Appleアカウント乗っ取りの確認と対処｜証券口座を守る設定

01Appleアカウントの乗っ取りとは？証券口座の注意喚起で言われていること

Appleアカウントの乗っ取りとは、第三者があなたのAppleアカウントにサインインし、設定や中身を勝手に使える状態になることです。今回話題になっているのは、この乗っ取りが証券口座への不正アクセスにつながるおそれがある、という証券会社の注意喚起です。

SMBC日興証券は、次のように書いています。

パスキーやパスワード（クラウドに保存されたメモ等）を管理・同期する「Apple Account」や「Google アカウント」等の第三者による乗っ取りにより、当該アカウントに保存されたパスキー等を利用してお客さまの証券口座にも不正アクセスされる可能性があります。

出典：SMBC日興証券「パスキー等を保存している「Apple Account」や「Google アカウント」の乗っ取り被害にご注意ください」（2026年10月6日、10月14日更新）

SMBC日興証券は、この事象は自社システムへの不正侵入によるものではないとも説明しています。SBI証券は、日本証券業協会からの会員向け通知に基づく注意喚起で、「証券口座への不正ログイン・不正取引が行われた疑いのある事案」が確認されていると書いています。そのうえで、SBI証券の口座での被害は確認されていないとしています。

出典：SBI証券の注意喚起（2026年10月2日）

金融庁は、インターネット取引サービスでの不正アクセス・不正取引の被害状況を公表していますが、これはフィッシングなどを含む全体の数字で、Appleアカウント経由の件数ではありません。この記事では、統計の数字をこの件と結びつけません。

用語メモ：パスキーは、パスワードの代わりに、端末の顔認証やパスコードでログインする仕組みです。iCloudキーチェーンは、パスワードやパスキーを自分のApple製の端末どうしで同期する機能です。2ファクタ認証は、パスワードに加えて6桁の確認コードが必要になる仕組みです。

証券会社とパスキーの話題は、お名前.comデスクトップクラウド不正アクセス、見舞金と補償・今やることでも1文触れています。

02乗っ取りを確認する方法｜iPhoneで見る3か所

Appleアカウントが乗っ取られていないかは、Appleが挙げる「不正利用のサイン」と、iPhoneの設定画面で確かめます。見るのは、デバイスリスト、登録しているメールアドレス・電話番号などの情報、身に覚えのない通知や確認コードの3か所です。

Appleが挙げる「不正利用のサイン」

• 覚えのない端末へのサインインや、自分で変えていないパスワードの変更について、Appleから通知やメールが届いた
• 頼んでいないのに、2ファクタ認証のコードが届いた
• 送った覚えのないメッセージ、消していない項目の削除、覚えのないアカウント情報や信頼できるデバイス、覚えのない購入履歴がある
• パスワードが使えなくなった
• 第三者によって端末がロックされたか、紛失モードにされた

出典：Apple「Apple Accountの不正利用が疑われる場合」

デバイスリストを見る

1. 「設定」を開き、いちばん上の自分の名前をタップします。
2. 下にスクロールすると、Appleアカウントにサインインしている端末の一覧が出ます。
3. 知らない端末があれば、端末名をタップして「アカウントから削除」を選びます。

デバイスリストの端末は、種類によって、パスワードの変更や2ファクタ認証の確認コードの受け取りができます。知らない端末を残しておかないことが大切です。リストから削除した端末は、iCloudや「探す」などのAppleのサービスが使えなくなり、確認コードも表示されなくなります。Android端末やWindowsパソコンも一覧に載ります。パソコンからは、account.apple.comの「デバイス」でも確認できます。

出典：Apple「Apple Accountにサインインしているデバイスを確認する」

注意：なくした自分のiPhoneは、乗っ取りとは扱いが違います。紛失中の端末を「探す」やアカウントから急いで削除する前に、iPhoneをなくしたときの保護手順を確認してください。

登録しているメールアドレス・電話番号を見る

Appleは、account.apple.comで個人情報やセキュリティ情報を確かめ、知らない情報になっていたら直すよう案内しています。iPhoneでは、設定で自分の名前をタップすると、Appleアカウントのメールアドレスを確認できます。メールやFaceTime、メッセージなどのサービスが、自分のAppleアカウントでサインインしているかも見ておきます。

出典：Apple「Apple Accountの不正利用が疑われる場合」

確認コードが勝手に届いたとき

頼んでいない確認コードは、Appleが挙げる不正利用のサインの1つです。コードは誰にも教えないでください。Appleは、サポートの際にパスワードや確認コードをたずねることはないとしています。

また、自分で申し込んでいないのに「アカウントの復旧」の確認メールが届いたときは、第三者がアクセスしようとしている可能性があります。Appleは、確認メールにあるキャンセルのリンクを使い、パスワードの変更とセキュリティの見直しを検討するよう案内しています。

出典：Apple「フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する」、Apple「アカウントの復旧手続き中に想定されること」

個人の投稿です（@misunnyimim、2026年10月23日 21:21）。確認コードを教えない、という点はAppleの案内と同じです。投稿の中で触れられている「急に増えている」という話は、件数が公表されていないため確認できていません。

Googleアカウントの確認コードが届いたときは、Googleの確認コードが突然SMSで届いたら？身に覚えがないときの対処を見てください。

Appleのサポートページで、「ログイン履歴」の一覧画面の案内は確認できませんでした。この記事では、デバイスリストと通知で確認する方法を紹介しています。

03乗っ取られると何が起こる？パスキーと証券口座の関係

Appleアカウントが乗っ取られると、Appleが挙げるサインのとおり、メッセージの送信や項目の削除、登録情報の変更、覚えのない購入などが起こりえます。パスワードを変えられて、自分が入れなくなることもあります。

証券口座への影響については、証券会社とAppleで、注目している点が違います。どちらかだけを読むと、「証券口座まで必ず使われる」か「パスキーだから大丈夫」のどちらかに寄ってしまうので、並べて見てください。

証券会社が言っていること

• SMBC日興証券：Appleアカウントなどが乗っ取られると、保存されたパスキー等を使って、証券口座にも不正アクセスされる可能性がある
• SBI証券：フィッシングなどでアカウント情報が盗まれ、クラウドに保存されたパスキーやパスワードのメモが悪用されて、不正ログイン・不正取引が行われた疑いのある事案が確認されている。証券口座のログイン情報を偽サイトに入れていなくても、被害が及ぶおそれがある
• 日本証券業協会：クラウドにパスキーをバックアップする場合は、AppleやGoogleのアカウントにも多要素認証を設定するなど、厳重に管理してほしい

出典：SMBC日興証券、SBI証券、日本証券業協会「不正アクセス等にご注意ください！」

Appleが言っていること

• パスキーはiCloudキーチェーンで同期され、iCloudキーチェーンはエンドツーエンドで暗号化されている
• Appleは、iCloudで使っているAppleアカウントが不正利用された場合でも、パスキーとパスワードが守られるよう設計していると説明している
• 新しい端末がキーチェーンに加わるには、すでにある端末に承認してもらうか、キーチェーンの復旧（Appleアカウントとパスワード、登録した電話番号へのSMS、端末のパスコード）が必要。パスコードを試せるのは10回まで

出典：Apple「パスキーのセキュリティについて」

個人の投稿です（@russianblue2009、2026年10月18日 2:24）。Appleの設計の説明とは合っています。ただし証券会社は、クラウドに保存したパスワードのメモなどが悪用されるおそれにも注意を呼びかけています。パスキーの設計だけで安心とは言えません。埋め込みに表示される引用元の投稿にある「被害が出ています」は、証券会社の注意喚起では「可能性」「疑いのある事案」の段階で、件数も公表されていません。

両方を合わせると、気をつけたいところ

実際の被害で、パスキーそのものが使われたのか、メモのパスワードなのか、確認コードをだまし取られたのかは公表されていません。この記事では「パスキーが破られた」とは書きません。

ネットバンキングの認証や通知の見直しは、ネットバンキングの不正送金を防ぐには？認証・通知・振込上限の点検方法で説明しています。

04乗っ取られたかもしれないときの対処｜順番と連絡先

乗っ取られたかもしれないと思ったら、次の順番で進めます。Appleの案内と、証券会社・金融庁・警察庁の案内をまとめています。

1. パスワードを変えます。推測されにくい、ほかで使っていないパスワードにします。第三者に変えられて自分で変えられないときは、パスワードをリセットします。
2. 知らない端末をデバイスリストから削除します。account.apple.comの「デバイス」からも削除できます。
3. 登録情報を直します。account.apple.comで、個人情報やセキュリティ情報が知らないものになっていないか確かめます。
4. メールの事業者と携帯電話会社に確認します。Appleアカウントに登録した電話番号に、SMS転送が設定されていないかなどを確かめます。
5. 証券会社・銀行・カード会社に連絡します。身に覚えのないログインや取引がないか、各社の窓口で確かめます。
6. サインインもリセットもできないときは、iforgot.apple.comで復旧を申し込みます。確認メールは72時間以内に届きます。Appleサポートでも待機期間は短くできず、申し込みを重ねると、かえって長引くことがあります。
7. 被害があれば、警察に相談します。警察庁は、フィッシングの被害に遭ったら最寄りの警察署か、サイバー事案のオンライン受付窓口に通報・相談するよう案内しています。

出典：Apple「Apple Accountの不正利用が疑われる場合」、Apple「アカウントの復旧手続き中に想定されること」、金融庁、警察庁「フィッシング対策」

Appleを名乗る電話で指示されたら、いったん切ってください。Appleは、発信者番号は偽装できること、予期しない電話やメッセージで個人情報やお金を求められたら詐欺と考えるのが安全だということを案内しています。必要なら、自分で公式の窓口に連絡します。

出典：Apple「フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する」

連絡先

SMBC日興証券は、Appleアカウントなどの設定内容の確認や変更は受け付けていないとしています。Appleアカウントの手続きは、Appleの公式の案内で進めてください。

出典：金融庁、SMBC日興証券、Apple（詐欺の報告先）、警察庁

ほかの被害が重なっているときは、次の記事も役に立ちます。

• 偽のメールやSMSのリンクを開いてしまった：フィッシングメールのリンクを開いてしまったら？入力・認証・実行別の対処
• カードに身に覚えのない請求がある：クレジットカードの身に覚えのない請求｜確認と連絡・停止の手順
• Xのアカウントも勝手に使われている：Xで勝手に投稿・DM送信されたら？不正ログインと連携アプリの確認方法

05乗っ取りを防ぐ設定｜2ファクタ認証・盗難デバイスの保護・復旧キー

Appleアカウントの乗っ取りを防ぐ設定は、いくつかあります。ただし、全部をオンにすればよいわけではありません。復旧キーやセキュリティキーは、なくしたときに自分も締め出されるおそれがあるので、注意点とセットで選んでください。

出典：Apple「Apple Accountの2ファクタ認証」、Apple「iPhoneの「盗難デバイスの保護」について」、Apple「Apple Accountのセキュリティキーについて」、Apple「Apple Accountの復旧キーを設定する」、Apple 個人の安全ユーザガイド「Apple Accountとデバイスのロックアウトを防ぐ」

2ファクタ認証を確認する

「設定」で自分の名前をタップし、「サインインとセキュリティ」を開くと、2ファクタ認証の状態を確認できます。Appleは、2ファクタ認証があれば、パスワードが他人に漏れても本人以外はアカウントにアクセスできないと説明しています。新しい端末やWebで初めてサインインするときは、パスワードに加えて、信頼できる端末に表示されるか、信頼できる電話番号に届く6桁の確認コードが必要です。

出典：Apple「Apple Accountの2ファクタ認証」

個人の投稿です（@nemu_nemu_2025、2026年10月23日 16:25）。設定の場所はAppleの案内と同じです。なおAppleの説明では、パスワードに加えて必要なのは「信頼できる端末に表示される、または信頼できる電話番号に届く6桁の確認コード」です。

盗難デバイスの保護を確認する

「設定」の「Face IDとパスコード」（または「Touch IDとパスコード」）から「盗難デバイスの保護」を開きます。よく行く場所でも同じ守りにしたい場合は、「セキュリティ継続が必要」で「常に」を選べます。オンにするには、2ファクタ認証、パスコード、Face IDかTouch ID、「利用頻度の高い場所」（位置情報サービス）、「探す」が必要です。

出典：Apple「iPhoneの「盗難デバイスの保護」について」

関連する記事です。

• iPhoneをなくした・盗まれたとき：iPhoneをなくしたら何を止める？決済・回線・アカウントの保護手順
• パスワードの漏洩警告が出たとき：Chromeでパスワードの漏洩警告が出たら？本物かの確認と変更の進め方
• AIの手伝いを使うとき、パスワードの預け方を知りたい：Grok BotのVaultとは？、Grok Botと1Passwordの連携とは？

06証券口座を守るためにやること

証券口座を守るためにやることは、証券会社・日本証券業協会・金融庁の案内に共通しています。

1. Appleアカウントに2ファクタ認証を設定します。SBI証券は「強力な2段階認証（認証アプリなど）」を、日本証券業協会はAppleやGoogleのアカウントにも多要素認証を、と案内しています。
2. アカウントの復旧に使うメールアドレスと電話番号が、自分のものか確かめます。（SBI証券）
3. パスワードをメモに書いていたら、パスワードを変え、メモを消します。証券会社の注意喚起は、クラウドに保存したパスワードのメモの悪用を挙げています。ほかのサービスと同じパスワードも使わないでください。
4. パスキーの登録や再登録は、証券会社の公式サイトか公式アプリから行います。「セキュリティ向上のため、パスキーを再登録してください」といったSMSのリンクは開かず、サポートを名乗る電話で登録を求められても応じません。
5. ログインは、ブックマークした公式サイトか公式アプリから行います。メールやSMSのリンクからはログインしません。
6. 証券会社のログイン・取引の通知をオンにし、口座をこまめに確認します。身に覚えのない通知や認証の要求は、承認しないでください。

出典：SBI証券、日本証券業協会、SMBC日興証券、金融庁

機種変更のときのパスキーの扱いは、証券会社ごとに違う可能性があります。使っている証券会社の公式の案内に従ってください。

個人の投稿です（@utbuffett、2026年10月23日 15:50）。「パスキーでも破られたのか」という疑問は、多くの人が持っているものです。03のとおり、実際の経路は公表されていません。だからこそ、パスキーを使っていても、Appleアカウント側の守りとメモの見直しが大切です。

関連する記事です。

• 銀行の認証と通知の見直し：ネットバンキングの不正送金を防ぐには？
• Googleアカウント側の確認：Googleアカウントに不審なログイン通知が来たら？確認・保護・復旧の手順

07AIで変わる乗っ取りの手口と、AIに「本物か」聞くときの注意

この節では、AIで変わった偽メールの見分け方と、AIチャットに「これは本物？」と聞くときの注意を、公的機関と提供元の案内で確認できる範囲で説明します。

偽メールの日本語は自然になった

総務省は2025年9月1日、生成AIで自然な日本語を大量に作れるようになり、これまで以上に精巧なフィッシングメールを送りやすくなっているとして、電気通信事業者に対策を要請しました。フィッシング対策協議会も、生成AIによる自然な文章で、不自然な日本語や明らかな誤りを手がかりに見分けることが難しくなったとしています。

出典：総務省「フィッシングメール対策の強化に関する要請」（令和7年9月1日）、フィッシング対策協議会「フィッシング対策ガイドライン 2026年度版」

米国のFBIも2024年12月の注意喚起で、生成AIが、詐欺の目印になる人間のミスを直してしまうこと、偽サイトにAIチャットボットを置いて悪いリンクを押させる例があることを挙げています（米国の注意喚起で、日本の事例ではありません）。

出典：FBI IC3「Criminals Use Generative Artificial Intelligence to Facilitate Financial Fraud」（2024年12月3日）

そのため、「日本語が変かどうか」で見分けるのではなく、変わらないルールで見分けます。Appleは、Webサイトへのログインや、2ファクタ認証の画面で「同意する」を押すこと、パスワード・パスコード・確認コードの提供を求めることは決してないとしています。セキュリティ機能をオフにさせることもありません。

出典：Apple「フィッシングメッセージ、偽のサポート電話、その他の詐欺を含むソーシャルエンジニアリングスキームを認識し、対処する」

声のなりすましにも注意

米国のFBIは同じ注意喚起で、AIで作った本人の声で、なりすまして銀行口座に入る例を挙げています。対策として、電話をいったん切り、相手の組織の連絡先を自分で調べてかけ直すよう呼びかけています。Appleも、予期しない電話で個人情報やお金を求められたら、詐欺と考えるのが安全だとしています。

出典：FBI IC3（2024年12月3日）、Apple（詐欺の案内）

AIチャットに「これは本物？」と聞くときの注意

OpenAIは、ChatGPTは間違ったことを、自信ありげに答えることがあるとして、大事な情報は信頼できる情報源で確かめるよう案内しています。また、文章がAIで書かれたかどうかを、ChatGPTは確実には判定できないとしています。AIチャットは怪しい点を探す手伝いには使えますが、「本物です」「安全です」という答えを最終判断にはしないでください。

出典：OpenAI Help Center「Does ChatGPT tell the truth?」

関連する記事です。

• AIにメールを読ませる危険：AIにメールを読ませるのは危険？Gemini・ChatGPTの隠し指示攻撃と5つの対策
• 隠れた指示でAIを操る攻撃とは：プロンプトインジェクションとは？
• AIに個人情報を入れてしまったとき：ChatGPTに個人情報を入力してしまったら？削除と確認の手順
• AIの答えを使う前の判断：AIが分からないと言わない理由｜回答を採用する前の3つの判断
• AIセキュリティの基本：AIセキュリティ入門

08今後の確認先と追記の予定

この件は、経路や件数が公表されていない段階です。新しい情報は、次の公式ページで確認してください。

• 使っている証券会社の公式サイトのお知らせ
• 日本証券業協会「不正アクセス等にご注意ください！」
• 金融庁「インターネット取引サービスへの不正アクセス・不正取引にご注意ください」
• Apple「Apple Accountの不正利用が疑われる場合」

09よくある質問