため、次の点も確認しました。
- パスキー設定後もIDとパスワードでログインできるか
- 従来のログイン方法に多要素認証が設定されているか
- 出金や登録情報変更にも追加認証があるか
- ログインや取引について通知を受け取れるか
- 古い電話番号やメールアドレスが残っていないか
重要なのは、最も強い認証方法だけを見るのではなく、利用可能なログイン経路のうち、最も保護が弱い経路を確認することだと考えています。サービスによっては、従来のパスワードによるログインを無効にできる場合もあるため、その設定の有無も確認することが考えられます。
スマートフォンとパソコンのパスコード・PINを見直す
金融口座の認証を強化しても、スマートフォンやパソコンを第三者に操作されれば、保存されたメール、パスワード、パスキーなどへアクセスされる可能性があります。
そこで、スマートフォンの画面ロックに加え、パソコンのPINや生体認証についても確認しました。
私は、WindowsパソコンへのサインインにWindows Helloを利用しています。Windows Helloでは、生体認証情報や認証に使う秘密鍵が端末側で保護され、Microsoftのサーバーへ生体認証情報が送信されることはありません。PINもMicrosoftアカウントのパスワードとは異なり、その端末に結び付いた認証情報を利用するために使われます。 [Configure…dows Hello], [How Window…ness works]
このため、パソコンを変更した場合には、新しい端末でWindows Helloを改めて設定する必要があります。
一方、Microsoftアカウント自体の認証や復旧は、Windows Helloとは別に管理されます。そのため、次の項目を分けて確認しました。
- スマートフォンやパソコンのロックを解除するためのパスコード、PIN、生体認証
- Google・Apple・Microsoftの各アカウントへログインするための認証設定
- 端末を紛失・故障した場合のアカウント復旧手段
- パスワードやパスキーを保存・同期しているサービスの設定
端末側の認証と、クラウドアカウント側の認証・復旧設定は、それぞれ確認する必要があります。
Google・Apple・Microsoftのセキュリティを金融口座以上に重視する理由
私は、パスワードやパスキーの保存・同期にGoogle Password ManagerとiCloudキーチェーンを利用しています。また、Windowsパソコンの端末認証にはWindows Helloを利用しています。
Google Password ManagerとiCloudキーチェーンは、金融機関を含む各種サービスのパスワードやパスキーを複数の端末で利用するための基盤です。
一方、Windows Helloは、PINや生体認証によってWindows端末や、その端末に保存されたパスキーなどを利用するための仕組みです。Google Password ManagerやiCloudキーチェーンと同じ同期型のパスワード管理サービスではありません。
ただし、Microsoftアカウントは、Windows端末へのサインイン、アカウントの復旧、Microsoftの各種サービスの利用に関係します。そのため、Google・Apple・Microsoftの各アカウントについて、銀行や証券会社と同等以上に重要な管理対象として、次の項目を確認しました。
- 多要素認証の設定
- 登録されている端末
- 復旧用メールアドレスと電話番号
- 不要なアプリ連携
- 古い端末や利用していないログイン情報
- パスキーや従来のパスワードによるログイン経路
金融口座だけでなく、その認証、パスワード管理、アカウント復旧を支える基盤まで含めて確認することが重要です。
ポイ活による口座開設・クレジットカード発行を見直す
これまで私は、ポイ活の一環として、キャンペーンへの応募、銀行・証券口座の開設、クレジットカードの発行などを行うことがありました。
しかし、今回の点検を通じて、ポイントや特典だけを見て新しいアカウントを増やすことは、今後控えたいと考えるようになりました。
新しい口座やクレジットカードを作れば、管理するアカウント、パスワード、認証方法が増えます。本人確認書類を提出する機会も増え、利用をやめた後も、提供した情報が直ちにすべて削除されるとは限りません。
事業者側の情報漏えいを利用者が完全に防ぐことはできません。そのため今後は、情報が流出する可能性も前提として、むやみに個人情報を渡さないことを重視します。
ポイントや一時的な特典だけを目的に、利用予定のない口座やクレジットカードを作らないことも、セキュリティ対策の一つです。
資産形成では「増やす」だけでなく「守る」対策も必要
資産を守るためには、銀行や証券会社の認証を強化するだけでは十分とは限りません。
クレジットカード、メール、Google・Apple・Microsoftなど、決済や認証、アカウント復旧を支えるサービスまで含めて確認する必要があります。
また、既存アカウントを強固にするだけでなく、不要なアカウントを減らし、新しいアカウントを安易に作らないことも重要です。
資産形成では、運用成績や節約額に注目しがちです。しかし、積み上げた資産を守るためのアカウント管理と、必要以上に個人情報を提供しない行動も、家計における大切な備えだと感じました。
今回の点検ですべてのリスクをなくせたわけではありません。今後も、金融機関が新しい認証方式を導入したときや、使用する端末を変更したときなどに、設定を見直していきたいと思います。
※事件および注意喚起に関する情報は、2026年10月11日時点で確認した公表資料に基づきます。サービスの仕様や推奨される認証方法は変更される可能性があるため、最新情報は各サービスの公式サイトをご確認ください。
