みなさん、証券口座やその他重要なパスワードはどのように管理していますか？今どきは多くの方がパスワードマネージャーを使用して管理しているかと思います。僕もそのひとり。今はiCloudにパスワードを一元管理しています。
そういう人たちにとって、少しぞわっとなるニュースが先日報道されました。それがこれ。
パスキーログインに設定していた証券口座が乗っ取られた、というニュースです。手法は古典的で、フィッシングによってiCloudやGoogleアカウントを狙うんだとか。パスキーは固いから、その鍵保管庫ごと乗っ取る、という作戦なわけです。
考えてみれば当たり前ですが、いくらしっかりパスワードを長く不規則にしたり、パスキーログインのみにしたり、そういう工夫をしても鍵保管庫が取られては無力なのです。ということで、僕も特に重要なアカウントについてはセキュリティ向上策をとることにしました。
セキュリティを考えるにあたって重要なのは「利便性を極力損なわない」ということです。こういうのは極論に陥りやすく、めちゃくちゃ不便なことをやろうとする人がいます。けれどもそれだと持続できないんですよね。単純に不便ですし。
ということで利便性を損なわず、重要なアカウントの防御力を飛躍的に高める処置を実施していきます。この記事が、これからセキュリティ改善に取り組もうとしている方の参考になれば、それ以上にうれしいことはありません。
- Apple IDを最も強固に守る方法：物理キー
- まずはセキュリティキーを２つ購入する
- まずはApple IDに物理キーを設定する
- ついでにGoogleアカウントも守りを固めておく
- Googleアカウントの高度な保護を有効化する
- 注意点：完全な遠隔ログインは防げてはいない
- 依然として残るリスクはあるが、危険性はかなり低くなった
- 結論：自分なりには満足のいく対策ができたと思う
- 余談）セキュリティキーは他にもいろいろある
- 楽天証券ユーザーならまずは「楽天モバイル」
- 今から投資始める方におすすめの証券会社
- iDeCoのおすすめ証券口座はこちら
- 証券口座乗っ取り対策に！パスワード管理は1Passwordで
- 投資を学ぶなら：資産運用ですごく勉強になる書籍
Apple IDを最も強固に守る方法：物理キー
一般的なApple IDの防御法として最も簡便かつ強力なのは「2ファクタ認証」です。これは信頼済みの端末（≒自分のいま使ってる端末）やSMSなどを利用して、パスコード以外の別要素にて確認します。多くの方はこれを使ってることでしょう。
ただし、これの弱点は２ファクタ目までフィッシング手法で盗られると犯人に乗っ取りを許してしまうことです。例えば「Appleにまつわる事柄で決済エラーが出ました！急いで対処して！」というフィッシングに引っかかって、パスワードもSMSコードも入力してしまったりとか。いま問題になっているのはこういう事例でしょう。本質的には「遠隔から新規ログインができうる」という点に弱みがあります。
この対策に、実はもう一段強力な方法がAppleには用意されています。それは物理キーです。実際にキー端末を買ってきて、それをカギにするわけですね。これを設定すると、以下のようなセキュリティ要件になります。
これは2ファクタ目に数字コードを使用できなくなるのが特徴です。コードは遠隔でも入力できちゃいますからね。その代わりに物理キーや信頼済み端末（いま自分が使ってる端末）を近づける、という方法でのみログインが可能となります。つまりは自分の近くでしか新規ログインはできない、ということ。
ちょっとイメージ湧きにくいかもしれませんが、例えば新しいMacを買ったときとか新しいブラウザにログインしようとしたときですね。Apple IDにログインしようとしたら、物理キーか自分の既にログインしている別端末が近くにないとログインできません。これはかなり強力で、事実上フィッシングで抜き取るのは不可能でしょう。
今回はこの物理キーの導入を目指すことにします。
まずはセキュリティキーを２つ購入する
ということで、まずはセキュリティキーを2つ用意します。規格にあってれば特になんでもいいようです。僕は最もスタンダードなYubiKeyの安いモデルを準備しました。
僕が買った時点で5900円。Apple IDの保護のためには2つ必要なので、11800円の出費となります。まあパスワードが乗っ取られる被害を考えれば安いものです。これはUSB-Cモデルですが、他にもUSB-Aモデルもあります。ご自身の使いやすい環境で選ぶとよいでしょう。
まずはApple IDに物理キーを設定する
では物理キーを用意できたので、Apple IDに物理キーを設定していきます。僕はiPhoneを使って設定しました。
ここでの挙動もよくわからなかったのですが、iPhoneに挿しても点滅が続くだけでした。たぶんこれでアクティベートは完了したのかな？
ちなみにこの認証プロセス、USB-Cで挿すとうまく認証できなかったのですが、NFC（iPhone上部にかざす非接触プロセス）だと問題なくできました。もしうまく行かない人は試してみるといいです。
※追記：USB-Cで挿したあとにキーのyマークが点滅しているところに軽く指で触れないといけなかったみたい（わからんよそりゃ）
これにて無事にセキュリティキーの設定が完了しました。これ以降、この２つのキーを大切に保管すればOKです。僕は1本はデスク付近に置いておき、もう1本は普段から持ち運ぼうと思っています。
なお、このキーは紛失すると完全終了というものでもありません。1本を失ってもiPhone側の設定から、そのキーをセキュリティキーから削除することができます。そしてもう一本追加すればOKです。
無くしたとて焦る必要はそんなにありません。ただのカギですし、誰が使ってたかすらカギだけではわかりません。カギを元に自分のIDを乗っ取ることは不可能です。ちょうど家のカギを落とすのと同じことですね。カギを拾ったとしても家がわからないので悪用できません。対処法は落としたカギで玄関（≒Apple ID）が開かないようにするだけ。
※万が一、2本同時に失っても、信頼済みの端末があれば問題ありません。
あとは、この物理キーは複数の端末で使用することもできます。僕は妻のiPhoneも同じ方法でこの物理キーを設定しておきました。これで妻の端末も乗っ取られるリスクは激減でしょう。
ついでにGoogleアカウントも守りを固めておく
我が家ではApple パスワードをメインで使っているのでApple IDが最重要です。けれどもそれと並ぶくらい重要なのがGoogleアカウント。人によってはGoogleの方が大事、という人も多いでしょうね。
僕の場合は主力事業としてやってるYouTubeアカウントがGoogleに紐づいています。なので、Googleを乗っ取られるということ、すなわち、YouTubeチャンネルを乗っ取られるということです。想像しただけでぞっとしますね。
Googleにも物理キー設定ができるので、それを進める方法を備忘録として残しておきましょう。目指す姿は以下です。
- 物理キーを新たに第２ファクタとして追加する
- SMSなど遠隔ログインしやすい方法は塞ぐ
これが実現できれば、万が一Googleを偽装したフィッシングメールに引っかかって、iCloudからパスワードを入れてしまったとしても、犯人はGoogleにログインできません。なぜなら、第2ファクタが物理キー（もしくはパスキー）だからです。
まずはこの操作により、USBキーがGoogleアカウントのキーとして登録されることになります。ただ、これだけでは「2段階認証としてUSBキーが使えるようになった」だけです。SMSコードでログインできる経路がまだ残っています。これを防ぐようにしましょう。
Googleアカウントの高度な保護を有効化する
この遠隔ログイン経路を塞ぐには、このGoogleのサイトから有効にします。
設定はこれだけでOK。これによって、SMSを第二要素としてGoogleログインすることはできなくなります。
注意点：完全な遠隔ログインは防げてはいない
上記の設定によってSMSを用いた２段階認証は防ぐことができました。一方で、テストをしてみると「1回限りのセキュリティコード」というのが残っています。これは、自分の信頼済み端末（Googleにログインできている端末）を用いて指定されたURLにアクセスすることで発行するコードのこと。これを自分でアクセスして犯人やフィッシングサイトに入力してしまうとアウトとなります。
正直なところここはちょっと消化不良だったなぁ….。完全に塞ぎたかった。
ただ、SMSと違っているのは「勝手にコードが送られてくる」ということが無いことです。焦っている場面では、自動でSMSメッセージがきて、スマホの自動入力機能で入力してしまう、ということが起こりやすいと言われています。一方でこのセキュリティコードは自分が能動的にアクセスしないとコードは発行されません。いったんそこで冷静になれる、ということですね。
本当はこれも塞いでしまいたいですが、現状塞ぐ方法は無いみたいです。まあ心がけとして、「Googleにはパスキーか物理キーでしかログインしない」と決めておけば大丈夫でしょう。最重要のカギ保管庫はApple IDですしね。
依然として残るリスクはあるが、危険性はかなり低くなった
この２つの対処により、AppleとGoogleのIDはほぼ遠隔ログインができなくなりました。利便性の低下もかなり少なく、満足いく対処ができたと思っています。
とは言え、重箱の隅をつつけばまだ不正アクセスの可能性は残っています。大きくは２つ。
- ログイン済みの端末を奪われ、その端末でID情報を書き換えてしまう
- 同一ネットワーク内でセッションIDを奪われてログインされてしまう（セッションハイジャック）
１については想像しうる限り、かなり可能性は低いでしょう。朝ごはんにパンをくわえて角を曲がったら美少女と衝突するよりも低いと思います。
そもそも認証済みの端末を奪った所で、アカウントを書き換えようと思ったら要所でまた端末のログイン（Face IDやパスコード）を求められますからね。ログインしたまま端末を放置する、ということも普通に考えにくいし。さらには盗難されたことに気づけば、別の信頼済み端末から盗難端末を遠隔初期化することもできます。盤石でしょう。
２の同一ネットワークも可能性としてはありえますが、相当なレアケースでしょう。結局、犯人たちが足を運ぶ必要があるものは、この手の乗っ取り事件には使いづらいのです。家から何万人もにトライして、セキュリティ意識ザルのアカウントを奪うほうが絶対に効率いいですから。足もつきませんし。
ただ、万が一に備えて、無料WiFiは極力使わない、などしておくつもりです。
結論：自分なりには満足のいく対策ができたと思う
ということで、昨今の情報流出事件を教訓に、自分のできる対策を全てやりきりました。客観的に見て、利便性も損なわれていないし、セキュリティレベルも格段に上がったので満足しています。Googleの１回限りコード以外は。
とくに僕の場合はApple IDが肝なのですが、そこが遠隔ログインできない状態になったのは大きいですね。このパスキー保管庫さえ盗られなければ、きっと大丈夫でしょう。
あとは不可効力としてiCloudそのものが情報流出してしまう、というシーンも想定されます。それについては、iCloudのキーチェーンは最初からエンドツーエンド暗号化（自分の端末でしか復号できないということ）されているので、問題にはなりません。その代わり、Appleも復元できないという諸刃の剣ではありますが。
もしApple IDのセキュリティ強化を図っている人は検討してみてくださいね。
※同じような手法は1PasswordやBitwardenでも取れると思います。確認してはないけども。
余談）セキュリティキーは他にもいろいろある
今回僕が導入した製品はスタンダードなド定番のセキュリティキーでした。他にもいろいろ使えるものはあるので、紹介しておきましょう。
ぱっと見のamazonでの最安はコレ。3500円。USB-Aです。最低限なら別にこれでもよかったかもしれない。値段にこだわるならチェックしてみてください。
これはYubiKeyの高級仕様です。通常仕様は場合によってPINコード（数字の羅列）を追加してガードを固められるのですが、これは指紋認証版です。物理キーだけでも強力なのに、そのキーを指紋でガードしてやるという特盛仕様。お値段も18800円と特盛です。絶対的な安心を求める人はコレがいいかな。
楽天証券ユーザーならまずは「楽天モバイル」
-
3GB未満なら税抜880円/月、使いすぎても上限2880円/月のわかりやすいプランが良い。
-
楽天市場のSPUは驚異の+4倍！僕はざくざくポイント貯めて、クレカ積立で消化してます。
-
回線も強化されてきて、圏外になることもほとんどなくなってます。
今から投資始める方におすすめの証券会社
-
僕の主力 楽天・プラス・S&P500 や人気の楽天SCHD が買える唯一の証券会社。
-
とにかく視認性がよくて使いやすいのが最大の魅力。
-
楽天プラスシリーズは保有するだけで楽天ポイントもらえる。
- 公式：https://kabu.com/
- au Payカードと組合せての積立で0.5%ポイント還元。
- 公式：https://www.matsui.co.jp/
- 投信信託を持ってるだけでポイントもらえる投信残高ポイントに強い
- 公式サイト：https://www.sbisec.co.jp/
- SBI独自の四半期決算型の高配当投資信託を購入できる唯一の証券会社
- 投資信託で高配当を楽しみたい方はSBI証券が良いでしょう。
iDeCoのおすすめ証券口座はこちら
- 公式：https://dc.rakuten-sec.co.jp/
- iDeCoでもNASDAQ100やS&P500に投資したい人にオススメ
- NASDAQ100投資信託では楽天証券の楽天・プラス・NASDAQ100が最低コスト
- 公式：https://www.matsui.co.jp/ideco/
- iDeCoでも保有資産残高に応じてポイントがもらえる！
- インデックス投資の鉄板、eMAXIS Slimシリーズをラインナップ
- 公式：https://info.monex.co.jp/ideco/index.html
- iDeCoでもNASDAQ100に投資できる！
- 公式：https://go.sbisec.co.jp/prd/ideco/ideco_top.html
- 普段使用しているネット証券がSBIなら統合してスッキリです！
証券口座乗っ取り対策に！パスワード管理は1Passwordで
- 公式：https://1password.com/jp
- どんな端末を使っていてもストレスなく使えるパスワードアプリ
- 強固なセキュリティ、過去に重大漏洩事故は起こっていない安心感
投資を学ぶなら：資産運用ですごく勉強になる書籍
僕が実際に読んで「ほんとうに良い本だなぁ〜」としみじみ感じた名著をご紹介します。どれもめちゃくちゃ良い本ばかり。インデックス投資を始めたての方におすすめです。
以下の中にはKindle Unlimited（月々980円 読み放題、初めてだと30日無料キャンペーンもある）のサービスで利用できるものもありますのでチェックしてみてください。
この本は僕が初めて読んだ投資関連の書籍。当時、個別株で失敗し、偶然思うがままに買い付けた米国株インデックスETFに出会い、それにいい感触をもっていました。その感触を自信に変えてくれた本です。僕と同じく、初めて投資書籍を読まれる方にはこの本を最初にオススメします。
投資に関するネット記事は数あれど、最も有名で価値ある記事はコレなのでは？という記事の書籍版です。ぜひ投資書籍の２冊目に読んでほしい一冊としてピックアップしました。これを読むだけで本当に資産運用が完結する内容になっていて、僕も当時衝撃を受けました。もちろん書籍版の内容の本質はネット記事とほぼ同じですが、理論編がわかりやすく改定されていたり、読みやすくなっています。
インデックス投資の名著中の名著です。個人投資家にとっての投資は「ミスった者が負ける」敗者のゲームになった、というのがタイトルの由来。ここで言うミスとは、市場動向に動揺して売買してしまうことを指します。いいからインデックスホールドしとけ、という本。インデックス投資家の教養として読むべき本です。
これは僕が最近読んでよかったと思ってる本です。マクロ経済における金利の重要性を懇切丁寧に説明してくれています。金利が経済の基本であることを再認識させられました。初心者でも読みやすいように書かれていて、とくに予備知識は必要ありません。投資タイミングに活かせるかと言えばそこは同意しかねますが、金利による経済の定性的な動きを理解するのはこれで十分と思いました。
この本はKindle Unlimitedの読み放題サービスで提供されていることが多いです。Kindle Unlimitedは初めてであれば30日無料体験が使えるので、それで読み切ってしまうのもいいかと思います。僕はそうしました。
これは最近複数の視聴者さんに紹介してもらって購入した本です。主張は題名どおり「余剰資金が出たら即刻インデックス投資せよ」というもので、僕も思想とほぼ一致しています。また、前半部分では「節約には限界がある」「収入を増やす努力をしよう」という主張もされていて、その辺も共感できる部分は多いです。とてもいい本だと感じましたので、よかったら手にとってみるとよいかと思います。
これは最近視聴者さんに教えてもらった本です。株式投資や資産運用の考え方を学ぶのに、とても素晴らしい名著だと思いました。著者はインデックス投資にも精通していることが伺える一方で、各個人の資産運用は人としての合理性も考慮すべきと説いてます。株式投資のリターンは「リスク（値動き）の対価」をわかりやすい例も含めて明示してくれていて、投資初心者の方にぜひ読んでみてもらいたい本ですね。
2024年の年初に亡くなられた山崎元さんの遺作。内容は父から息子への手紙をイメージして、資産運用や生き方のアドバイスをおくるというもの（実際に送られた手紙の内容もあります）。涙なしには読み切れない名作でした。投資における主張はいつもの著者のものと全く同じ。ブレないところが山崎さんの良さですね。ぜひ読んでもらいたい一冊。
米国の著名投資家ハワード・マークス氏の著書で、彼の著書はなんとあのウォーレン・バフェットのお気に入りらしいw バークシャー・ハサウェイの株主総会でこの本を配ったというウワサも残っています。ハワード・マークス氏自体はインデックス投資にも一目を置くアクティブ投資家で、市場平均に勝つのは難しいと認めつつもどうすれば勝てるか？を色々とアドバイスしてくれる本です。
僕が一番好きな本。難しい数学的な知識を必要とせず、現代ポートフォリオ理論（≒ランダムウォーク理論）をかじれます。正直な感想を言うと全ての書いてることが興味深かったわけではありません。なので隅々まで読んだわけではないですが、理論のところはとてもわかりやすいのでおすすめです。これ読んでからWikpedia見たらだいぶ理解が進みました。
上記の本に加えてもう少しファイナンスを詳しく知りたい方向けにおすすめです。CAPMの考え方やそれをもう一歩発展させた3ファクターモデルのことも理解できます。ほかにもプライシング理論やリスク管理などの基礎知識もこれで十分わかるかと。
インデックス投資の父でありVanguard創業者のBogle氏の名著です。僕が最も尊敬する偉人でもあります。その先見性と残された功績には尊敬の念しかありません。内容はインデックス投資のベーシックな内容ですが、後半には債券との組み合わせ論などにも言及されています。全部が全部同意見というわけではありませんが、インデックス投資を志す者であれば必読書とも言ってよいかと。
ランダムウォーク理論（株価の動きはわからないという前提を置く理論）について、歴史を交えて語った本。これも名著と言われています。理論の概念はざっくりとわかるかと。歴史の部分が長くて、そこは読み飛ばしました。
本をほとんど読まない僕が唯一知ってる作家さん、橘玲さんの本。とても読みやすい文章で書かれていて、こんな文が書きたいなといつも思ってます。僕が海外株を中心に買っているのはこの本の考え方に近いです。
かつて日本の長者番付で一位になったサラリーマンとして話題になった清原達郎氏の初めての著書。これまでメディアにほとんど出てこなかった氏の赤裸々な体験談が多数載せられています。内容は初心者向けではありませんが、どこにでも溢れているインデックス投資を勧めるだけの本に飽きた方にはとても面白いはず。かく言う私もその一人（笑）純粋な読み物としてとても面白いです。
社会保険料がホットな話題として挙げられることが増えました。本書はその社会保険料の節約として最も有名な「マイクロ法人スキーム」のきっかけになった名著です。いま巷で使われているマイクロ法人という言葉は、この書籍で初めて使われたと言われています。もしマイクロ法人設立に興味があれば、まずは最初のバイブルとして読破しておくべき一冊です。
※以下のリンク先におすすめ書籍をまとめています
