※ 本記事はアフィリエイトリンクを含みます。
不正アクセス被害の発表が続いています。私自身も個人情報漏えいに関するお知らせメールが複数届きました。
この機会に自分が使っている外部システム・サービスについて、セキュリティの見直しを進めています。
証券会社は2025年に多くの被害があった影響で、基本的にはどの証券会社もパスキーによるログインに移行しています。そのため証券会社の口座に関しては一定のセキュリティレベルが維持されていて、一連の漏えいによる影響はそれほどないと考えています。
セキュリティ上さらに望ましいのはパスワードによるログインは無効にすることですが、パスキーが使えない状況になるとかなり面倒になると思い、これまでは保険としてパスワードでもログインできるようにしていました。
今回の事例を機にパスワードは無効化できないかなと考えましたが、ふと昔買っていたYubiKeyの存在を思い出し、バックアップとしてパスキーを追加作成、保存しておけば安心と考え、設定を進めました。
少なくとも証券会社サイトでは一通り設定できましたので、概要と手順の流れを紹介します。
YubiKeyとは
YubiKeyはYubico社が製造・開発している物理セキュリティキーで、USB/NFCタイプのハードウェアです。認証の標準規格であるFIDO/FIDO2に対応しており、パスキーはFIDO2に準拠しているためパスキーを扱うことができます。
製品ラインナップは複数あり、メジャーなのはYubiKeyです。FIDOだけでなく他の認証方式にも対応しています。FIDOのみに対応したハードウェアはSecurity Keyで、少し安く販売されています。
Amazonでは2026-10-17時点で以下の価格でした（いずれも送料込）。
- YubiKey 5 NFC（USB Type-A）| Amazon [PR]：9,800円
- YubiKey 5C NFC（USB Type-C）| Amazon [PR]：13,299円
- Yubico Security Key NFC（USB Type-A）| Amazon [PR]：5,900円
※ Yubico Security Key C NFC（USB Type-C）は在庫なし
私は2019年3月にSecurity Key（NFCなし）を3,800円、2022年1月にYubiKey 5 NFC（USB Type-A）を6,448円で買っていました。
ドルベースで考えると値段は当時とあまり変わっていません（2019年、2022年当時は1ドル110円前後）。
Yubico社のオンラインストアではYubiKeyが58ドル、Security Keyが29ドルで販売されています（送料別）。AmazonではType Cの方が割高ですが、公式のオンラインストアではUSBはType AとType Cの価格差はありません。
今だとUSB Type-Cの方が使いやすそうですが、Type-AからType-Cに変換するアダプタを使っても問題はなく、スマホではNFCで認識させますので、Type-Aでもそこまで利用に困ることはありません。
私が2019年に購入したセキュリティキーはNFCが搭載されておらずスマホでは使えません。使い勝手が悪いので検証扱いに留める予定で、今回はYubiKey 5 NFC（USB Type-A）をメインに使います。
以降ではWindows上でYubiKeyにパスキーを登録する例を示します。
PIN設定
Microsoft StoreからYubico Authenticatorを入手して起動します。その状態でYubiKeyをPCに接続するとデバイスの情報などが確認できます。
YubiKeyでパスキーを扱うにあたりPINの設定が必要です。物理的な紛失・盗難時の不正利用を防ぐためであり、4桁以上の文字列で設定します。Yubico Authenticatorの画面で「WebAuthn (FIDO2/U2F)」に進み、"Create a PIN"を選択してPINを設定します。
設定したPINはパスキーの登録・利用・参照の度に入力しなければなりませんので、その点を踏まえて適度な文字数で設定するのがおススメです。
パスキーの追加登録
PINの設定が終わったら、既にパスキーを登録しているサイトにログインして、パスキーの追加登録をします。
以下はSBI証券でパスキーを追加登録した際の画面です。
実践した限りでは、私が使っている証券会社サイトではパスキーの複数登録が可能で、YubiKeyも指定することができました。
ただ、大和証券は1パスキーに1メールアドレスが必要な仕様のようで、既存のメールアドレスのみでは追加できませんでした。大和証券はあまり使っていないこともあり、今回は追加登録はやめました。
YubiKeyで登録したパスキーでもログインできるかは一度試しておきます。スマートフォンからはNFCスキャンして使うことができます。以下はSBI証券アプリにYubiKeyを使ってログインする際の画面です。
証券会社によりますがパスワードによるログインを無効化する設定がありますので、2つのパスキーを追加しておけば安心してパスワードは無効にできます。
パスワードログインを無効にする設定が見当たらないサイトも、実際にパスワードでのログインはできないようにしていたり、パスワードでログインした場合は機能が制限されていたり、といった状況でした。
2025年の被害が大きかっただけに、このあたりの対応は他の業界よりも進んでいる印象です。
ファームウェアと保存上限
YubiKeyに保存できるパスキーの数はファームウェアによって異なりますが、2024年6月以降のデバイス（ファームウェア5.7以上）であれば上限は100です。
私が2022年1月に買ったYubiKeyのファームウェアは5.4.3で、パスキーの保存上限は25でした。
今後パスキーが各サイトで普及していくと、25では足りなくなりそうです。追加で買うことも考えていて、YubiKeyの他に同じくFIDOに準拠したGoogleのTitan セキュリティキーも気になっています。こちらはパスキーの上限は250でした。
Googleストアで見ると2026-10-17時点でUSB-C, USB-Aともに5,625円でしたが、USB-Cの方は入荷待ちでした。
おわりに
セキュリティの見直しをはじめてパスキーから順次設定を進めていますが、銀行に関しては現状はほぼパスキーに非対応で、唯一対応を確認できたのはGMOあおぞらネット銀行のみでした。
証券会社でパスキーの対応が実質標準になったため、銀行など重要度の高いサービスへの対応も今後進むのではないかと思います。
YubiKeyのような物理セキュリティキーがあれば、パスキーの管理を安全に冗長化できます。
不正アクセス被害の頻発で「自分の情報は自分で守る」必要性が増していますので、気になっていた方は選択肢の1つとしてこの機会に検討してみてください。
参考になりましたらクリックしていただけると嬉しいです。
